https://opennet.dev/openforum/vsluhforumID1/87804.html Доброго дня суток! Администрирую машину на ОС FreeBSD 7.2, настроен ipfw, кастом-ядро. Собственно, недавно настроил проброс некоторых портов извне в локальну сеть на основе семерочного NAT-а (IPFW+NAT), и тут выяснил что не могу закрыть доступ к интересующим мне портам, по причине того что трафик заходит в НАТ и соответственно открывается доступ всем к любому порту....Вот правила фаервола<br><br>///////////////////////////////////////////////////////////////////////////////////////<br>#!/bin/sh<br><br><br>FwCMD="/sbin/ipfw -q"<br>LanIn="rl0"<br>LanOut="rl1"<br>IpIn="192.168.0.5"<br>IpOut="1.2.3.4"<br>NetMask="24" <br><br>local_1="192.168.0.6"<br>local_2="192.168.0.7"<br><br><br>${FwCMD} -f flush<br>${FwCMD} -f pipe flush<br>${FwCMD} -f queue flush<br><br><br>#${FwCMD} add check-state<br>${FwCMD} add allow ip from any to any via lo0<br><br>${FwCMD} add deny ip from any to 127.0.0.0/8<br>${FwCMD} add deny ip from 127.0.0.0/8 to any<br><br><br># disable x-scan<br>${FwCMD} add reject tcp from any to any tcpflags fin, syn, rst, psh, ack, urg<br># disable N-scan<br>${FwCMD} add https://opennet.dev/openforum/vsluhforumID1/87804.html#6 Sat, 09 Jan 2010 21:22:21 GMT &gt;[оверквотинг удален]<br>&gt;# limiti <br>&gt;${FwCMD} add allow tcp from any to ${IpOut} 80 limit src-addr 15 <br>&gt;<br>&gt;<br>&gt;сюда: <br>&gt;${FwCMD} add allow tcp from any to any 80 in via ${LanOut} <br>&gt;<br>&gt;${FwCMD} add allow tcp from any to any 80 in via ${LanIn} <br>&gt;<br>&gt;пакетики не доходят даже <br><br>Еще одна ошибка, извиняюсь, просто я перепробовал кучу конфигураций и начав этот тред, уже под конец запутался. <br>Проще говоря этого правила нет:<br>${FwCMD} add allow tcp from any to ${IpOut} 80 limit src-addr 15 <br><br>В любом случае благодарен за внимания к моей проблеме всем участникам, проблему решить удалось вот каким способом. Нужно было просто добавить директиву deny_in как написано тут http://zxl.nnov.ru/241-nastrojka-ipfw-nat-s-probrosom-portov.html:<br><br>${FwCMD} nat 1 config log if ${LanOut} deny_in same_ports redirect_port tcp ${local_1}:3434 5001 redirect_port tcp ${local_2}:3434 5002<br><br>И все сразу же заработало!<br><br> https://opennet.dev/openforum/vsluhforumID1/87804.html#5 Sat, 09 Jan 2010 21:15:36 GMT &gt;[оверквотинг удален]<br>&gt;Ошибся, вот как обстоят дела с правилами на 80-й порт <br>&gt;<br>&gt;${FwCMD} add allow tcp from any to any 80 in via ${LanOut} <br>&gt;<br>&gt;${FwCMD} add allow tcp from any to any 80 in via ${LanIn} <br>&gt;<br>&gt;<br>&gt;<br>&gt;Если эти правила удалить и перезапустить фаервол - доступ к веб-серверу по <br>&gt;прежнему будет разрешен... <br><br>вот этим правилом разрешается доступ к вашему серверу:<br><br># limiti<br>${FwCMD} add allow tcp from any to ${IpOut} 80 limit src-addr 15<br><br>сюда пакетики вобще не доходят:<br>${FwCMD} add allow tcp from any to any 80 in via ${LanOut}<br>${FwCMD} add allow tcp from any to any 80 in via ${LanIn} <br><br>и до ната тоже не доходят...<br> https://opennet.dev/openforum/vsluhforumID1/87804.html#4 Sat, 09 Jan 2010 20:00:37 GMT &gt;покажите вывод: <br>&gt;#sysctl net.inet.ip.fw.one_pass <br><br>sysctl -a &#124; grep net.inet.ip.fw.one_pass<br>net.inet.ip.fw.one_pass: 1<br><br> https://opennet.dev/openforum/vsluhforumID1/87804.html#3 Sat, 09 Jan 2010 17:35:02 GMT &gt;[оверквотинг удален]<br>&gt;Ошибся, вот как обстоят дела с правилами на 80-й порт <br>&gt;<br>&gt;${FwCMD} add allow tcp from any to any 80 in via ${LanOut} <br>&gt;<br>&gt;${FwCMD} add allow tcp from any to any 80 in via ${LanIn} <br>&gt;<br>&gt;<br>&gt;<br>&gt;Если эти правила удалить и перезапустить фаервол - доступ к веб-серверу по <br>&gt;прежнему будет разрешен... <br><br>покажите вывод:<br>#sysctl net.inet.ip.fw.one_pass<br> https://opennet.dev/openforum/vsluhforumID1/87804.html#2 Sat, 09 Jan 2010 16:17:33 GMT &gt;У вас явно разрешен доступ извне к 80 и 22 портам (к <br>&gt;80 даже 2 раза, наверное для тормозов), причем тут НАТ??? <br><br>Ошибся, вот как обстоят дела с правилами на 80-й порт<br><br>${FwCMD} add allow tcp from any to any 80 in via ${LanOut}<br>${FwCMD} add allow tcp from any to any 80 in via ${LanIn} <br><br><br>Если эти правила удалить и перезапустить фаервол - доступ к веб-серверу по прежнему будет разрешен...<br><br> https://opennet.dev/openforum/vsluhforumID1/87804.html#1 Sat, 09 Jan 2010 15:22:26 GMT &gt;[оверквотинг удален]<br>&gt;################################################################## <br>&gt;<br>&gt;<br>&gt;${FwCMD} add deny log ip from any to any <br>&gt;<br>&gt;/////////////////////////////////////////////////////////////////////////////////////// <br>&gt;<br>&gt;<br>&gt;Как сделать так, чтобы все же можно было прикрыть доступ например к <br>&gt;80-му порту или ограничить доступ к 22 порту? Помогите пожалуйста... <br><br>У вас явно разрешен доступ извне к 80 и 22 портам (к 80 даже 2 раза, наверное для тормозов), причем тут НАТ???<br>