|
ru.unix.bsd
- RU.UNIX.BSD ------------------------------------------------------------------
From : Vadim Goncharov 2:5020/400 19 Jul 2007 19:51:46
To : Victor Sudakov
Subject : Re: ipfw and keep-state
--------------------------------------------------------------------------------
Hi Victor Sudakov!
On Thu, 19 Jul 2007 07:11:35 +0000 (UTC); Victor Sudakov wrote about 'ipfw and
keep-state':
VS> Есть набор правил:
VS> 00050 divert 8668 ip from any to any via rl0
VS> 00220 allow ip from x.x.x.x/27 to y.y.y.y keep-state
VS> 00300 deny log logamount 100 ip from x.x.x.x/27 to any out via rl0
VS> 00400 deny log logamount 100 ip from any to x.x.x.x/27 in via rl0
VS> 65535 allow ip from any to any
VS> Почему может такое происходить, что при попытке установить tcp сессию с
VS> x.x.x.x на y.y.y.y динамическое правило не создаётся и обратные пакеты
VS> режутся 400-м правилом? Это как-то связано с 50-м правилом: если его
VS> убрать, динамическое правило будет создаваться.
VS> Где я торможу?
В порядке прохождения пакетов через ipfw. В данном рулесете каждый пакет
"наружу" попадет в divert 4 раза, правило проверки стоит уже после
диверта, на прохождении в out через него пойдет пакет с уже
оттранслированным адресом. Следует разделить диверты на входе и выходе
и соответственно расположить динамические правила.
У меня это делается примерно вот так:
ipfw add divert natd ip from $graynet to any out xmit $extiface recv $intiface
ipfw add divert natd ip from any to $ext_nat_address in recv $extiface
--
WBR, Vadim Goncharov. ICQ#166852181 mailto:vadim_nuclight@mail.ru
[Moderator of RU.ANTI-ECOLOGY][FreeBSD][http://antigreen.org][LJ:/nuclight]
--- slrn/0.9.8.1 on FreeBSD 4.11/i386
* Origin: Nuclear Lightning @ Tomsk, TPU AVTF Hostel (2:5020/400@fidonet)
Вернуться к списку тем, сортированных по: возрастание даты уменьшение даты тема автор
|
