1.1, Case (?), 20:40, 15/10/2005 [ответить] [﹢﹢﹢] [ · · · ]
| +/– |
Имхо это не правильно переделывать секцию open в системном rc.firewall.. либо указывать свой скрипт надо, либо тип файрволла ставить filename (все расписано в /etc/default/rc.conf и в комментах в оригинальном /etc/rc.firewall
И IPFIREWALL_VERBOSE_LIMIT=10, наверное лучше вообще его отключить.. и настроить ротацию логов - что бы место не забилось..
| |
1.3, XoRe (ok), 06:38, 20/10/2005 [ответить] [﹢﹢﹢] [ · · · ]
| +/– |
Можно и GENERIC редактировать, но НЕОБХОДИМЫ в нем для NAT только 2 опции:
options IPFIREWALL
options IPDIVERT
А в /etc/rc.conf для NAT неободимы только эти строки:
gateway_enable="YES"
firewall_enable="YES"
firewall_type="open"
natd_enable="YES"
natd_interface="rl0" (имя внешнего интерфейса)
Остальное - это уже пример индивидуальной настройки фаервола.
На каждом шлюзе они должны быть свои.
P.S. Содержимое статьи становится понятным, если посмотреть, кто автор ( Автор: hub.ru :)
Как я понимаю, сначала посетители hub.ru читали этот портал и выкладывали статьи там.
Теперь, видимо, пошла обратная волна )) | |
1.4, vvvua (?), 11:27, 20/10/2005 [ответить] [﹢﹢﹢] [ · · · ]
| +/– |
А если нужен ipnat?
Просто в 5.4 FreeBSD нет устройства /dev/kmem,
поэтому ipnat ругается.
Как включить это всё?
По мануалу - должно работать, но что-то где-то не так.
На 4.11 всё ок. | |
1.6, vvvua (?), 17:11, 20/10/2005 [ответить] [﹢﹢﹢] [ · · · ]
| +/– |
Решилась проблема переделыванием заново:
rc.conf:
ipfilter_enable="YES" # Start ipf firewall
ipfilter_rules="/etc/ipf.rules" # loads rules definition text file
ipmon_enable="YES" # Start IP monitor log
ipmon_flags="-Ds" # D = start as daemon
# s = log to syslog
# v = log tcp window, ack, seq
# n = map IP & port to names
В конфиг ядра GENERIC добавил
options IPFIREWALL
options IPFIREWALL_FORWARD
options IPDIVERT
options IPFILTER
options IPFILTER_LOG
Всё заработало. | |
|
|
3.9, vvvua (??), 20:24, 05/11/2005 [^] [^^] [^^^] [ответить]
| +/– |
>Нафига Вам IPF и IPFW одновременно. IMHO чушь порете.
Дело в том, чт система работает на NATD и ipfw.
Нужно:
1. Пробросить порты из вне внутрь локалки на разные серваки
2. Уменьшить нагрузку по NAT
Вещи не взаимоисключающие, но дублирующие.
Для чистоты - да, либо то, либо другое. Согласен.
| |
|
|
1.7, mc (??), 18:55, 02/11/2005 [ответить] [﹢﹢﹢] [ · · · ]
| +/– |
Вот заморочки....... делов на 5 минут:
kldload pf
sysctl net.inet.ip.forwarding=1
vi /etc/pf.conf
...
и ВСЕ!!!
| |
|
2.10, vvvua (??), 20:28, 05/11/2005 [^] [^^] [^^^] [ответить]
| +/– |
>Вот заморочки....... делов на 5 минут:
>kldload pf
>sysctl net.inet.ip.forwarding=1
>vi /etc/pf.conf
>...
>и ВСЕ!!!
Тоже вариант.
А проблемы с FTP и необходимостью хранить состояния пакетов уже решены?
Когда юзал давно когда-то, то были...
Кстати, есть правила для ipnat, а для pf нужно переделывать.
| |
|
1.11, tma39 (?), 21:27, 09/11/2005 [ответить] [﹢﹢﹢] [ · · · ]
| +/– |
всем здрасти,я
подскажите пожалуйста,как добавить правило,чтоб хоть ping проходил, а то я собрал систему,а всё закрыть ,по умолчанию, так вот как вообще добавляются правила?????
заранее спасибо | |
|
2.12, nasredin (?), 11:15, 11/11/2005 [^] [^^] [^^^] [ответить]
| +/– |
ipfw add deny icmp from any to any frag #запрещаем проход для фрагментированых покетов
ipfw add allow icmp from any to any #остальные разрешаем вроде так | |
|
1.13, Aleksej (??), 15:34, 11/11/2005 [ответить] [﹢﹢﹢] [ · · · ]
| +/– |
Уважаемые!
Авам не кажеться, что автор с интерфейсами напутал
! ifconfig_rl0="10.0.0.1"
! oif="rl0"
iif="tx0"
oip="132.5.7.172"
! iip="10.0.0.1"
lan="10.0.0.0/24"
что это? | |
1.16, spitamen (?), 10:24, 18/05/2006 [ответить] [﹢﹢﹢] [ · · · ]
| +/– |
Добавил приведенные строки и перекомпилировал файл конфигурации ядра GENERIC как сказано выше.
Также добавил вышеприведенные строки в rc.conf, но rc.firewall трогать не стал потому как скурпулезных ограничений пока не нужно.
Все другие приложения (ICQ, MSN) работают
нормально, но вот в Internet Explorer просматривать сайты не могу.
Как быть? | |
|
2.19, vvvua (ok), 15:25, 04/11/2006 [^] [^^] [^^^] [ответить]
| +/– |
Скрипт написать с $1 вместо oip - будет первый параметр в командной строке скрипта.
На dhclient настроить запуск етого скрипта.
| |
|
|