FreeBSD 7: kernel nat: почему я потерял удаленный сервер?

[Laa]

Здравствуйте!
Обновил сервер до последней 7.1
Думаю, пора переключиться на кернел нат.
Захожу на сервер, делаю:

Код: Выделить всё

[root@gw /usr/home/laa]# ipfw sh
ipfw: DEPRECATED: 'sh' matched 'show' as a sub-string
00100  48   5664 allow ip from any to any via lo0
00200   0      0 deny ip from any to 127.0.0.0/8
00300   0      0 deny ip from 127.0.0.0/8 to any
01000   0      0 allow tcp from any to me dst-port 25 in via rl0
01020   0      0 unreach port log logamount 1000 tcp from any to any dst-port 25 in via rl0
02000 437  95552 divert 8668 ip from any to any via em0
65535 679 168301 allow ip from any to any
[root@gw /usr/home/laa]# ipfw nat 1 config ip 194.z.x.y same_ports unreg_only
ipfw nat 1 config ip 194.z.x.y same_ports unreg_only
[root@gw /usr/home/laa]# ipfw delete 2000
[root@gw /usr/home/laa]# ipfw add 2000 nat 1 ip from any to any via em0
Read from remote host 194.z.x.y: Connection reset by peer

Оно то не беда, сервер не критичный..., но:
И почему я потерял сервер?
Кто подскажет где я протупил?

[Хостинг HostFood.ru]

Тарифы на хостинг в России, от 12 рублей: https://www.host-food.ru/tariffs/hosting/
Тарифы на виртуальные сервера (VPS/VDS/KVM) в РФ, от 189 руб.: https://www.host-food.ru/tariffs/virtualny-server-vps/
Выделенные сервера, Россия, Москва, от 2000 рублей (HP Proliant G5, Intel Xeon E5430 (2.66GHz, Quad-Core, 12Mb), 8Gb RAM, 2x300Gb SAS HDD, P400i, 512Mb, BBU):
https://www.host-food.ru/tariffs/vydelennyi-server-ds/
Недорогие домены в популярных зонах: https://www.host-food.ru/domains/

[Laa]

Кстати, сервер на пинги отвечает...

[LMik]

ну наверное стоило первой парой правил разрешить ssh на сервер, а дальше уже заниматься экспериментами

[Laa]

Ну это не ответ.

[manefesto]

модулем ipfw подгружал, или ядерный.
DEFAULT_ACCEPT????

[Laa]

Ну я же прислал вывод правил и то что я сделал.
В конце же четко стоит allow ip from any to any...

[Laa]

Кстати, после этого правила я потерял сервер, а утром, клиенты которые за сервером в локалке даже не подумали перегружать сервер, он у них работал и нат, похоже, тоже работал. То есть правило трансляции успешно транслировало то, что из локалки, но как-то вредило входящему внешнему трафику.

Меня настораживает unreg_only, на этом сервере я впервые его включил, на других подобный нат работает совершенно без проблем....

[aliet]

Наткнулся на те же грабли на фре 7.2. Как решилась проблема-то?

[MASiK]

unreg_only Traffic on the local network not originating from an unregistered address spaces will be ignored.