не открывается файлик.

я нупко, про ipfw2 даже не слышал никогда. А всё интересное что увидишь - кидай обязательно :)

А то что у тебя...
Вот с гугла ссылка http://www.nabble.com/Bind-8-td1154394.html похожая.
На сколько я понимаю, это разновидность дос атаки через нагрузку ДНС. Попробуй выруби bind, если есть... в чём то с ДНС косяк
...NXDomain это non existent domain...
Попробуй забанить jin.hostel.nstu.ru и порт 49354 - я бы своими ламерскими мозгами первым делом это попробовал =)

а, я давненько почитывал этот сайт, прикольный.
Кстати, собственно, нафиг тебе ДНС? я как-то в клубе обхожусь провайдерским, ВПН, SSH это всё круто и пользуюсь... а вот днс...
Кстати, не факт что валят, возможно просто криво сконфигурирован. Имхо, ДНС это один из самых тёмных лесов.

ЗЫ Так а что ты, вот и шёл бы в админы =)

VS, у меня конфига переписана уже на сто раз))Кста по той статье понял как настраиваются правила для ната и как можно без натд обходиться, и я наконец то сделал поиск в п2п))))
со внешки днс закрыт доступ только из локалки. Он стоит чисто для тестов, сейчас руки не доходят сделать сопряжение дхцп+днс. Да не зовут меня админом, я тут такое сразу устрою))))))Сейчас Леху первак заменяет, который с ним жил, тут то делать ничего не надо особо, только вот такие мега лаги надо устранять, а то за*****ет...Если мои нервы не выдержут возьму ключи от "микроволновок"  и пойду искать того кто такую гадость делает)
GreenDay, у меня бинд в форварде 3,1% кушает. То что бинд не очень все знают, но для начала он само то

Исправлено Wic (19.02.09 23:39)

Подскажите в чем может быть проблема.
Имеем. Роутер на FreeBSD 6.2. Локальная сеть, 1 канал в инет.
Задача. Пробрасывать DNS-запросы с сервера 2k3 до провайдера. Сейчас работает BIND, как кэширущий, зон не держит, памяти жрет много.
Решение: Добавляем в конфиг

05100       0         0  allow udp from 192.168.0.0/24 to any dst-port 53 in via rl0 setup

где rl0 внутренний интерфейс.

Не проходят запросы. Смотрим логи /var/log/security

Apr  1 09:02:02 freebsd kernel: ipfw: 5300 Deny UDP 192.168.0.251:1036 128.8.10.90:53 in via rl0

Все deny до правила 5100 либо по нулям, либо к этому пакету не имеют отношения. Ну и из лога видно, что пакет денайдится на 5300 правиле, что больше 5100.

Т.е. должен попасть все же на это правило.

З.Ы. такая же проблема с FTP. FTP открыт таким же правилом, только не UDP, а TCP и порты указаны 20,21.

Исправлено GreenDay (01.04.09 14:33)

Wic написал(а):

я бы вот так сделал и это правило должно идти после ната, и должно существовать правило на разрешение уже установленных соединений

Все как ты написал. Все до этого имеется. На порты http и т.д. ходит ведь нормально.

Wic, И это тоже добавлял :)

GreenDay написал(а):

Сейчас работает BIND, как кэширущий, зон не держит, памяти жрет много.

что значит жрет памяти много?
128 мегабайт что ле?

GreenDay, а если поставить не кэширующий бин а простой редирект?

GreenDay, 1024-65535 это клиентские порты, с чего ты взял что дырка?

посмотреть какой диапазон пассивных портов указан серверу.
для диапазона 20000-29999, соотв правила

allow tcp from any to any estblished,
allow tcp from me to any setup
allow tcp from any to me 21,20000-29999 setup

Исправлено kai (04.04.09 14:04)

Max, ну, чего сказать. IPFW начал пользоваться, потому что все гайды были с его участием. Сейчас перейти на PF как-то влом..
Про релейтед спасибо, сейчас проверю.

kai написал(а):

allow tcp from any to any estblished,
allow tcp from me to any setup
allow tcp from any to me 21,20000-29999 setup

Я говорю про выход на пассивный FTP, свой пассив-FTP мне организовывать незачем.

kai написал(а):

GreenDay, 1024-65535 это клиентские порты, с чего ты взял что дырка?

Это большая дырка. Все вирусы для ботнетов "работают" по клиентским портам.

Max, что делает RELATED? в ipfw2 есть встроенный nat, дополнтительный демон теперь не нужен.

Вопрос: есть роутер настроен работает, но traceroute на нем не хочет работать при включеном ipfw, хотя у клиентов всё норм работает.пишет traceroute: sendto: Permission denied

Icmp правила в ipfw

${fwcmd} add deny icmp from any to 255.255.255.255 via ${out_interface}

#NAT
${fwcmd} nat 8008 config ip ${Serverout_ip}  log same_ports unreg_only ${redirectports}
${fwcmd} add nat 8008 all from ${myIP} to ${hostel} 
${fwcmd} add nat 8008 all from ${hostel} to ${Serverout_ip} 

ICMP filter
${fwcmd} add deny icmp from any to any frag
${fwcmd} add allow icmp from any to any icmptype 0,8,5,11

Исправлено Wic (10.10.09 16:06)

Max, а к примеру, direct connect (передача файлов между клиентами находящимися за роутерами) такое можно реализовать через RELATED, или тут только нат нужно использовать?
вопрос про traceroute остается открытым.

Max, для одного-двух компов это решается в ручную без всяких проблем, а вот как это сделать для большого количества компов. Кстати а Upnp (на винде эта вещь может сама порты прокидывать) можно использовать на *никс системах?

Max, спс