Доброго времени суток, который день бьюсь над одной конфигурацией:
Шлюз на FreeBSD 6.2 имеется 3 интерфейса к различным провайдерам и 1 интерфейс в локальную сеть. Нада настроить систему чтобы для работы в интернете использовался определенный провайдер выбираемый на основе маршрута по умолчанию. При запросах по определенным портам на другие внешние интерфейсы из интернета ответ посылался через интерфейс на который поступил запрос (policy based routing как я понимаю), а не отправлялся через маршрут по умолчанию.
из того что уже наковырял:
rc.confdefaultrouter="1.1.1.1"
gateway_enable="YES"
hostname="Inetserv"
ifconfig_re0="inet 192.168.1.2 netmask 255.255.255.0"
ifconfig_vr0="inet 1.1.1.2 netmask 255.255.255.252"
ifconfig_vr1="inet 2.2.2.2 netmask 255.255.255.252"
ifconfig_vr2="inet 3.3.3.2 netmask 255.255.255.252"
kern_securelevel="1"
kern_securelevel_enable="YES"
keymap="ru.koi8-r"
linux_enable="YES"
nfs_client_enable="YES"
#router="/sbin/routed"
#router_enable="YES"
#router_flags="-s"
sshd_enable="YES"
usbd_enable="YES"
firewall_enable="YES"
firewall_script="/etc/ipfw.script"
natd1_enable="YES"
natd1_interface="vr0"
natd1_flags="-f /etc/natd1.conf"
natd2_enable="YES"
natd2_interface="vr1"
natd2_flags="-f /etc/natd2.conf"
natd3_enable="YES"
natd3_interface="vr2"
natd3_flags="-f /etc/natd3.conf"
natdx.conf
port 866x
log yes
log_denied yes
log_ipfw_denied yes
use_sockets yes
same_ports yes
unregistered_only yes
redirect_port tcp 192.168.1.8:20 20
redirect_port tcp 192.168.1.9:21 21
redirect_port tcp 192.168.1.10:220 220
redirect_port tcp 192.168.1.11:143 143
redirect_port tcp 192.168.1.14:25 25
redirect_port tcp 192.168.1.15:110 110
redirect_port udp 192.168.1.16:1701 1701
redirect_port tcp 192.168.1.17:1723 1723
redirect_port tcp 192.168.1.1:3389 16000
redirect_port tcp 192.168.1.13:3389 16001
redirect_port tcp 192.168.1.3:3389 13125
redirect_port tcp 192.168.1.4:3050 3050
redirect_port tcp 192.168.1.5:28758 28758
redirect_port tcp 192.168.1.6:28756 28756
redirect_port tcp 192.168.1.7:28757 28757
ipfw.script
#!/bin/sh
ipfw -f flush
cmd="ipfw add"
iif1="vr0"
iif2="vr1"
iif3="vr2"
lan="192.168.1.0/24"
lif="re0"
iip1="1.1.1.2"
iip2="2.2.2.2"
iip3="3.3.3.2"
igw1="1.1.1.1"
igw2="2.2.2.1"
igw3="3.3.3.1"
#Allowing localhost and protecting it
$cmd allow ip from any to any via lo0
$cmd deny ip from any to 127.0.0.0/8
$cmd deny ip from 127.0.0.0/8 to any
$cmd divert natd1 ip from any to any
$cmd divert natd2 ip from any to any
$cmd divert natd3 ip from any to any
$cmd fwd $igw1 ip from $iip1 to any
$cmd fwd $igw2 ip from $iip2 to any
$cmd fwd $igw3 ip from $iip3 to any
$cmd divert natd1 ip from any to $iip1
$cmd divert natd2 ip from any to $iip2
$cmd divert natd3 ip from any to $iip3
$cmd check-state
#дальше идет кучка правил смысл которых сводится к тому что все вокруг разрешенно и keep-state.... заканчиваются они "$cmd allow all from any to any"
Наты прописал в /etc/rc.d отдельными вхождениями, поправил для них /etc/services (указал там порты), так что тут проблем точно нет.
Пинг я вроде заставил уходить с того интерфейса на который он был послан (подозреваю связку keep-state и форварда), но вот как заставить уходить с тогоже интерфейса еще и пакеты которые пересылались порт редиректом ната на другую машину??? смотрел логи дивертов с форвадрами: пакет принимается и пересылается на машину внутри сети, дальше он возвращается и пытается уйти через шлюз по умолчанию где доблестно погибает от ударов в маршрутизаторы другого провайдера...
Ктонить подскажите как это исправить. Очень надо чтоб все работало, очень хочу чтоб работало под FreeBSD и в связке ipfw + natd.
Помогите чайнику, если можно то пожалуйста с примерами и если не затруднит с объяснением.
Заранее примного благодарен
Вариант для распечатки
Информационная безопасность (Public)
on 10-Май-07, 01:55 
