ну ты даешь!
и где в правилах ДО 65535 есть хоть что-то, разрешающее юзерам из сети 192.168.0.0/24 выходить наружу? там есть только коннект к серверу на порты 22 25 и проч и на коннект снаружи (rl1) на порт прокси (что имхо глупо)

established в созданной руле убери. established - это разрешение уже установленных соединений
Вообще, че за корявый конфиг такой?
Где же всеми любимое deny all from any to any ?

Исправлено Leon (06.02.08 15:12)

GreenDay, iptables чем тебя не устраивает? или это под виндой?

GreenDay написал(а):

зачем вообще нужно это правила, если есть уже 65535?

ну, все зависит от того, какую логику ты закладываешь в файервол... обычно делают по-принципу "что неразрешено - запретить"... а ты предлагаешь обратное, но тогда непонятно, зачем все allow... кароче, ты с логикой работы файера определись... словами напиши... как только алгоритм напишешь, то 50% задачи своей решишь...

сравнивать ipfw и iptables+iproute2 то же самое как сравнивать калькулятор и компьютер: да, и там и там есть конпки, и там и там можно складывать и умножать числа, и на калькуляторе даже проще. но вот у калькулятора возможности на этом и заканчиваются (и у ipfw тоже)

GreenDay написал(а):

есть вот конфига, если перед правилом 65535 поставить deny ip from any to any, то у

Leon, вот отсюда ноги растут про deny

Leon написал(а):

стоит прокси.

эээ.. чего где и как стоит простите? :)

Jaguar, ну понял короче чего ты имел ввиду)).. только если допустим у меня кроме сквида надо ftp, smtp, аську и т.д пропускать?
ставить каждый прокси-сервис и форвардить запросы на эти сервисы?
это канеш правильный вариант, но.. не для всего подойдет.

З.Ы. поковырялся в хендбуке.. почитал у лисяры, получил такой конфиг:

00005 allow ip from any to any via rl0
00010 allow ip from any to any via lo0
00011 fwd 192.168.0.250,3128 tcp from 192.168.0.0/24 to any dst-port 80,8888 in via rl0
00014 divert 8668 ip from any to any in via rl1
00015 check-state
00020 skipto 800 tcp from any to 212.109.192.1 dst-port 53 out via rl1 setup keep-state
00021 skipto 800 tcp from any to 212.109.195.18 dst-port 53 out via rl1 setup keep-state
00030 skipto 800 tcp from any to any dst-port 80 out via rl1 setup keep-state
00040 skipto 800 tcp from any to any dst-port 443 out via rl1 setup keep-state
00050 skipto 800 tcp from any to any dst-port 8888 out via rl1 setup keep-state
00060 skipto 800 tcp from any to any dst-port 25 out via rl1 setup keep-state
00061 skipto 800 tcp from any to any dst-port 110 out via rl1 setup keep-state
00062 skipto 800 tcp from any to any dst-port 5190 out via rl1 setup keep-state
00070 skipto 800 tcp from me to any out via rl1 setup uid root keep-state
00080 skipto 800 icmp from any to any out via rl1 keep-state
00090 skipto 800 tcp from any to any dst-port 37 out via rl1 setup keep-state
00110 skipto 800 tcp from any to any dst-port 22 out via rl1 setup keep-state
00120 skipto 800 tcp from any to any dst-port 43 out via rl1 setup keep-state
00130 skipto 800 udp from any to any dst-port 123 out via rl1 keep-state
00300 deny ip from 192.168.0.0/16 to any in via rl1
00301 deny ip from 172.16.0.0/12 to any in via rl1
00302 deny ip from 10.0.0.0/8 to any in via rl1
00303 deny ip from 127.0.0.0/8 to any in via rl1
00304 deny ip from 0.0.0.0/8 to any in via rl1
00305 deny ip from 169.254.0.0/16 to any in via rl1
00306 deny ip from 192.0.2.0/24 to any in via rl1
00307 deny ip from 204.152.64.0/23 to any in via rl1
00308 deny ip from 224.0.0.0/3 to any in via rl1
00330 deny ip from any to any frag in via rl1
00332 deny tcp from any to any established in via rl1
00370 allow tcp from 192.168.0.0/24 to me dst-port 80 in via rl1 setup limit src-addr 2
00380 allow tcp from any to me dst-port 22 in via rl1 setup limit src-addr 2
00390 allow udp from any to me dst-port 53
00391 allow udp from me to any dst-port 53
00400 deny log logamount 10 ip from any to any in via rl1
00450 deny log logamount 10 ip from any to any out via rl1
00800 divert 8668 ip from any to any out via rl1
00802 allow ip from any to any
00999 deny log logamount 10 ip from any to any

и снова загвоздка.. на 11 правило пакеты не попадают.. может я туплю канеш, но по логике хоть как пакет входящий на rl0 и запрашивающий адрес не из локальной сети должен попасть именно на это правило.. или я его не в том месте поставил.. короче разбираемсу дальше :)

З.З.Ы. сам тут щас увидел, 390 и 391 надо редактить, чтобы только из сети доступ был :)

Исправлено GreenDay (08.02.08 18:35)

Dmitri, именно так...

