|
ru.unix.bsd
- RU.UNIX.BSD ------------------------------------------------------------------
From : Kirill Nuzhdin 2:5020/400 19 Jul 2007 13:04:22
To : Victor Sudakov
Subject : Re: ipfw and keep-state
--------------------------------------------------------------------------------
Victor Sudakov wrote:
> Kirill Nuzhdin wrote:
>>> Есть набор правил:
>>>
>>> 00050 divert 8668 ip from any to any via rl0
>>> 00220 allow ip from x.x.x.x/27 to y.y.y.y keep-state
>>> 00300 deny log logamount 100 ip from x.x.x.x/27 to any out via rl0
>>> 00400 deny log logamount 100 ip from any to x.x.x.x/27 in via rl0
>>> 65535 allow ip from any to any
>>>
>>> Почему может такое происходить, что при попытке установить tcp сессию с
>>> x.x.x.x на y.y.y.y динамическое правило не создаётся и обратные пакеты
>>> режутся 400-м правилом? Это как-то связано с 50-м правилом: если его
>>> убрать, динамическое правило будет создаваться.
>>>
>>> Где я торможу? И что можно проделать, кроме явного разрешения обратного
>>> трафика с y.y.y.y ?
>
>> а что нат с этими пакетами делает? (x.x.x.x->y.y.y.y)
>
> natd настроен транслировать любые RFC1918 адреса в некий публичный
> адрес (не в y.y.y.y).
очевидно, что
1. правило 50 (именно нат) модифицирует пакеты вида x.x.x.x->y.y.y.y так, что
они перестают попадать под правило from x.x.x.x/27 to y.y.y.y
2. после модификации пакетов, они таки доходят до некоего адресата, ответы
которого попадают под правило 400 from any to x.x.x.x/27 in via rl0
было бы проще ответить на вопрос, если представлять где адреса хххх уууу, из
какой подсети адрес у rl0, как идет интересующий пакет, пришедший на rl0 пакет,
что из хххх и уууу из рфц1918, а что нет
--
Best regards,
Kirill Nuzhdin
--- ifmail v.2.15dev5.3
* Origin: MSU (2:5020/400)
Вернуться к списку тем, сортированных по: возрастание даты уменьшение даты тема автор
|
