значит система FReeBSD 6.2
ядро собирало с опциями:
Код: Выделить всё
options ALTQ
options ALTQ_CBQ
options ALTQ_RED
options ALTQ_RIO
options ALTQ_HFSC
options ALTQ_PRIQ
options ALTQ_NOPCC
device pf
device pflog
device pfsync
Код: Выделить всё
pf_enable="YES"
pf_rules="/etc/rc.mypf"
pflog_enable="YES"
pflog_logfile="/var/pflog"
Код: Выделить всё
wan="nve0"
lan="xl0"
local="192.168.0.0/24"
oip="212.164.1.2"
iip="192.168.0.1"
admin="192.168.0.112"
sibseti="80.64.x.x"
avia_1="192.168.0.113"
private="{ 127.0.0.0/8, 192.168.0.0/16, 172.16.0.0/12, 10.0.0.0/8 }"
kronos="193.43.x.x"
akadem="{ 85.118.x.x, 85.118.y.y }"
#table <filials> { $akadem, $kronos }
serv="192.168.0.2"
icmp_types="echoreq"
#set limit { frags 5000, states 3500 }
set optimization normal
set block-policy drop
#set state-policy if-bound
scrub in all
#NAT
nat on $wan inet proto tcp from $lan:network to any -> ($wan)
rdr on $lan inet proto tcp from $admin to any port 80 -> 127.0.0.1 port 3128
rdr on $wan inet proto tcp from $kronos to $wan port 3389 -> $serv port 3389
#--
block all
pass in quick on lo0 all
#----------Block private networks---------
block in quick on $wan inet from $private to any
block out quick on $wan inet from any to $private
#-------------END--------------
pass in inet proto icmp all icmp-type $icmp_types keep state
pass quick on $wan inet proto tcp from any to any port 53 keep state
pass quick on $wan inet proto udp from any to any port 53 keep state
pass quick on $lan inet proto { tcp, udp } from any to any port 53 keep state
pass quick on $lan proto tcp from $local to port 5190 tag NAT_PASS keep state
pass out on $wan tagged NAT_PASS keep state
pass in quick on $lan inet proto tcp from $admin to $iip port 2022 keep state
после применения правил нифига не работает. пинги с серва никуда не идут. на сервак так же. нат не пашет, днс тоже блокируется...вовбщем всё на всё закрыто. почему? тот же нат. согласно статье http://www.opennet.ru/base/net/pf_faq.txt.html нат всяко должен работать.
что я делаю не так? в ipfw собственно логика была попроще, вначале указываю то что должно работать, т.е. разрешено. а потом блокирую то что не надо...например, открываю нат, разрешаю всякие ссх на серв от моего компа, открываю какие надо порты, а потом закрываю всё что не должно приходить с инета на серв. тут такая логика не проходит.
подскажите кто что может и/или знает. очень прошу!