GreenDay написал(а):

только если допустим у меня кроме сквида надо ftp, smtp, аську и т.д пропускать?

а ты кроме сквида ничего не знаешь? а сокс5, например? да и много чего есть... ту же аську можно через сквид завернуть... с почтой сложнее...

GreenDay написал(а):

вот имеено почта

а какова задача? может fetchmail+MTA тебе хватит?

усе, все работает) всем спасибо за поддержку :)

otaku написал(а):

бегать восьмеркой

это зациклить чтоли? О_о

зациклить это боян

zver, если нули значит считается в другом месте.

есть такая конфига ipfw, делал ее из базовой конифиги

#!/bin/sh -
#
# $FreeBSD: src/etc/rc.firewall,v 1.52.4.1 2008/01/29 00:22:32 dougb Exp $
#

#
# Setup system for ipfw(4) firewall service.
#

# Suck in the configuration variables.
if [ -z "${source_rc_confs_defined}" ]; then
    if [ -r /etc/defaults/rc.conf ]; then
        . /etc/defaults/rc.conf
        source_rc_confs
    elif [ -r /etc/rc.conf ]; then
        . /etc/rc.conf
    fi
fi

setup_loopback () {
    ${fwcmd} add 100 pass all from any to any via lo0
    ${fwcmd} add 110 deny all from any to 127.0.0.0/8
    ${fwcmd} add 120 deny ip from 127.0.0.0/8 to any
}

############
# Del all rulles

fwcmd="/sbin/ipfw"
${fwcmd} -f flush

setup_loopback


# Local network and netmask and ip
Lnet="192.168.255.0/24"
Lip="192.168.255.1"
Lif="rl1"
# Internet network and netmask and ip
Inet="217.71.140.0/22"
Iip="217.71.142.33"
Iif="rl0"

#ICMP filter
   ${fwcmd} add pass icmp from any to ${Lnet} in via ${Iif}  icmptype 0,3,4,11,12
   ${fwcmd} add pass icmp from ${Lnet} to any out via ${Iif} icmptype 0,3,4,8,11,12

#Divert adress
${fwcmd} add divert natd ip from ${Lnet} to any out via ${Iif}
${fwcmd} add divert natd ip from any to ${Iip} in via ${Iif}

    # Allow any traffic in my net.
    ${fwcmd} add pass all from ${Lnet} to ${Lnet}

    # Allow TCP through if setup succeeded
    ${fwcmd} add pass tcp from any to any established

    # Allow IP fragments to pass through
    ${fwcmd} add pass all from any to any frag

    # Allow setup for any  TCP connections
    ${fwcmd} add pass tcp from any to any setup

    # Allow DNS queries out in the world
    ${fwcmd} add pass udp from me to any 53 keep-state

    # Allow NTP queries out in the world
    ${fwcmd} add pass udp from me to any 123 keep-state

###???
#    # Stop spoofing
#    ${fwcmd} add deny all from ${inet} to any in via ${oif}
#    ${fwcmd} add deny all from ${onet} to any in via ${iif}
#
    # Allow access to our DNS
    ${fwcmd} add pass tcp from any to ${Iip} 53 setup
    ${fwcmd} add pass udp from any to ${Iip} 53
    ${fwcmd} add pass udp from ${Iip} 53 to any

#    # Allow access to our WWW
#    ${fwcmd} add pass tcp from any to ${oip} 80 setup

    # Reject&Log all setup of incoming connections from the outside
    ${fwcmd} add deny log tcp from any to any in via ${oif} setup

    # Allow DNS queries out in the world
    ${fwcmd} add pass udp from ${Iip} to any 53 keep-state

    # Allow NTP queries out in the world
    ${fwcmd} add pass udp from ${Iip} to any 123 keep-state


    # Allow any connection out, adding state for each.
    ${fwcmd} add pass tcp  from me to any setup keep-state
    ${fwcmd} add pass udp  from me to any       keep-state
    ${fwcmd} add pass icmp from me to any       keep-state

