ipfw и фильтрацыя по МAC address

[BaHJa]

у меня небольшая сеть и раздаю инет по макам, потомушто у меня пользователи не такие смышльоные штобы ево изменить,
ну и в ipfw добавил правила для филтрации по мак адресам, всьо устраивает но нужно штоб те у каво нет инета имели доступ к ресурсам сервера,
я добавил правлило ${FwCMD} 392 allow all from ${NetIn} to ${IpIn} layer2 via ${LanIn} оно работает если я закоментировал толькошто правило с мак адерсом юзера и соединение с сервером уже было, но после перезагрузки ево компа он не может больше установить соединение с сервером, сервер даже не пингуетса с тачки юзера, хотя до этово всьо работало. Подскажыте как можна решыть проблему.

Код: Выделить всё

FwCMD="ipfw -q add"            
LanOut="rl0"                  #zovnishnja sitkova
NetOut="xxxxxxx/xx"
IpOut="xxxxxxxxxx"       # zovnishnja ip
LanIn="sk0"                   
IpIn="192.168.0.1"
NetIn="192.168.0.0/24"        #setka
ip_lan="192.168.0"                             

${FwCMD} 200 skipto 410 ip from any to any not layer2
${FwCMD} 201 allow ip from any to any layer2 not via ${LanIn}
#user1
${FwCMD} 208 allow all from any to any mac any 00:1b:fc:0a:32:43 via ${LanIn}
#user2
${FwCMD} 209 allow all from any to any mac any 00:1b:1b:16:12:09 via ${LanIn}

${FwCMD} 392 allow all from ${NetIn} to ${IpIn} via ${LanIn}

${FwCMD} 401 deny all from any to any layer2 via ${LanIn}
дале стандарный набор правил

[Хостинг HostFood.ru]

Тарифы на хостинг в России, от 12 рублей: https://www.host-food.ru/tariffs/hosting/
Тарифы на виртуальные сервера (VPS/VDS/KVM) в РФ, от 189 руб.: https://www.host-food.ru/tariffs/virtualny-server-vps/
Выделенные сервера, Россия, Москва, от 2000 рублей (HP Proliant G5, Intel Xeon E5430 (2.66GHz, Quad-Core, 12Mb), 8Gb RAM, 2x300Gb SAS HDD, P400i, 512Mb, BBU):
https://www.host-food.ru/tariffs/vydelennyi-server-ds/
Недорогие домены в популярных зонах: https://www.host-food.ru/domains/

[manefesto]

Этого сокрального смысла я не понял.

${FwCMD} 200 skipto 410 ip from any to any not layer2

Сделай

Код: Выделить всё

allow from 192.168.1.0/24 to me via <интерфейс во внутреннюю сеть>

[paradox]

как ты красиво изясняешься )))

Этого сокрального смысла я не понял

[manefesto]

ага...слово знакомое...смысла не ведаю

[schizoid]

Сакральное (лат. sacrum - священный предмет, священный обряд, таинства, мистерия), смысл раскрывается в соотношении с профанным.

[hizel]

in via
out via
учитывать надо

[BaHJa]

allow from 192.168.1.0/24 to me via <интерфейс во внутреннюю сеть>
тоже самое сначала работает потом через несколько минут до сервера снова не достучатца
via in via out тоже не спасает

[paradox]

зачем себя так истязать?

юзерам сервер для какой задачи нужен?

[arkan]

Если честно я тоже с примерно таким же давно парюсь
предпочел создать ARP табличку (скриптик валяется гдето на опеннете)
ну и основная часть проблемм отпадает
но там есть какаято проблеммка типа или только для мак или для ип
вот как правильно это обьединить с IPFW я хбз но надеюсь что ктонить хотяб ссцылку кинет

[BaHJa]

у меня небольшая сеть и я один сервер использую для всево, и как шлюз,фпт,веб,сквид,днс,дшсп итд. ну и я хочу штобы юзеры которые инет не берут могли хотябы заходить на веб,фпт,самбу сервера. На линуксе с мак фильтрацыей в Iptables всьо гуд было, а с Ipfw не сложылось.

[maradona]

для разрешения захода на твой сервер пиши правило вида:

Код: Выделить всё

$cmd add allow all from any to any MAC $same_pc $macserver
$cmd add allow all from any to any MAC $macserver $same_pc

два правила на один комп.

[BaHJa]

Код: Выделить всё

$cmd add allow all from any to any MAC $same_pc $macserver
$cmd add allow all from any to any MAC $macserver $same_pc

не то што нужно, потомушто открываетса доступ к инету, а нужно штобы только к IP сервера,
заработала такая конфигурацыя

Код: Выделить всё

FwCMD="ipfw -q add"            
LanIn="sk0"                   
IpIn="192.168.0.1"
NetIn="192.168.0.0/24"        #setka
ip_lan="192.168.0"                             

${FwCMD} 200 skipto 410 ip from any to any not layer2
${FwCMD} 201 allow ip from any to any layer2 not via ${LanIn}
#мак внутриней сетевухи, без этого к серверу не достучатца
${FwCMD} 270 allow all from any to any mac any 00:у0:b2:7e:e1:78 via ${LanIn}
#Юзверям наоснове Мак включить инет
${FwCMD} 271 allow all from any to any mac any 00:a0:d2:8d:50:с5 via ${LanIn}
${FwCMD} 272 allow all from any to any mac any 00:a0:а1:8d:52:у9 via ${LanIn}
${FwCMD} 273 allow all from any to any mac any 00:a0:d1:8d:20:у0 via ${LanIn}

#это то што нужно было, перебросить эти правила черз deny, тем самым открыв доступ серверу 
${FwCMD} 392 skipto 402 ip from any to ${IpIn} layer2 in via ${LanIn}
#открыть некоторым пользователям доступ к ситинету провайдера
${FwCMD} 393 skipto 402 ip from ${IpLan}.44 to X.X.X.0/22 layer2 in via ${LanIn}

${FwCMD} 401 deny all from ${NetIn} to not ${NetIn} mac any any
${FwCMD} 402 allow ip from any to any layer2 via ${LanIn}
#дале стандартные правила
${FwCMD} 410 allow all from any to any via lo0
и тд.