|
ru.unix.bsd
- RU.UNIX.BSD ------------------------------------------------------------------
From : Vadim Goncharov 2:5020/400 20 Jul 2007 11:48:00
To : Victor Sudakov
Subject : Re: ipfw and keep-state
--------------------------------------------------------------------------------
Hi Victor Sudakov!
On Fri, 20 Jul 2007 02:51:48 +0000 (UTC); Victor Sudakov wrote about 'Re: ipfw
and keep-state':
VS> То так. Однако простейший пример, который я брал из /etc/rc.firewall.
Hа то он и простейший... /* вообще говоря, в одном направлении не
4 раза, а 2, это я с обратным пакетом посчитал - но с разделенными
дивертами все равно в 2 раза меньше попаданий и соответственно
переключений контекста */
>> правило проверки стоит уже после
>> диверта, на прохождении в out через него пойдет пакет с уже
>> оттранслированным адресом. Следует разделить диверты на входе и выходе
>> и соответственно расположить динамические правила.
>> У меня это делается примерно вот так:
>> ipfw add divert natd ip from $graynet to any out xmit $extiface recv
>> $intiface ipfw add divert natd ip from any to $ext_nat_address in recv
>> $extiface
VS> А где должен стоять keep-state относительно этих двух строчек?
VS> Впрочем, keep-state не обязательно, natd сам отсеет ненужный входящий
VS> трафик. Задача в другом - часть пакетов из приватной сети должна уйти
VS> в ipsec, часть пройти через NAT и далее попасть на разрешённый список
VS> хостов в Интернете, а остальной трафик должен быть запрещён.
Расположение зависит от того, что тебе нужно. Поскольку (отвечая
на другое письмо) ipfw, в отличие от той же циски, низкоуровневой
файрвол, в нем все такие вещи делаются руками. То есть нужно нарисовать
схему прохождения пакетов, вспомнить, как к ним применяются правила (в
т.ч. динамические). В виду той же низкоуровневости задачу можно решать
более чем одним способом, например можно сразу в divert рулить пакеты на
те сети, которые разрешены (остальное запрещено) без keep-state - пускай
состояния обруливает natd.
--
WBR, Vadim Goncharov. ICQ#166852181 mailto:vadim_nuclight@mail.ru
[Moderator of RU.ANTI-ECOLOGY][FreeBSD][http://antigreen.org][LJ:/nuclight]
--- slrn/0.9.8.1 on FreeBSD 4.11/i386
* Origin: Nuclear Lightning @ Tomsk, TPU AVTF Hostel (2:5020/400@fidonet)
Вернуться к списку тем, сортированных по: возрастание даты уменьшение даты тема автор
|
