|
ru.unix.bsd
- RU.UNIX.BSD ------------------------------------------------------------------
From : Vadim Guchenko 2:5020/400 19 Jul 2007 13:12:56
To : Victor Sudakov
Subject : ipfw and keep-state
--------------------------------------------------------------------------------
>> VS> 00050 divert 8668 ip from any to any via rl0
>> VS> 00220 allow ip from x.x.x.x/27 to y.y.y.y keep-state
>> VS> 00300 deny log logamount 100 ip from x.x.x.x/27 to any out via
>> rl0
>> VS> 00400 deny log logamount 100 ip from any to x.x.x.x/27 in via rl0
>> VS> 65535 allow ip from any to any
>> А где check-state?
VS> Правило для check-state не обязательно указывать явно. Оно получает
VS> тот же номер, что соответствующее ему keep-state.
Забыл этот момент. Обычно я явно указываю check-state.
VS> Вопрос был не как лучше сделать, а почему не работает данная
VS> конструкция. В ней есть ошибка? Возможно, какой-то неочевидный мне
VS> момент с порядком прохождения пакетов через ipfw?
Вероятно при попытке установить соединение с хостом y.y.y.y нат заменяет в
исходящем пакете src_ip на некий публичный адрес, не входящий в подсеть
x.x.x.x/27, поэтому правило 220 не срабатывает.
VS> Hасчёт established спорно. Пропускать пакет от кого попало только на
VS> том основании, что на нём есть ACK bit?
А чем это хуже ситуации с динамическими правилами?
--
Best regards, Vadim.
--- ifmail v.2.15dev5.3
* Origin: Demos online service (2:5020/400)
Вернуться к списку тем, сортированных по: возрастание даты уменьшение даты тема автор
|