    # Allow DHCP.
    ${fwcmd} add pass udp  from 0.0.0.0 68 to 255.255.255.255 67 out
    ${fwcmd} add pass udp  from any 67     to me 68 in
    ${fwcmd} add pass udp  from any 67     to 255.255.255.255 68 in

#    # Broadcasts and muticasts
#    ${fwcmd} add deny ip  from any to 255.255.255.255
#    ${fwcmd} add deny ip  from any to 224.0.0.0/24 in    # XXX

#allow ssh
    ${fwcmd} add pass tcp from any to me 22
#p2p settings
    ${fwcmd} add allow tcp from any to me dst-port 10001
    ${fwcmd} add allow udp from any to me dst-port 10002
#ftp
    ${fwcmd} add allow tcp from any to me 21

на данный момент существует следующие проблемы:
из внутренней сети не работает пинг
udp запросы не хотят уходить(поиск в п2п ничего не ищет)
и порт на фтп не хочет пробрасываться во внутрь

#NatD config file
log yes
log_denied no
use_sockets yes
same_ports yes
unregistered_only yes
dynamic yes
redirect_port tcp 192.168.255.2:10001 10001
redirect_port udp 192.168.255.2:10002 10002
redirect_port tcp 192.168.255.2:21 21

Исправлено Wic (01.02.09 12:15)

kai, мне кажется тут проблема в диверте, то есть не идет диверт icmp udp пакетов
могу кинуть tcdump'ы сетевок только там просто капец сколько всего будет

[5] Mon 02Feb09 23:06:20 - (000068) IP-Name: PAWTET.HOSTEL.NSTU.RU
[3] Mon 02Feb09 23:06:20 - (000068) Sending file e:\distr\antiviruses\base\index\u0607g.xml
[3] Mon 02Feb09 23:06:20 - (000068) Sent file e:\distr\antiviruses\base\index\u0607g.xml successfully (183 kB/sec - 11458 Bytes)
[3] Mon 02Feb09 23:06:47 - (000068) Sending file e:\distr\antiviruses\base\bases\as\pas\pas-0607g.xml
[3] Mon 02Feb09 23:06:47 - (000068) Sent file e:\distr\antiviruses\base\bases\as\pas\pas-0607g.xml successfully (322 kB/sec - 1981 Bytes)
[3] Mon 02Feb09 23:06:49 - (000068) Sending file e:\distr\antiviruses\base\bases\av\kdb\kdb-0607g.xml
[3] Mon 02Feb09 23:06:49 - (000068) Sent file e:\distr\antiviruses\base\bases\av\kdb\kdb-0607g.xml successfully (556 kB/sec - 191988 Bytes)
[3] Mon 02Feb09 23:07:14 - (000068) Sending file e:\distr\antiviruses\base\bases\as\pas\cfbase-s.gsg
[3] Mon 02Feb09 23:07:14 - (000068) Sent file e:\distr\antiviruses\base\bases\as\pas\cfbase-s.gsg successfully (1502 kB/sec - 44596 Bytes)
[3] Mon 02Feb09 23:07:14 - (000068) Sending file e:\distr\antiviruses\base\bases\as\pas\as.trm
[3] Mon 02Feb09 23:07:14 - (000068) Sent file e:\distr\antiviruses\base\bases\as\pas\as.trm successfully (2059 kB/sec - 352030 Bytes)
[3] Mon 02Feb09 23:07:14 - (000068) Sending file e:\distr\antiviruses\base\bases\av\kdb\i386\daily-ec.kdc
[3] Mon 02Feb09 23:07:14 - (000068) Sent file e:\distr\antiviruses\base\bases\av\kdb\i386\daily-ec.kdc successfully (398 kB/sec - 2040 Bytes)
[3] Mon 02Feb09 23:07:15 - (000068) Sending file e:\distr\antiviruses\base\bases\av\kdb\i386\daily.kdc
[3] Mon 02Feb09 23:07:15 - (000068) Sent file e:\distr\antiviruses\base\bases\av\kdb\i386\daily.kdc successfully (915 kB/sec - 20603 Bytes)
[3] Mon 02Feb09 23:07:15 - (000068) Sending file e:\distr\antiviruses\base\bases\av\kdb\i386\dailyc.kdc
[3] Mon 02Feb09 23:07:15 - (000068) Sent file e:\distr\antiviruses\base\bases\av\kdb\i386\dailyc.kdc successfully (1153 kB/sec - 25973 Bytes)
[3] Mon 02Feb09 23:07:15 - (000068) Sending file e:\distr\antiviruses\base\bases\av\kdb\i386\fa.kdc
[3] Mon 02Feb09 23:07:15 - (000068) Sent file e:\distr\antiviruses\base\bases\av\kdb\i386\fa.kdc successfully (555 kB/sec - 43778 Bytes)
[3] Mon 02Feb09 23:07:15 - (000068) Sending file e:\distr\antiviruses\base\bases\av\kdb\i386\fa001.kdc
[3] Mon 02Feb09 23:07:16 - (000068) Sent file e:\distr\antiviruses\base\bases\av\kdb\i386\fa001.kdc successfully (1322 kB/sec - 120469 Bytes)

