ipfw+nat встроенный

[voider]

ага, хооливааар

дарагой voider

называть altq в pf аналогом dummynet в ipfw - ниправда
аналогов dummynet в pf неть
а altq это механизм вне фаера и больше относится собственно к драйверам сетевух
поэтому, сюрприз, altq можно пользовать во всех трех фаерах фри включая ipfw

далее механизм фильтрования mac адресов работает в связке pf+openbsd при фильтровании пакетов проходящих
через bridge и только там, во фрибсд такой радости в pf нет во всяком случае
в 6.2 релизе man bridge тишина и brconfig не существует

альтку помогает значит юзаем

у меян 6.3 вот специально ввел команду

Код: Выделить всё

# man bridge
Formatting page, please wait...Done.
BRIDGE(4)              FreeBSD Kernel Interfaces Manual              BRIDGE(4)

NAME
     bridge -- bridging support

SYNOPSIS
     options BRIDGE

DESCRIPTION
     This bridge implementation is made obsolete by: if_bridge(4) and will be
     removed from future releases.

     FreeBSD supports bridging on Ethernet-type interfaces, including VLANs.
     Bridging support can be either compiled into the kernel, or loaded at
     runtime as a kernel module.

[Хостинг HostFood.ru]

Тарифы на хостинг в России, от 12 рублей: https://www.host-food.ru/tariffs/hosting/
Тарифы на виртуальные сервера (VPS/VDS/KVM) в РФ, от 189 руб.: https://www.host-food.ru/tariffs/virtualny-server-vps/
Выделенные сервера, Россия, Москва, от 2000 рублей (HP Proliant G5, Intel Xeon E5430 (2.66GHz, Quad-Core, 12Mb), 8Gb RAM, 2x300Gb SAS HDD, P400i, 512Mb, BBU):
https://www.host-food.ru/tariffs/vydelennyi-server-ds/
Недорогие домены в популярных зонах: https://www.host-food.ru/domains/

[_kirill_]

Код: Выделить всё

# man bridge

и в 6.2 есть, только ты в связке с пф и в 6.3 и 7.0 не сможе применить

[dikens3]

Меня бесит когда такая конструкция развернётся, к примеру, в 5 правил (по количеству IP-Адресов). Тут PF отдыхает со своей конструкцией. Тоже самое с портами:

Код: Выделить всё

deny tcp from any to me 22,23,25,110,443,80 setup

Сколько будет правил при учёте, если IP-Адресов 5 штук? Дай угадаю - 30 правил, вместо одного?
P.S. Везде свои плюсы и минусы.

так добавь всю сеть

Код: Выделить всё

dmz_net = "192.168.0.0/24"

Имеется ввиду конструкция self, которая разворачивается в хрен пойми что. Приходится в таблицу все IP-Адреса запихивать.

[hizel]

потыкай пальцем где в man bridge - Tagging Ethernet Frames!?

[voider]

потыкай пальцем где в man bridge - Tagging Ethernet Frames!?

на самом деле файлволл по маку щас не актуален его сменить одной строчкой мона
VPN щас юзают

[_kirill_]

потыкай пальцем где в man bridge - Tagging Ethernet Frames!?

на самом деле файлволл по маку щас не актуален его сменить одной строчкой мона
VPN щас юзают

и какой строчкой?

[schizoid]

ether в ifconfig

[hizel]

потыкай пальцем где в man bridge - Tagging Ethernet Frames!?

на самом деле файлволл по маку щас не актуален его сменить одной строчкой мона
VPN щас юзают

так, тоесть вы подтверждаете, что фильтровать по mac в pf в freebsd низя
я правильно понимаю ваш съезд в сторону vpn?
актуальность кстати мы с вам не обсуждали, ага

[dikens3]

Завязываем, все файрволы нам нужны, все файрволы нам важны.

[voider]

и какой строчкой?

ifconfig_rl0="inet 192.168.0.1 netmask 255.255.255.0 ether 00:1a:4d:48:86:4f"

[voider]

Завязываем, все файрволы нам нужны, все файрволы нам важны.

прально а кого нам бояться? если унас все логируетсья )))

[hizel]

правильно фильтровать mac это не энтерпрайз
vpn создает другую пачку проблем и не всегда
оправданное решение

[voider]

потыкай пальцем где в man bridge - Tagging Ethernet Frames!?

