https://opennet.ru/openforum/vsluhforumID10/3133.html Привет всем знатокам!<br><br>У меня проблемы с правилами ipfw. Нужна помощь и советы.<br><br>Ситуация такая:<br><br>В офисе стоит шлюз на фрю 6.1, на данном шлюзе два интерфейса ${inet} и ${local}, ну тут понятно, что куда смотрит. <br><br>Вот вот мои правила:<br><br>${ipfw} add 100 deny all from 192.168.0.10 to any out via ${inet}<br><br>Вот правило, если кому не лень расскажите, что это правило означает. Я хотел этим правилом ограничить юзеру доступ в инет. Если я неправ поправьте меня.<br><br>Спасибо. https://opennet.ru/openforum/vsluhforumID10/3133.html#11 Sat, 27 Oct 2007 17:45:51 GMT &gt;&gt;&gt;А Вы еще читайте, и так - до просветления! <br>&gt;&gt;&gt;Можете еще почитать здесь: http://www.freebsd.org/doc/ru_RU.KOI8-R/books/handbook/firewalls-ipfw.html <br>&gt;&gt;&gt;<br><br>IPFW<br><br><br>Этот раздел не переведен.<br> https://opennet.ru/openforum/vsluhforumID10/3133.html#10 Mon, 05 Feb 2007 11:10:07 GMT &gt;&gt;&gt;&gt;&gt;&gt;&gt;<br>&gt;&gt;&gt;&gt;&gt;&gt;&gt;Почитайте man ipfw, там вся структура правил изложена. <br>&gt;&gt;&gt;&gt;&gt;&gt;<br>&gt;&gt;&gt;&gt;&gt;&gt;Я уже все маны излазил и всё равно данное правило лочит всю <br>&gt;&gt;&gt;&gt;&gt;&gt;локалку <br>&gt;&gt;&gt;&gt;&gt;<br>&gt;&gt;&gt;&gt;&gt;А Вы еще читайте, и так - до просветления! <br>&gt;&gt;&gt;&gt;&gt;Можете еще почитать здесь: http://www.freebsd.org/doc/ru_RU.KOI8-R/books/handbook/firewalls-ipfw.html <br>&gt;&gt;&gt;&gt;&gt;<br>&gt;&gt;&gt;&gt;&gt;А сюда лучше приведите вывод ipfw list. <br>&gt;&gt;&gt;&gt;&gt;<br>&gt;&gt;&gt;&gt;&gt;PS "Лочить" пользователя из локалки лучше на внутреннем интерфейсе, т.е. <br>&gt;&gt;&gt;&gt;&gt;<br>&gt;&gt;&gt;&gt;&gt;${ipfw} add 100 deny all from 192.168.0.10 to any in via ${local} <br>&gt;&gt;&gt;&gt;&gt;<br>&gt;&gt;&gt;&gt;&gt;<br>&gt;&gt;&gt;&gt;&gt;или что-то в этом роде. <br>&gt;&gt;&gt;&gt;<br>&gt;&gt;&gt;&gt;Я всё это читаю уже неделю, кажется у меся со строкой "firewall_type" <br>&gt;&gt;&gt;&gt;<br>&gt;&gt;&gt;&gt;которая находится в rc.conf . Когда стоит значение "OPEN" все нормально проходит <br>&gt;&gt;&gt;&gt;и уходит как только ставишь значение "SIMPLE" всё лочится и не <br>&gt;&gt;&gt;&gt;важно какие правила находятся в файле. <br>&gt;&gt;&gt;&gt;<br>&gt;&gt;&gt;&gt;На данный момент смысла нет предоставлять ipfw list так как там одно <br>&gt;&gt;&gt;&gt;правило, по умолчанию, которое разрешает все и всем. https://opennet.ru/openforum/vsluhforumID10/3133.html#9 Mon, 05 Feb 2007 10:57:25 GMT &gt;&gt;&gt;&gt;&gt;&gt;<br>&gt;&gt;&gt;&gt;&gt;&gt;Почитайте man ipfw, там вся структура правил изложена. <br>&gt;&gt;&gt;&gt;&gt;<br>&gt;&gt;&gt;&gt;&gt;Я уже все маны излазил и всё равно данное правило лочит всю <br>&gt;&gt;&gt;&gt;&gt;локалку <br>&gt;&gt;&gt;&gt;<br>&gt;&gt;&gt;&gt;А Вы еще читайте, и так - до просветления! <br>&gt;&gt;&gt;&gt;Можете еще почитать здесь: http://www.freebsd.org/doc/ru_RU.KOI8-R/books/handbook/firewalls-ipfw.html <br>&gt;&gt;&gt;&gt;<br>&gt;&gt;&gt;&gt;А сюда лучше приведите вывод ipfw list. <br>&gt;&gt;&gt;&gt;<br>&gt;&gt;&gt;&gt;PS "Лочить" пользователя из локалки лучше на внутреннем интерфейсе, т.