Отправляет email-рассылки с помощью сервиса Sendsay

[BSD] Решение вопросов по FreeBSD, OpenBSD и NetBSD

Подписаться Бесплатный дискуссионный лист Подписчиков 788
←   Апрель 2004   →
 1
 2
02.04.2004
20:47:04
23:28:05
 3
03.04.2004
18:05:52
18:06:27
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30


За последние 60 дней ни разу не выходила


Сайт листа: http://www.linuxrsp.ru
Открыт: 04-03-2004
Пре-модерация: Нет
Адрес для писем в лист: comp.soft.bsd.all-list@subscribe.ru
Адрес модератора: comp.soft.bsd.all-owner@subscribe.ru

Модератор
Фёдор Сорекс

Статистика

788 подписчиков
0 за неделю

странность.

Доброго времени суток, All.

есть такая схема:
сетка|---|сервер|---|какая-то кошка|---|прокси.

сервер - freebsd 4.9-rel-p1, между ним и кошкой модемная выделенка. модем -
zyx u336s.

проблема странная:
если в файрволе сервера не прописано allow all from any to any, то клиенты из

сетки не могут работать с прокси. странно то, что пинги до этой самой прокси

идут нормально, да и трейсы тоже.

в файрволе прописано вот что:
ip="172.20.55.194"
net="172.20.55.0"
mask="255.255.255.0"
${fwcmd} add allow all from ${ip} to any out
${fwcmd} add allow all from any to ${ip} in
${fwcmd} add pass all from ${net}:${mask} to any out
${fwcmd} add pass all from any to ${net}:${mask} in

NAT не используется.

вопрос - кто виноват и что делать?

Ответить   Tema Zelikin Fri, 2 Apr 2004 20:10:05 +0400 (#117283)

 

Ответы:

Здравствуй, Tema.

Friday, April 2, 2004, 8:10:05 PM, you wrote:

а Вы не хотите сделать это все на внешнем интерфейсе (имхо
у Вас это ppp0). Например
oif="ppp0"
${fwcmd} add pass all from ${net}:${mask} to any xmit ${oif}
${fwcmd} add pass all from any to ${net}:${mask} recv ${oif}

т.к. имхо дело в том, что входящий на внутреннем интерфейсе
пакет, на внешнем уже есть исходящий.
А вообще, если честно я не вижу смысла в таких правилах, т.к.
фактически они открывают всю внутреннюю сеть, как при
отсутсвии файрвола.
Если Вы хотите разрешить внутренним пользователям устанавилвать
соединения вовне, но запретить устанавливать соединения извне к
машинам внутри сети, используй established, как это делается в
стандартном rc.firewall. Например так
${fwcmd} add pass tcp from any to any established
${fwcmd} add pass tcp from ${net}:${mask} to any setup
или используйте statefull firewall (правила keep-state/check-state).

-*Информационный канал Subscribe.Ru
Написать в лист: mailto:comp.soft.bsd.all-list@subscribe.ru
Отписаться: mailto:comp.soft.bsd.all--unsub@subscribe.ru

http://subscribe.ru/ mailto:ask@subscribe.ru

Ответить  
Serg Repalov
Fri, 2 Apr 2004 21:16:27 +0400 (#117368)

 

Доброго времени суток, Serg.

Friday, April 2, 2004, 9:16:27 PM, вы писали:

смысла не вижу. ppp0 - и так defaultroute, зачем еще и via ставить?

можно и так.. но я сделал простенькую схему для проверки - а она не
заработала... потому и удивился.

Ответить   Tema Zelikin Sat, 3 Apr 2004 03:35:22 +0400 (#117710)

 

Здравствуй, Tema.

Saturday, April 3, 2004, 3:35:22 AM, you wrote:

как я уже сказал имхо дело в том, что входящий на внутреннем интерфейсе
пакет, на внешнем уже есть исходящий.
Т.е. например правила
${fwcmd} add pass all from any to ${net}:${mask} in
${fwcmd} add pass all from ${net}:${mask} to any out
допустим из сети кто то устанавливает соединение вовне,
это пакет имеет адреса
from ${net}:${mask} to any
но на внутреннем интерфуйсе это _входящий_ пакет, а для
такого набора адресов есть только правло помеченное как _out_,
т.е. только для исходящих адресов. Т.е. (если я правильно представляю
себе логику работы ipfw) пакет фильтруется _дважды_ при входе
и при выходе. Поэтому и надо задать конкретный интерфейс.

С уважением, Сергей Репалов.

ЗЫ: В man ipfw есть такая диаграмка
^ to upper layers V
| |
+----------->-----------+
^ V
[ip_input] [ip_output] net.inet.ip.fw.enable=1
| |
^ V
[ether_demux] [ether_output_frame] net.link.ether.ipfw=1
| |
+-->--[bdg_forward]-->--+ net.link.ether.bridge_ipfw=1
^ V
| to devices |

судя по ней, я понимаю логику правильно, т.к. маррутизация
(стрелочка -------->) находится над ip_output и ip_input
фильтрами. Так что фильтрация действительно происходит дважды.

-*Информационный канал Subscribe.Ru
Написать в лист: mailto:comp.soft.bsd.all-list@subscribe.ru
Отписаться: mailto:comp.soft.bsd.all--unsub@subscribe.ru

http://subscribe.ru/ mailto:ask@subscribe.ru

Ответить  
Serg Repalov
Sat, 3 Apr 2004 18:52:09 +0400 (#117934)