на самом деле файлволл по маку щас не актуален его сменить одной строчкой мона
VPN щас юзают

так, тоесть вы подтверждаете, что фильтровать по mac в pf в freebsd низя
я правильно понимаю ваш съезд в сторону vpn?
актуальность кстати мы с вам не обсуждали, ага

замучилс я убирать квоты буду так делать ,ну вот в pf еще не непортирован модуль из openBsd но 3 файвола уживаются вмесет очень даже хорошо
прочитай статейку http://www.xakep.ru/post/37504/default.asp?print=true

Как видишь, все три файрвола во FreeBSD достаточно функциональны и удобны в работе. Судя по высказываниям, встречающимся в интернете, большинство отдает предпочтение фильтру pf, как более быстрому, мощному и комфортному в работе. С этим трудно не согласиться, хотя ipfw предоставляет некоторые функции, отсутствующие в других файрволах (фильтрацию по MAC, divert-сокеты). С другой стороны, pf выглядит более удобным при работе с очередями (но при этом требуется пересобрать ядро; а вот dummynet можно подгрузить модулем) и особенно для NAT-преобразований. Несомненными плюсами являются нормализация пакетов, антиспуфинг и целый арсенал самых различных «тонких настроек». IPFilter хорош в случае, когда приходится администрировать парк разношерстных систем - есть возможность работать с одним и тем же файрволом (я обычно использую ipf в NetBSD, Solaris и QNX - примечание редактора).

[voider]

правильно фильтровать mac это не энтерпрайз
vpn создает другую пачку проблем и не всегда
оправданное решение

ну пример приведи пачки проблем может это решаеться за пару финтов ушами

[hizel]

поиском по этому форуму обозри кол-во вопросов
связанных с pppoe, pptp, l2tp, ipsec и openvpn
и скажи что все тривиально

Как видишь, все три файрвола во FreeBSD достаточно функциональны и удобны в работе. Судя по высказываниям, встречающимся в интернете, большинство отдает предпочтение фильтру pf, как более быстрому, мощному и комфортному в работе.

совершенно бездоказательно
и журналец хацкёр не авторитет

[voider]

поиском по этому форуму обозри кол-во вопросов
связанных с pppoe, pptp, l2tp, ipsec и openvpn
и скажи что все тривиально

Как видишь, все три файрвола во FreeBSD достаточно функциональны и удобны в работе. Судя по высказываниям, встречающимся в интернете, большинство отдает предпочтение фильтру pf, как более быстрому, мощному и комфортному в работе.

совершенно бездоказательно
и журналец хацкёр не авторитет

pptp корявый , pppoe это для adsl я mpd4 с l2tp(так как быстрее качает) и всё круто просто многие конфигурируют конфигурируют и не знают что надо в ядро добавить всякие опции и поэтому немогут понять почему не работает уних когда тоже самое работает у других

[voider]

допустим для подержки тунелирования со всеми темами нужно добавить в ядро

Код: Выделить всё

# ================== Enable NETGRAPH =======================
options NETGRAPH
options NETGRAPH_ASYNC
options NETGRAPH_BPF
options NETGRAPH_BRIDGE
options NETGRAPH_CISCO
options NETGRAPH_ECHO
options NETGRAPH_ETHER
options NETGRAPH_FRAME_RELAY
options NETGRAPH_GIF
options NETGRAPH_GIF_DEMUX
options NETGRAPH_HOLE
options NETGRAPH_IFACE
options NETGRAPH_IP_INPUT
options NETGRAPH_KSOCKET
options NETGRAPH_L2TP
options NETGRAPH_LMI

# MPPC Для MPPC компрессии требуются специальные лицензионные файлы, которые не прилагаются в ядро
#=== options NETGRAPH_MPPC_COMPRESSION
options NETGRAPH_MPPC_ENCRYPTION
options NETGRAPH_ONE2MANY
options NETGRAPH_PPP
options NETGRAPH_PPTPGRE
options NETGRAPH_RFC1490
options NETGRAPH_SOCKET
options NETGRAPH_TEE
options NETGRAPH_TTY
options NETGRAPH_UI
options NETGRAPH_VJC
#===================================================

кучу всякого

[hizel]

эк вы все по полочкам резво разложили
аш душа радуется

[voider]

эк вы все по полочкам резво разложили
аш душа радуется

ахах)
ну вот далее настройка VPN клиента c роутерскими способностями т.е мона через это впн клиент еще целу сетку вывести
вводим #whereis mpd4
1 он показывает путь идем туда типа порты запускаем make ждем когда скомпилируеться без ошибок потом make install потом rehash чтоб пути обновились
2 конфиги -
mpd.conf

