>>>add 1 fwd IP_2,443 tcp from any to IP_1
>>
>>по этому правилу, клиент пришедший на любой порт IP_1 будет перенаправлен на
>>IP_2 порт 443
>
>а не наоборот? Мы с вами не в лесу сидим, и не обязаны полагаться только на собственную память. обратимся к первоситочнику- тоесть к руководству по настройке файрвола ipfw.
Руководство содержится в поставке операционной системы,но можно воспользоваться поиском в интернете и получить переведенную копию если вас чем-то не устраивает руководство на англицком языке
В ОС руководство вызывается командой man ipfw
И так что же пишет руководство по настройке файрвола по этому поводу?
@>man ipfw
=========================================
Конфигурация брандмауэра задается в виде списка пронумерованных правил, который просматривается для каждого пакета пока не будет найдено соответствие - тогда выполняется заданное соответствующим правилом действие. В зависимости от действия и некоторых установок в системе, пакеты могут возвращаться на брандмауэр для обработки правилами, начиная со следующего за сработавшим. Все правила применяются ко всем интерфейсам, так что задача написания набора правил с минимально необходимым количеством проверок возлагается на системного администратора.
Конфигурация всегда включает стандартное правило (DEFAULT) с номером 65535, которое нельзя изменять и которое соответствует любому пакету. С этим стандартным правилом может быть связано действие deny или allow, в зависимости от конфигурации ядра.
Правила ipfw имеют следующий формат:
[prob вероятность_сопоставления] действие [log [logamount число]] протокол from исходный_адрес to целевой_адрес [спецификация_интерфейса] [опции]
Каждый пакет можно фильтровать на основе следующей, связанной с ним информации:
* Интерфейс передачи и приема (по имени или адресу)
* Направление (входящий или исходящий)
* Исходный и целевой IP-адреса (возможно, замаскированные)
* Протокол (TCP, UDP, ICMP и т.п.)
* Исходный и целевой порт (можно указывать списки, диапазоны или маски)
* Флаги TCP
* Флаг IP-фрагмента
* Опции IP
* Типы ICMP
* Идентификатор пользователя/группы для сокета, связанного с пакетом
действие:
fwd ip-адрес[,порт]
Изменяет следующий переход (next-hop) для соответствующих пакетов, направляя их по указанному ip-адресу, который можно задавать либо в виде четверки чисел через точку, либо по имени хоста. Если ip-адрес непосредственно не доступен, вместо него используется соответствующий маршрут, полученный по локальной таблице маршрутизации. Если ip-адрес - локальный, при поступлении в систему пакета с удаленного хоста он будет перенаправлен на заданный порт на локальной машине, так что локальный адрес сокета остается установленным в соответствии с исходным IP-адресом, по которому направлялся пакет. Это действие предназначено для использования в прозрачных промежуточных серверах. Если IP-адрес - не локальный, дальнейший поиск прекращается; однако, при выходе из канала если переменная sysctl(8) net.inet.ip.fw.one_pass не установлена, пакет снова передается брандмауэру для проверки, начиная со следующего правила.
divert порт
Перенаправляет пакеты, соответствующие правилу, на сокет divert(4), связанный с указанным портом. Дальнейший поиск прекращается.
=========================================
Упоминающиеся в формате строки адреса "from исходный_адрес to целевой_адрес" относятся
к информации содержащейся в заголовке пакета. И по сути являются маской - тоесть "действие" будет применено только к тем пакетам, которые попадают под эту маску.
действие форварда - означает перенаправление пакета "туда куда пошлют". Это может быть как локальный адрес так и адрес какогото сервера "гдето там далеко в интернете". Заголовок пакета изменяется. Если подразумевается, что на данный пакет ожидается ответ, то он придет отправителю уже с "нового" адреса.
действие диверта - означает что пакет будет перенаправлен в программу, запущенной на том же компьютере что и файрвол. Внешняя программа делает с пакетом что ей заблагорассудится.
Руководство по настройке файрвола - ценный источник сведений о правильном формате правил которыми конфигурируется файрвол ipfw, и изучение его приносит массу удовольствия.
Успехов вам в чтении документации :)
Вариант для распечатки
