IPFW. два интерфейса после via

[savio]

Значит на серваке два инет-канала. Нужно закрыть в FTP доступ с внешнего мира

Когда делаю так

Код: Выделить всё

ipfw -q add 100 deny all from any to me 21 via ng1,ng2

то как был открыт доступ, так и остался, если же

Код: Выделить всё

ipfw -q add 100 deny all from any to me 21 via ng1
ipfw -q add 105 deny all from any to me 21 via ng2

то все работает. Почему не работает в первом случаи?

[Хостинг HostFood.ru]

Тарифы на хостинг в России, от 12 рублей: https://www.host-food.ru/tariffs/hosting/
Тарифы на виртуальные сервера (VPS/VDS/KVM) в РФ, от 189 руб.: https://www.host-food.ru/tariffs/virtualny-server-vps/
Выделенные сервера, Россия, Москва, от 2000 рублей (HP Proliant G5, Intel Xeon E5430 (2.66GHz, Quad-Core, 12Mb), 8Gb RAM, 2x300Gb SAS HDD, P400i, 512Mb, BBU):
https://www.host-food.ru/tariffs/vydelennyi-server-ds/
Недорогие домены в популярных зонах: https://www.host-food.ru/domains/

[Overseer]

ipfw -q add 100 deny all from any to me dst-port 21
Так чем не нравится?

[dikens3]

ipfw -q add 100 deny all from any to me 20,21 in via (ng1 or ng2)
ipfw -q add 100 deny all from any to me 20,21 in via {ng1 or ng2}

Что нибудь типа этого должно быть.

[dikens3]

ipfw -q add 100 deny all from any to me dst-port 21
Так чем не нравится?

закрыть в FTP доступ только с внешнего мира

[LimpTeaM]

Код: Выделить всё

${FwCMD} add allow tcp from 192.168.0.0/16 to me 20,21
${FwCMD} add allow tcp from me to 192.168.0.0/16 20,21
${FwCMD} add allow tcp from 172.0.0.0/16 to me 20,21
${FwCMD} add allow from me to 172.0.0.0/16  20,21
${FwCMD} add allow tcp from 10.10.0.0/16 to me 20,21
${FwCMD} add allow from me to 10.10.0.0/16 20,21
${FwCMD} add pass tcp from me 1024-65535 to any 1024-65535
${FwCMD} add pass tcp from any 1024-65535 to me 1024-65535
#${fwCMD} add deny from any to any

и попробовать добавить via.
это как вариант возможно и не верный ибо сам только учусь

[hizel]

ipfw -q add 100 deny all from any to me 20,21 in via (ng1 or ng2)
ipfw -q add 100 deny all from any to me 20,21 in via {ng1 or ng2}

Что нибудь типа этого должно быть.

не работает

такое ощущение, что оно просто сравнивает строки
вот ng* работает, это да, но оно и в man ipfw описано

....

вассап!

Код: Выделить всё

ipfw add count ip from any to any \{ via em0 or via em1 \}

работает

[savio]

ipfw -q add 100 deny all from any to me dst-port 21
Так чем не нравится?

томому как есть еще rl0, который смотрит в сетку, и через который доступ должен быть.
Спасибо всем кто написал. щас попробую у себя

[schizoid]

а низзя посадить фтп ТОЛЬКО на внутренний ИП?

[savio]

наверное можно, если в конфиге самого FTP-сервера есть такая функция. но я такого что-то не встречал...

[schizoid]

а что за фтп?

[savio]

у меня pure-ftpd. но суть не в фтп-серваке, а в указании нескольких via.

просто от адмнина остался конфиг с правилами типа

Код: Выделить всё

ipfw add pipe 100 ip from x.x.x.x to any in via iface1,iface2

до меня все работало, и я как-то не задавался вопросом работает ли на самом деле. так сказать поверил на слово.
когда применил для запрета фтп не прошло. вот собственно так и созрел вопрос