Код: Выделить всё

startup:
    set web ip 192.168.1.1 #адрес Vpn тачки через котору мы полезем всей сеткой по одному впн соединению 
    set web port 5006
    set web user me only
    set web open

default:
    load vpn-l2tp

vpn-l2tp:
    new -i ng0 provider_l2tp l2tp
    set iface mtu 1460
    set iface idle 0
    set iface enable tcpmssfix
#==    set iface route default
    set iface up-script /usr/local/etc/mpd4/io-up-l2tp.sh
    set iface down-script /usr/local/etc/mpd4/io-down-l2tp.sh
    set auth authname XXXXXXXXXX
    set auth password XXXXXXXXXX
    set link keep-alive 60 180
    set link accept chap
    set link no pap
    set link max-redial 0
    set bundle disable multilink
    set bundle disable crypt-reqd
    set bundle disable noretry
    set ipcp no vjcomp
    open

mpd.links

Код: Выделить всё

l2tp:
    set link type l2tp
    set l2tp peer l2tp.provider.ru
    set l2tp enable originate
    set l2tp disable incoming

io-up-l2tp.sh

Код: Выделить всё

#!/bin/sh

LocalGW=`cat /tmp/Current_Local_GW`

route delete $4
route add $4 $LocalGW
route delete default
route add default $4

echo $4 > /tmp/l2tp_GW

io-down-l2tp.sh

Код: Выделить всё

#!/bin/sh

# Get GateWays 
LocalGW=`cat /tmp/Current_Local_GW`
vpn_GW=`cat /tmp/l2tp_GW`

route delete $dr
route delete default
route add default $LocalGW

это все делаеться ,чтоб и локалка работала и интернет
все эти файлы закинуть в usr/local/etc/mpd4 , файлы up и down отчмодить на запуск

и это еще не всё ,надо настоить dhcp clienta чтоб он получал таблицу ротинга и днсов
еще файрвол и 2 nata поднять ну вот у меняест ьготовые конфиги могу каньть выслать на мыло если надо )

[iZEN]

...
далее механизм фильтрования mac адресов работает в связке pf+openbsd при фильтровании пакетов проходящих
через bridge и только там, во фрибсд такой радости в pf нет во всяком случае
в 6.2 релизе man bridge тишина и brconfig не существует

Во FreeBSD 7.0-RELEASE man bridge есть, brconfig не существует.

Код: Выделить всё

<...>
EXAMPLES
     The following when placed in the file /etc/rc.conf will cause a bridge
     called ``bridge0'' to be created, and will add the interfaces ``ath0''
     and ``fxp0'' to the bridge, and then enable packet forwarding.  Such a
     configuration could be used to implement a simple 802.11-to-Ethernet
     bridge (assuming the 802.11 interface is in ad-hoc mode).

           cloned_interfaces="bridge0"
           ifconfig_bridge0="addm ath0 addm fxp0 up"

     For the bridge to forward packets all member interfaces and the bridge
     need to be up.  The above example would also require:

           ifconfig_ath0="up ssid my_ap mode 11g mediaopt hostap"
           ifconfig_fxp0="up"

     Consider a system with two 4-port Ethernet boards.  The following will
     cause a bridge consisting of all 8 ports with Rapid Spanning Tree enabled
     to be created:

           ifconfig bridge0 create
           ifconfig bridge0 \
               addm fxp0 stp fxp0 \
               addm fxp1 stp fxp1 \
               addm fxp2 stp fxp2 \
               addm fxp3 stp fxp3 \
               addm fxp4 stp fxp4 \
               addm fxp5 stp fxp5 \
               addm fxp6 stp fxp6 \
               addm fxp7 stp fxp7 \
               up

     The bridge can be used as a regular host interface at the same time as
     bridging between its member ports.  In this example, the bridge connects
     em0 and em1, and will receive its IP address through DHCP:

           cloned_interfaces="bridge0"
           ifconfig_bridge0="addm em0 addm em1 DHCP"
           ifconfig_em0="up"
           ifconfig_em1="up"

     The bridge can tunnel Ethernet across an IP internet using the EtherIP
     protocol.  This can be combined with ipsec(4) to provide an encrypted
     connection.  Create a gif(4) interface and set the local and remote IP
     addresses for the tunnel, these are reversed on the remote bridge.

           ifconfig gif0 create
           ifconfig gif0 tunnel 1.2.3.4 5.6.7.8 up
           ifconfig bridge0 create
           ifconfig bridge0 addm fxp0 addm gif0 up

SEE ALSO
     gif(4), ipf(4), ipfw(4), pf(4), ifconfig(8)

HISTORY
     The if_bridge driver first appeared in FreeBSD 6.0.

