Заморочка с состояниями брэндмауера и не только

Проблемы установки, настройки и работы Правильной Операционной Системы

Модератор: terminus

Правила форума
Убедительная просьба юзать теги [cоde] при оформлении листингов.
Сообщения не оформленные должным образом имеют все шансы быть незамеченными.
Аватара пользователя
hozman
мл. сержант
Сообщения: 137
Зарегистрирован: 2007-12-13 0:04:01

Заморочка с состояниями брэндмауера и не только

Непрочитанное сообщение hozman » 2007-12-13 0:31:47

Я первый раз собирал роутер в состоянии "CLOSE", у меня работала привязка мака к айпи.
По такому скрипту, на 3 подсети:

Код: Выделить всё

#Static ARP-table loader 
mynet1="192.168.1."; 
mynet2="192.168.2."; 
mynet3=''192.168.3."; 
n=1 

while ( [ $n -lt 255 ]; ); do 
arp -S $mynet1$n 0:0:0:0:0:0 
n=$(expr $n + 1); 

while ( [ $n -lt 255 ]; ); do 
arp -S $mynet2$n 0:0:0:0:0:0 
n=$(expr $n + 1); 

while ( [ $n -lt 255 ]; ); do 
arp -S $mynet3$n 0:0:0:0:0:0 
n-$(expr $n + 1); 

done 
Работало всё перкрасно. Но по скольку юзеры и
грают в различные игры в сети, (Это сервер внутрисетевой, без выхода в инет) открывать все порты на игры довольно таки трудоёмко и наврядли стоит, на данном этапе.

Я сменил состояние брэнмауера на "OPEN"

Исправил правила брэндмауера. Для айпишников я сделал такие правила:

Код: Выделить всё

# IP 
${fwcmd} add 01000 allow $skip ip from 192.168.1.0/24 to $goodnet $ks 
${fwcmd} add 01100 allow $skip ip from 192.168.2.0/24 to $goodnet $ks 
${fwcmd} add 01200 allow $skip ip from 192.168.3.0/24 to $goodnet $ks 
${fwcmd} add 01500 deny skip ip from any to $goodnet $ks 
#Allow 
${fwcmd} add 05000 allow ip from any to any $ks 
Здесь skip="skipto 5000"
И почему то пропускает всё что угодно, какой бы айпишник не ставил, не говоря уже о привязке ... есс-но нет. С чем это может быть связано? Ведь в режиме "CLOSE" всё работало на ура!
Последний раз редактировалось hozman 2007-12-21 21:36:51, всего редактировалось 2 раза.

Хостинговая компания Host-Food.ru
Хостинг HostFood.ru
 

Услуги хостинговой компании Host-Food.ru

Хостинг HostFood.ru

Тарифы на хостинг в России, от 12 рублей: https://www.host-food.ru/tariffs/hosting/
Тарифы на виртуальные сервера (VPS/VDS/KVM) в РФ, от 189 руб.: https://www.host-food.ru/tariffs/virtualny-server-vps/
Выделенные сервера, Россия, Москва, от 2000 рублей (HP Proliant G5, Intel Xeon E5430 (2.66GHz, Quad-Core, 12Mb), 8Gb RAM, 2x300Gb SAS HDD, P400i, 512Mb, BBU):
https://www.host-food.ru/tariffs/vydelennyi-server-ds/
Недорогие домены в популярных зонах: https://www.host-food.ru/domains/

Аватара пользователя
Alex Keda
стреляли...
Сообщения: 35426
Зарегистрирован: 2004-10-18 14:25:19
Откуда: Made in USSR
Контактная информация:

Re: Заморочка с состояниями брэндмауера и не только

Непрочитанное сообщение Alex Keda » 2007-12-13 1:13:56

давай

Код: Выделить всё

 ipfw show
Убей их всех! Бог потом рассортирует...

Аватара пользователя
hozman
мл. сержант
Сообщения: 137
Зарегистрирован: 2007-12-13 0:04:01

Re: Заморочка с состояниями брэндмауера и не только

Непрочитанное сообщение hozman » 2007-12-13 21:10:09

Вот вывод ipfw show:
00050 0 0 allow ip from any to any via lo
00100 0 0 deny ip from any to 127.0.0.0/8
00120 0 0 deny ip from 127.0.0.0/8 to any
00150 0 0 check-state
01000 0 0 skipto 5000 ip from 192.168.1.0/24 to 192.168.1.0/24,192.168.2.0/24,192.168.3.0/24,192.168.0.1 keep-state
01100 0 0 skipto 5000 ip from 192.168.2.0/24 to 192.168.1.0/24,192.168.2.0/24,192.168.3.0/24,192.168.0.1 keep-state
01200 0 0 skipto 5000 ip from 192.168.3.0/24 to 192.168.1.0/24,192.168.2.0/24,192.168.3.0/24,192.168.0.1 keep-state
01500 56 15427 deny ip from any to 192.168.1.0/24,192.168.2.0/24,192.168.3.0/24,192.168.0.1 keep-state
65535 98504 12465415 allow ip from any to any

Аватара пользователя
hozman
мл. сержант
Сообщения: 137
Зарегистрирован: 2007-12-13 0:04:01

Re: Заморочка с состояниями брэндмауера и не только

Непрочитанное сообщение hozman » 2007-12-15 15:14:23

Ну так в чём я не прав?

