https://m.opennet.me/openforum/vsluhforumID1/93213.html Видел несколько похожих тем но так и не нашел решения.<br><br>Дано - стоит машинка FreeBSD 9.0 + PF<br>2 сетевые карты, одна снаружи с белым IP, вторая внутри шлюзом у всех машин<br><br>sysctl ip.forwarding включен<br>gateway_enable="YES" стоит<br><br>проблема: работает NAT, работает форвард снаружи - не работает форвард изнутри на локальный порт машины <br>Конкретно - перехват порта 80 с заворачиванием на squid, но это в данном случае не важно т.к. не работает никакой перехват - например проброс на локальный адрес на порт 22 тоже не работает<br><br>По результатам tcpdump - пакеты на внутреннем интерфейсе видны, а на lo0 уже ничего нет<br><br>'pfctl -sa' правило редиректа показывает (fxp0 - внутренняя карточка) :<br>rdr pass on fxp0 inet proto tcp from 192.168.200.0/24 to any port = http -&gt; 192.168.200.1 port 3127<br> [ Evaluations: 27 Packets: 21 Bytes: 1040 States: 4 ]<br> [ Inserted: uid 0 pid 82759 State Creations: 8 ]<br><br>пробую с машины 192.168.200.8, с нее разрешил вообще все (см ниже конфиг)<br><br>Конфиг P https://m.opennet.me/openforum/vsluhforumID1/93213.html#18 Thu, 26 Apr 2012 14:33:41 GMT Переписал конфу - сделал с тегированием пакетов, но счастье не произошло... проброс снаружи так и есть, проброса изнутри так и нет.<br><br>Физически пока не добрался до сервака чтобы с интерфейсами поиграться<br><br>Как бы это дело подебагить - что происходит с пакетом после его прихода на внутренний интерфейс, почему он теряется... ?<br><br>конфа стала такой:<br><br>ext_if="xl0"<br>int_if="fxp0"<br>internal_net="192.168.200.0/24"<br><br>tcp_services="{ PORT }"<br><br>allowed_ports="{5190, 2041, 2042, 2043, 2044}"<br>web_ports="{80, 8080, 443}"<br>icmp_types="echoreq"<br><br>table &lt;remote&gt; {IP}<br>table &lt;priv&gt; {IP, IP, IP }<br><br>set block-policy drop<br>set loginterface $ext_if<br><br>set skip on lo<br><br>scrub in<br><br>nat on $ext_if from !($ext_if) tagged USER_TRAFFIC -&gt; ($ext_if:0)<br>nat on $ext_if from !($ext_if) tagged PRIV_TRAFFIC -&gt; ($ext_if:0)<br><br>nat-anchor "ftp-proxy/*"<br>rdr-anchor "ftp-proxy/*"<br><br>rdr pass on $ext_if proto tcp from &lt;remote&gt; to $ext_if port 80 tag REMOTE_WEB -&gt; 192.168.200.7<br>rdr pass on $ext_if proto tcp from &lt;remote&gt; to $ext_if port https://m.opennet.me/openforum/vsluhforumID1/93213.html#17 Sun, 08 Apr 2012 16:22:37 GMT Странно - в хэндбуке эти шаги опущены<br>8. make delete-old<br>11. make delete-old-libs<br>В остальном все именно так и делал (про KERNCONF= скипнул т.к. без этой опции кастомное ярдо не собрать все равно никак )<br><br>ну да не суть<br>mergemaster -p я скипнул т.к. а) делал его при первом обновлении и б) сервак на удаленке, физического доступа у меня к нему нет соотв. в сингл-юзер его выводить не стоит :)<br><br>Есть у меня мысль как буду физически у сервака поиграться интерфейсами, может просто поменять местами или другие сетевые платы поставить... Других идей пока больше нет <br> https://m.opennet.me/openforum/vsluhforumID1/93213.html#16 Sat, 07 Apr 2012 20:41:27 GMT &gt;[оверквотинг удален]<br>&gt; make buildworld <br>&gt; make buildkernel (сначала скомпилил и поставил GENERIC) <br>&gt; make installkernel <br>&gt; reboot <br>&gt; make installworld <br>&gt; mergemaster <br>&gt; когда убедился что все завелось (но не завелось то что мне нужно <br>&gt; :) ) - собрал кастомное ядро на основе стандартного, сильно не <br>&gt; допиливал - убрал ненужные дрова сети и добавил pf и ALTQ <br>&gt; в ядро <br><br>Если быть точным, то хронология такова:<br><br>1. cd /usr/src<br>2. make buildworld<br>3. make buildkernel KERNCONF=Имя_конфига_ядра_указанного_в_опции_ident<br>4. make installkernel KERNCONF=Имя_конфига_ядра_указанного_в_опции_ident<br>5. reboot (in single user mode: boot -s from the loader prompt).