|
ru.unix.bsd
- RU.UNIX.BSD ------------------------------------------------------------------
From : Victor Sudakov 2:5020/400 20 Jul 2007 06:51:48
To : Vadim Goncharov
Subject : Re: ipfw and keep-state
--------------------------------------------------------------------------------
Vadim Goncharov wrote:
> VS> Есть набор правил:
> VS> 00050 divert 8668 ip from any to any via rl0
> VS> 00220 allow ip from x.x.x.x/27 to y.y.y.y keep-state
> VS> 00300 deny log logamount 100 ip from x.x.x.x/27 to any out via rl0
> VS> 00400 deny log logamount 100 ip from any to x.x.x.x/27 in via rl0
> VS> 65535 allow ip from any to any
> VS> Почему может такое происходить, что при попытке установить tcp сессию с
> VS> x.x.x.x на y.y.y.y динамическое правило не создаётся и обратные пакеты
> VS> режутся 400-м правилом? Это как-то связано с 50-м правилом: если его
> VS> убрать, динамическое правило будет создаваться.
> VS> Где я торможу?
> В порядке прохождения пакетов через ipfw. В данном рулесете каждый пакет
> "наружу" попадет в divert 4 раза,
То так. Однако простейший пример, который я брал из /etc/rc.firewall.
> правило проверки стоит уже после
> диверта, на прохождении в out через него пойдет пакет с уже
> оттранслированным адресом. Следует разделить диверты на входе и выходе
> и соответственно расположить динамические правила.
> У меня это делается примерно вот так:
> ipfw add divert natd ip from $graynet to any out xmit $extiface recv $intiface
> ipfw add divert natd ip from any to $ext_nat_address in recv $extiface
А где должен стоять keep-state относительно этих двух строчек?
Впрочем, keep-state не обязательно, natd сам отсеет ненужный входящий
трафик. Задача в другом - часть пакетов из приватной сети должна уйти
в ipsec, часть пройти через NAT и далее попасть на разрешённый список
хостов в Интернете, а остальной трафик должен быть запрещён.
--
Victor Sudakov, VAS4-RIPE, VAS47-RIPN
2:5005/49@fidonet http://vas.tomsk.ru/
--- ifmail v.2.15dev5.3
* Origin: AO "Svyaztransneft", SibPTUS (2:5020/400)
Вернуться к списку тем, сортированных по: возрастание даты уменьшение даты тема автор
|