Аватара пользователя
dikens3
подполковник
Сообщения: 4856
Зарегистрирован: 2006-09-06 16:24:08
Откуда: Нижний Новгород
Контактная информация:

Re: Заморочка с состояниями брэндмауера и не только

Непрочитанное сообщение dikens3 » 2007-12-15 18:17:20

skipto 5000 - перенаправляет на правило с номером 5000, у тебя его нет и срабатывает следующее. allow all from any to any
Лучше установить FreeBSD, чем потратить 30 лет на Linux'ы и выяснить какой из них хуже.

Аватара пользователя
hozman
мл. сержант
Сообщения: 137
Зарегистрирован: 2007-12-13 0:04:01

Re: Заморочка с состояниями брэндмауера и не только

Непрочитанное сообщение hozman » 2007-12-15 20:02:17

dikens3 писал(а):skipto 5000 - перенаправляет на правило с номером 5000, у тебя его нет и срабатывает следующее. allow all from any to any
ОЙ, я уже переделал правило, и кинул новый вывод правила.
Я упростил код до такого:
goodnet="192.168.1.0/24, 192.168.2.0/24, 192.168.3.0/24 }"

${fwcmd} add allow all from ${goodnet} to ${goodnet}
${fwcmd} add deny ip from any to any
Вроде бы упростил, всё просто но почемуто вот именно так не работает правило (Для goodnet):
${fwcmd} add allow all from ${goodnet} to ${goodnet}
А так работает:
${fwcmd} add allow all from any to any
У меня такое ощущение что присвоение не правильно, так?

Аватара пользователя
LimpTeaM
сержант
Сообщения: 236
Зарегистрирован: 2007-10-04 16:26:21

Re: Заморочка с состояниями брэндмауера и не только

Непрочитанное сообщение LimpTeaM » 2007-12-15 20:09:36

Код: Выделить всё

goodnet="192.168.1.0/24, 192.168.2.0/24, 192.168.3.0/24 }"
не опечатка ли? нет второй скобки...

Аватара пользователя
dikens3
подполковник
Сообщения: 4856
Зарегистрирован: 2006-09-06 16:24:08
Откуда: Нижний Новгород
Контактная информация:

Re: Заморочка с состояниями брэндмауера и не только

Непрочитанное сообщение dikens3 » 2007-12-15 23:45:05

ipfw -ad list в студию, чё нам конфиг, нужен работающий фаер.
Лучше установить FreeBSD, чем потратить 30 лет на Linux'ы и выяснить какой из них хуже.

Аватара пользователя
hozman
мл. сержант
Сообщения: 137
Зарегистрирован: 2007-12-13 0:04:01

Re: Заморочка с состояниями брэндмауера и не только

Непрочитанное сообщение hozman » 2007-12-17 0:44:50

dikens3 писал(а):ipfw -ad list в студию, чё нам конфиг, нужен работающий фаер.
В общем, я сменил политику на "CLOSE". Теперь всё в порядке, тока вот одно НО, есои пересобираешь ядро, то файлы снова что ли исполняемыми нужно делать?

Аватара пользователя
dikens3
подполковник
Сообщения: 4856
Зарегистрирован: 2006-09-06 16:24:08
Откуда: Нижний Новгород
Контактная информация:

Re: Заморочка с состояниями брэндмауера и не только

Непрочитанное сообщение dikens3 » 2007-12-17 12:04:49

Какие именно файлы имеешь ввиду?
Лучше установить FreeBSD, чем потратить 30 лет на Linux'ы и выяснить какой из них хуже.

Аватара пользователя
hozman
мл. сержант
Сообщения: 137
Зарегистрирован: 2007-12-13 0:04:01

Re: Заморочка с состояниями брэндмауера и не только

Непрочитанное сообщение hozman » 2007-12-20 21:48:33

Я про исполняемые говорил, или они не зависят от конфигурации ядра?

Аватара пользователя
dikens3
подполковник
Сообщения: 4856
Зарегистрирован: 2006-09-06 16:24:08
Откуда: Нижний Новгород
Контактная информация:

Re: Заморочка с состояниями брэндмауера и не только

Непрочитанное сообщение dikens3 » 2007-12-21 11:46:11

hozman писал(а):Я про исполняемые говорил, или они не зависят от конфигурации ядра?
Ядро в /boot/kernel/, там всё изменяется. Остальное само собой не меняется.
Лучше установить FreeBSD, чем потратить 30 лет на Linux'ы и выяснить какой из них хуже.

Аватара пользователя
hozman
мл. сержант
Сообщения: 137
Зарегистрирован: 2007-12-13 0:04:01

Re: Заморочка с состояниями брэндмауера и не только

Непрочитанное сообщение hozman » 2007-12-21 21:38:00

Тогда значит что то со скриптом тут не то. Что тут не так подскажешь?