<br>6. mergemaster -p<br>7. make installworld<br>8. make delete-old<br>9. mergemaster -iUF<br>10. reboot<br>11. make delete-old-libs<br><br> https://m.opennet.me/openforum/vsluhforumID1/93213.html#15 Sat, 07 Apr 2012 19:58:26 GMT Обновил через cvsup<br>(часть конфига)<br>*default release=cvs tag=RELENG_9<br>src-all<br><br>далее - по хэндбуку<br><br>make buildworld<br>make buildkernel (сначала скомпилил и поставил GENERIC)<br>make installkernel<br>reboot<br>make installworld<br>mergemaster<br><br>когда убедился что все завелось (но не завелось то что мне нужно :) ) - собрал кастомное ядро на основе стандартного, сильно не допиливал - убрал ненужные дрова сети и добавил pf и ALTQ в ядро<br> https://m.opennet.me/openforum/vsluhforumID1/93213.html#14 Sat, 07 Apr 2012 19:37:06 GMT &gt; Печально - но проблема так и не решилась обновлением исходников и пересборкой <br>&gt; ядра и мира ...<br><br>Хм... Как обновляли, пересобирали?..<br> https://m.opennet.me/openforum/vsluhforumID1/93213.html#13 Sat, 07 Apr 2012 19:18:59 GMT Печально - но проблема так и не решилась обновлением исходников и пересборкой ядра и мира ...<br> https://m.opennet.me/openforum/vsluhforumID1/93213.html#12 Wed, 04 Apr 2012 13:58:32 GMT Приколы нашего городка :)<br>На свежеустановленной виртуалке с ровно тем же конфигом (копипаст кроме ессно имен интерфейсов) редирект работает <br><br>Ядро то же стоковое, осталось только одно отличие - я на живом сервере обновлял World, конфы там все брал дефолтные т.к. делал это сразу еще на пустой машине<br><br>sysctl net.inet - существенных отличий не нашел, нет такого чтобы где-то было 1 где-то 0<br> https://m.opennet.me/openforum/vsluhforumID1/93213.html#11 Wed, 04 Apr 2012 10:17:53 GMT делаю просто pfctl -f /etc/test.conf (чтобы если что накосячу - при ребуте обратно все встало)<br>Такой вызов ведь очищает старые правила и грузит новые - или у меня снова недостаток знаний? :)) <br>Смотрел по выводу 'pfctl -sr' вроде правила подменяются<br><br>Для очистки совести сделал полный флаш<br>pfctl -F all -f /etc/pfc.cnf<br>но результата так и нет<br>(заапдейтил старый пост - telnet после set skip on lo0 стал подключаться на 127.0.0.1 но в общем и все)<br><br>Виртуалка - да, уже поднята под это дело... <br>Если интересно - отпишусь по результатам<br> https://m.opennet.me/openforum/vsluhforumID1/93213.html#10 Wed, 04 Apr 2012 10:06:33 GMT &gt;[оверквотинг удален]<br>&gt;&gt; telnet: Unable to connect to remote host <br>&gt;&gt; telnet 192.168.200.1 25 <br>&gt;&gt; Trying 192.168.200.1...<br>&gt;&gt; telnet: connect to address 192.168.200.1: Operation not permitted <br>&gt;&gt; telnet: Unable to connect to remote host <br>&gt;&gt; Те же самые порты (25, 110, 3127, 3128 ...) из внутренней сети <br>&gt;&gt; работают на ура <br>&gt;&gt; Добавил set skip on lo0 - эффекта нет <br>&gt; Правила правильно перегружаете? pfctl -F rules /etc/pf.conf и pfctl -F nat <br>&gt; /etc/pf.conf ?<br><br> Так правильнее -)<br>pfctl -F rules -f /etc/pf.conf<br> .....<br>