|
ru.unix.bsd
- RU.UNIX.BSD ------------------------------------------------------------------
From : yx 2:5020/400 31 Oct 2001 10:46:50
To : Igor Russian
Subject : Re: pppd & filters
--------------------------------------------------------------------------------
Igor Russian <kaba@bigline.net> wrote:
>> можно (pass-filter*), если можешь отличить пакеты этого хоста от других
>> на этом интерфейсе в pppd.
>> (у тебя серые адреса там - в смысле нетранслированные натом?)
>> Если где-то используешь ipf* - им и пользуешься для единообразия.
>>
> нет тут дело немного сложнеее, есть модемный пул и в зависимости
> от пакета которым пользуется пользователь, нужно разрешить или
> все или запретить доступ на 25 и 110 порты хоста 192.168.1.1 (IP для
> примера). ipf* неподходит, пользователи бывают разные
> правда можно выкрутится за счет других IP но не хочется, есть
> свои ньюансы
>
да нюансы с ipf* есть, но другие :))
в твоем случае сонным взглядом pppd pass-filter может выглядеть так:
pass-filter '!(inbound && src 192.168.1.1 && (dst port 25 || 110))'
или "наглядней":
pass-filter-in '!(src 192.168.1.1 && (dst port 25 || dst port 110))'
(почему "наглядней" может отличаться от "не наглядней" - это уже было).
>> Если нет- смотришь tcpdump'ом на нужном интер-се и выставляешь нужный фильтр.
>>
> Это все понятно, вопрос только в том как правильно этот фильтр
> описать. Примерчик бы, потому что в man tcpdump примеры
> идут отдельно на ports и на host, а как бы это сказать
> вместе или это не возможно? полностью закрыть 25 и 110
> негодится, так как с других серверов пусть забирают
> а с хоста 192.168.1.1 нет. Вобщем ХЕЛП!!!!
>
>> И еще - но в зависимости от сборки/версии pppd может быть или не быть
>> такой опшен - "pdebug N" - set libpcap debugging level.
>> (фильтры компилируются pppd в bpf код с использованием libpcap).
>
> что такое libpcap ? - извините за глуппый вопрос
>
bpf имеет свой язык-код довольно похожий на какой-нибудь макроассемблер,
для того чтобы проще было с ним работать используют что-нибудь более
высокоуровневое и удобное в обращении, нп libpcap.
По правильному оно называется как-то - system-independed interface for
user-level packet capture.
bye.
--
Vladimir Yakovetsky
--- ifmail v.2.15dev5
* Origin: yx disorganized groupie (2:5020/400)
Вернуться к списку тем, сортированных по: возрастание даты уменьшение даты тема автор
|