е. <br>&gt;&gt;&gt;&gt;<br>&gt;&gt;&gt;&gt;${ipfw} add 100 deny all from 192.168.0.10 to any in via ${local} <br>&gt;&gt;&gt;&gt;<br>&gt;&gt;&gt;&gt;<br>&gt;&gt;&gt;&gt;или что-то в этом роде. <br>&gt;&gt;&gt;<br>&gt;&gt;&gt;Я всё это читаю уже неделю, кажется у меся со строкой "firewall_type" <br>&gt;&gt;&gt;<br>&gt;&gt;&gt;которая находится в rc.conf . Когда стоит значение "OPEN" все нормально проходит <br>&gt;&gt;&gt;и уходит как только ставишь значение "SIMPLE" всё лочится и не <br>&gt;&gt;&gt;важно какие правила находятся в файле. <br>&gt;&gt;&gt;<br>&gt;&gt;&gt;На данный момент смысла нет предоставлять ipfw list так как там одно <br>&gt;&gt;&gt;правило, по умолчанию, которое разрешает все и всем. <br>&gt;&gt;&gt;<br>&gt;&gt;&gt;К стати пример $ https://opennet.ru/openforum/vsluhforumID10/3133.html#8 Sun, 04 Feb 2007 07:45:19 GMT &gt;Всякий уважающий себя провайдер на первом же хопе зарубит любой пакет, у <br>&gt;которого в SRC или DST прописан адрес из RFC1918. <br>&gt;<br>&gt;Данное правило проистекает из природы "серых адресов". Поскольку сети 10.*.*.*, 172.16.*.* и <br>&gt;192.168.*.* могут использоваться каждым встречным-поперечным на свое усмотрение, то таких в/п <br>&gt;надлежит надежно изолировать от окружающих - таких же в/п. <br>&gt;<br>&gt;Наиболее распространенные способы пропускания наружу пакетов из серых сетей - это трансляция <br>&gt;адресов и проксирование. Если в вашей сети настроен НАТ, то указанное <br>&gt;вами блокирующее правило можно отключить. Пакет с адресом из RFC1918 получит <br>&gt;"честный" адрес наружного интерфейса и поедет по назначению беспрепятственно. <br><br>Т.е. Вы считаете, что нужно ставить проксю и уже через неё давать доступ юзерам? <br> https://opennet.ru/openforum/vsluhforumID10/3133.html#7 Sat, 03 Feb 2007 23:50:08 GMT Всякий уважающий себя провайдер на первом же хопе зарубит любой пакет, у которого в SRC или DST прописан адрес из RFC1918.<br><br>Данное правило проистекает из природы "серых адресов". Поскольку сети 10.*.*.*, 172.16.*.* и 192.168.*.* могут использоваться каждым встречным-поперечным на свое усмотрение, то таких в/п надлежит надежно изолировать от окружающих - таких же в/п.<br><br>Наиболее распространенные способы пропускания наружу пакетов из серых сетей - это трансляция адресов и проксирование. Если в вашей сети настроен НАТ, то указанное вами блокирующее правило можно отключить. Пакет с адресом из RFC1918 получит "честный" адрес наружного интерфейса и поедет по назначению беспрепятственно. https://opennet.ru/openforum/vsluhforumID10/3133.html#6 Mon, 29 Jan 2007 14:52:53 GMT &gt;&gt;&gt;&gt;&gt;<br>&gt;&gt;&gt;&gt;&gt;Почитайте man ipfw, там вся структура правил изложена. <br>&gt;&gt;&gt;&gt;<br>&gt;&gt;&gt;&gt;Я уже все маны излазил и всё равно данное правило лочит всю <br>&gt;&gt;&gt;&gt;локалку <br>&gt;&gt;&gt;<br>&gt;&gt;&gt;А Вы еще читайте, и так - до просветления! <br>&gt;&gt;&gt;Можете еще почитать здесь: http://www.freebsd.org/doc/ru_RU.KOI8-R/books/handbook/firewalls-ipfw.html <br>&gt;&gt;&gt;<br>&gt;&gt;&gt;А сюда лучше приведите вывод ipfw list. <br>&gt;&gt;&gt;<br>&gt;&gt;&gt;PS "Лочить" пользователя из локалки лучше на внутреннем интерфейсе, т.