AUTHORS
     The bridge driver was originally written by Jason L. Wright
     <jason@thought.net> as part of an undergraduate independent study at the
     University of North Carolina at Greensboro.

     This version of the if_bridge driver has been heavily modified from the
     original version by Jason R. Thorpe <thorpej@wasabisystems.com>.

     Rapid Spanning Tree Protocol (RSTP) support was added by Andrew Thompson
     <thompsa@FreeBSD.org>.

BUGS
     The if_bridge driver currently supports only Ethernet and Ethernet-like
     (e.g., 802.11) network devices, with exactly the same interface MTU size
     as the bridge device.

     Only wireless interfaces in hostap mode can be bridged due to the 802.11
     framing format, bridging a wireless client is not supported yet.

FreeBSD 7.0                   September 17, 2007                   FreeBSD 7.0

[hizel]

я не говорил, что man bridge не существует
более того в 6.x бриджей две штуки
bridge старенький и if_bridge новый

voider

это все замечательно, но если провайдер дает только кривой, как вы выразились, pptp?
и вобще дискурсия была не о том.
использование vpn, это дополнительный layer модели OSI
со стороны клиента, это дополнительные телодвижения для подключения к интернету
если бы вы когда нибудь работали в тех поддержке какого нибудь провайдера
то вы бы на своём моске прочувствовали, что значат эти телодвижения - нервы, время.
плюс со стороны прова надо поднять серверную часть, в случае с pptp,l2tp желательно
всетаки с шифрованием и компрессий, что при достаточном кол-ве клиентов
приводит к приличным затратам на желеско
далее милые нашему сердцу мастдаи, начинают давать шороху
2000-ый работает так, XP - сяк, 98 - прости господи, Свиста - да снесите ее нахрен!
mtu, mru, падла не видит vpn сервак за шлюзом
танцы с бубном, мантры, маты .....

[voider]

потыкай пальцем где в man bridge - Tagging Ethernet Frames!?

на самом деле файлволл по маку щас не актуален его сменить одной строчкой мона
VPN щас юзают

и какой строчкой?

если я бы хотел юзать залявного интеа в сетке я бы так бы сделал написал бы скрипт
в крое в опредленное время запускаешь сканер диапазона IP собираешь все IP и мас адреса потом заносишь в таблицу , далее когда таблица всег машин будет унас в сборе то если при повторном сканировании какойнь комп выключен мы это секём ,меняем IP и мак адрес совй тачки на тачки которой нет , и юзаем инет нахаляву потом когда комп тот включается мы это тоже секём ищем очередной комп выключеный и меняем снова и так мона юзать инет без разбору , скрипты это круто:) а VPN он блин авторизируеться по логину и пароли ту уже надо узнать эти логны и пароли так что вот так ,защита по макадресу фигня

[voider]

я не говорил, что man bridge не существует
более того в 6.x бриджей две штуки
bridge старенький и if_bridge новый

voider

это все замечательно, но если провайдер дает только кривой, как вы выразились, pptp?
и вобще дискурсия была не о том.
использование vpn, это дополнительный layer модели OSI
со стороны клиента, это дополнительные телодвижения для подключения к интернету
если бы вы когда нибудь работали в тех поддержке какого нибудь провайдера
то вы бы на своём моске прочувствовали, что значат эти телодвижения - нервы, время.
плюс со стороны прова надо поднять серверную часть, в случае с pptp,l2tp желательно
всетаки с шифрованием и компрессий, что при достаточном кол-ве клиентов
приводит к приличным затратам на желеско
далее милые нашему сердцу мастдаи, начинают давать шороху
2000-ый работает так, XP - сяк, 98 - прости господи, Свиста - да снесите ее нахрен!
mtu, mru, падла не видит vpn сервак за шлюзом
танцы с бубном, мантры, маты .....

а pptp у меня тоже есть скрипты
на cisco тогда переходить надо 1500 баков сиска на 800 одновременных соединений
не видит впн сервак потомучто надо прописать таблицу статических маршрутов к DNS и к Vpn серверу

[hizel]

ви миня не понимаете

[voider]

ви миня не понимаете

я вас прекрасно понимаю ,это всё отмазки работать надо !! или вам мало платят и не охота гемороиться? так и скажите