открыл фтп и оказалось он работает...хотя я не могу на него зайти по внешнему айпишнику...проверьте ftp://217.71.142.33 работает? ничего не понимаю! (с)

Исправлено Wic (02.02.09 23:08)

kai, по юдп протоколу делал, при включенном п2п там столько шлака вылазит...

VS, как оказалось фтп работает только я на него не могу зайти по своему внешнему айпишнику пишет "server# ftp 217.71.142.33 ftp: connect: Connection refused" но другие могут на него заходить. Думаю это изза того что нат настроен на внешнем интерфесе а я пытаюсь зайти через внутренний.
Если убираю правила для разрешения icmp то ничего не меняется, если после этого добавляю allow icmp from any to any, то результат тот же.При этом я только могу пинговать свой внешний айпишник. Мне кажется что нат как то плохо работает с обратными icmp и udp пакетами(

на фтп должно заходиться даже с инета, надеюсь мне никто подарок не сделает и не зальет на него чего нить))) kai проверял работает то правило, и на порт 10002 udp,я предпологаю, тоже работает у меня могут искать через п2п, а я не могу.
Я фаервол собирал из правил что шли в /etc/rc.firewall. Понимаю я их не очень хорошо и сейчас пытаюсь разобраться. У меня стоит запретить всё последним правилом, тут этого не видно так как оно на уровне ядра прописано. Вот про порядок, что и перед чем должно идти, я често говоря, сам не знаю как надо. В инете где как написано.
Можешь выложить свою натсройку ipfw?

VS, сэнкс за конфигу, вечером поразбираюсь и отпишусь о результатах. с фтп чудеса творятся, кто то может зайти, кто не может...

Я вот тоже не понимаю... потому почти забил.
Keep-state сам по себе, я так понял тупо создаёт виртуальное правило позволяющее ходить траффику и в обратном направлении. А setup - означает что-то типа "при появлении пакета подходящего под это правило, выходящего из своей сети наружу, открыть и обратную связь". То есть allow icpm from me to any via rl1 setup keep-state пустит пакет с сервера наружу и создаст правило, чтобы мог пройти назад ответ, но если просто кто-то снаружи пинганёт, то его пошёт нафиг.
Плюс есть параметр отвечающий за время действия виртуальных правил и если нет пакетов попадающих под правило несколько секунд, то виртуальное правило удаляется.
То есть если тебе нужно чтобы какой-то траффик стабильно имел доступ внутрь, без частых запросов этого трафика изнутри, то сетап не применим.
А п2п у меня у самого работает только при открытии большинства портов на выделенный комп - тебе же нужно не только входящий трафик проводить через конкретный порт, но и исходящий. А исходящий в п2п можно пустить либо напрямую либо через сокс...
Имей ввиду, что всё это не так как на самом деле, а так как я понимаю - надеюсь это во многом совпадает ;)

Перевод я и сам знаю...
По поводу отваливающихся виртуальных правил- получается да, я в логе ipfw смотрел, такое, в итоге, часто получается.
На счёт винта я сомневаюсь что-то... не думаю чтобы фришка юзала обращения к диску в принципе для роутинга трафика - это был бы убер тормоз... если только сама система вдруг тормозит от попыток обратиться к винту по другим поводам... а uptime какой=нибудь что пишет?

VS, похоже проблема не во фряхе, просто сеть глючит...Сейчас без роутера тоже самое...Думаю в копейки опять кто то сеть тормозит, а админ сети съезжает( Что есть uptime?
kai, ок попробую в лог все юдп запросы скидывать, почитаю что там будет

VS, и тех кому лень ставить антивирусы...сеть у всех лагует, что просто ужас...Сейчас пока новый админ появится будем с лагами сидеть(((