е. <br>&gt;&gt;&gt;<br>&gt;&gt;&gt;${ipfw} add 100 deny all from 192.168.0.10 to any in via ${local} <br>&gt;&gt;&gt;<br>&gt;&gt;&gt;<br>&gt;&gt;&gt;или что-то в этом роде. <br>&gt;&gt;<br>&gt;&gt;Я всё это читаю уже неделю, кажется у меся со строкой "firewall_type" <br>&gt;&gt;<br>&gt;&gt;которая находится в rc.conf . Когда стоит значение "OPEN" все нормально проходит <br>&gt;&gt;и уходит как только ставишь значение "SIMPLE" всё лочится и не <br>&gt;&gt;важно какие правила находятся в файле. <br>&gt;&gt;<br>&gt;&gt;На данный момент смысла нет предоставлять ipfw list так как там одно <br>&gt;&gt;правило, по умолчанию, которое разрешает все и всем. <br>&gt;&gt;<br>&gt;&gt;К стати пример ${ipfw} add 100 deny all from https://opennet.ru/openforum/vsluhforumID10/3133.html#5 Mon, 29 Jan 2007 14:40:20 GMT &gt;&gt;&gt;&gt;<br>&gt;&gt;&gt;&gt;Почитайте man ipfw, там вся структура правил изложена. <br>&gt;&gt;&gt;<br>&gt;&gt;&gt;Я уже все маны излазил и всё равно данное правило лочит всю <br>&gt;&gt;&gt;локалку <br>&gt;&gt;<br>&gt;&gt;А Вы еще читайте, и так - до просветления! <br>&gt;&gt;Можете еще почитать здесь: http://www.freebsd.org/doc/ru_RU.KOI8-R/books/handbook/firewalls-ipfw.html <br>&gt;&gt;<br>&gt;&gt;А сюда лучше приведите вывод ipfw list. <br>&gt;&gt;<br>&gt;&gt;PS "Лочить" пользователя из локалки лучше на внутреннем интерфейсе, т.е. <br>&gt;&gt;<br>&gt;&gt;${ipfw} add 100 deny all from 192.168.0.10 to any in via ${local} <br>&gt;&gt;<br>&gt;&gt;<br>&gt;&gt;или что-то в этом роде. <br>&gt;<br>&gt;Я всё это читаю уже неделю, кажется у меся со строкой "firewall_type" <br>&gt;<br>&gt;которая находится в rc.conf . Когда стоит значение "OPEN" все нормально проходит <br>&gt;и уходит как только ставишь значение "SIMPLE" всё лочится и не <br>&gt;важно какие правила находятся в файле. <br>&gt;<br>&gt;На данный момент смысла нет предоставлять ipfw list так как там одно <br>&gt;правило, по умолчанию, которое разрешает все и всем. <br>&gt;<br>&gt;К стати пример ${ipfw} add 100 deny all from 192.168.0.10 to any <br>&gt;in v https://opennet.ru/openforum/vsluhforumID10/3133.html#4 Mon, 29 Jan 2007 14:34:52 GMT &gt;&gt;&gt;<br>&gt;&gt;&gt;Почитайте man ipfw, там вся структура правил изложена. <br>&gt;&gt;<br>&gt;&gt;Я уже все маны излазил и всё равно данное правило лочит всю <br>&gt;&gt;локалку <br>&gt;<br>&gt;А Вы еще читайте, и так - до просветления! <br>&gt;Можете еще почитать здесь: http://www.freebsd.org/doc/ru_RU.KOI8-R/books/handbook/firewalls-ipfw.html <br>&gt;<br>&gt;А сюда лучше приведите вывод ipfw list. <br>&gt;<br>&gt;PS "Лочить" пользователя из локалки лучше на внутреннем интерфейсе, т.е. <br>&gt;<br>&gt;${ipfw} add 100 deny all from 192.168.0.10 to any in via ${local} <br>&gt;<br>&gt;<br>&gt;или что-то в этом роде. <br><br>Я всё это читаю уже неделю, кажется у меся со строкой "firewall_type"<br>которая находится в rc.conf . Когда стоит значение "OPEN" все нормально проходит и уходит как только ставишь значение "SIMPLE" всё лочится и не важно какие правила находятся в файле.<br><br>На данный момент смысла нет предоставлять ipfw list так как там одно правило, по умолчанию, которое разрешает все и всем.<br><br>К стати пример ${ipfw} add 100 deny all from 192.168.0.10 to any in via ${local}<br>опять же не работает :( https://opennet.ru/openforum/vsluhforumID10/3133.html#3 Mon, 29 Jan 2007 14:01:27 GMT &gt;&gt;<br>&gt;&gt;Почитайте man ipfw, там вся структура правил изложена. <br>&gt;<br>&gt;Я уже все маны излазил и всё равно данное правило лочит всю <br>&gt;локалку <br><br>А Вы еще читайте, и так - до просветления!<br>Можете еще почитать здесь: http://www.freebsd.org/doc/ru_RU.KOI8-R/books/handbook/firewalls-ipfw.html<br><br>А сюда лучше приведите вывод ipfw list.<br><br>PS "Лочить" пользователя из локалки лучше на внутреннем интерфейсе, т.е.<br><br>${ipfw} add 100 deny all from 192.168.0.10 to any in via ${local}<br><br>или что-то в этом роде.<br>