Как заблокировать трафик между локальными подсетями IPWF .

[snorlov]

Вы для начала привели бы содержимое /etc/rc.conf, я просмотрел все обсуждение, но так и не увидел информацию, откуда у вас грузяться правила для ipfw... Все, что вам тут говорилось, это если использовать установки по умолчанию, а на наследуемой системе может быть все, что душе предыдущего админа угодно...

[Хостинг HostFood.ru]

Тарифы на хостинг в России, от 12 рублей: https://www.host-food.ru/tariffs/hosting/
Тарифы на виртуальные сервера (VPS/VDS/KVM) в РФ, от 189 руб.: https://www.host-food.ru/tariffs/virtualny-server-vps/
Выделенные сервера, Россия, Москва, от 2000 рублей (HP Proliant G5, Intel Xeon E5430 (2.66GHz, Quad-Core, 12Mb), 8Gb RAM, 2x300Gb SAS HDD, P400i, 512Mb, BBU):
https://www.host-food.ru/tariffs/vydelennyi-server-ds/
Недорогие домены в популярных зонах: https://www.host-food.ru/domains/

[YSL]

Код: Выделить всё

# -- sysinstall generated deltas -- # Sat Feb 19 17:58:05 2011
# Created: Sat Feb 19 17:58:05 2011
# Enable network daemons for user convenience.
# Please make all changes to this file, not to /etc/defaults/rc.conf.
# This file now contains just the overrides from /etc/defaults/rc.conf.
keymap="ua.koi8-u.shift.alt"
sshd_enable="YES"
# -- sysinstall generated deltas -- # Sat Feb 19 16:08:10 2011
ifconfig_bge0="inet 192.168.1.100  netmask 255.255.255.0"
defaultrouter="192.168.1.7"
hostname="router.local"
ifconfig_rl0="inet 10.10.10.1  netmask 255.255.255.0"
firewall_enable="YES"
fsck_y_enable="YES"
background_fsck="NO"
gateway_enable="YES"
mysql_enable="YES"
apache22_enable="YES"
pf_enable="YES"
ipcad_enable="YES"
devfs_set_rulesets="/usr/local/etc/unbound/dev=unbound_ruleset"
unbound_enable="YES"
proftpd_enable="YES"
webmin_enable="YES"
router_enable="NO"

У меня все по умолчанию

[snorlov]

Т.о. правила загружаются из /etc/rc.firewall, вот в него и надо добавить 2-а правила,
выглядеть это должно примерно так, запуск ipfw add и номера я опускаю...

Код: Выделить всё

allow ip from any to me
allow tcp from any to me dst-port 22
allow tcp from me 22 to any
allow ip from any to any via lo0

deny all from 192.168.1.0/24 to any via bge0
deny all from 10.0.0.0/24 to any via rl0

skipto 1000 ip from me to any

[YSL]

Сделал так в /etc/rc.firewall , пинг не проходит к сети 192.168.1.0/24 и к 10.0.0.0/24 но и инета нет на подсети 10.10.10.0/24 (хотя странно пинги на сайты проходят но в браузере не грузятся )

Код: Выделить всё

# ipfw list
00001 allow ip from any to me
00050 allow tcp from any to me dst-port 22
00051 allow tcp from me 22 to any
00110 allow ip from any to any via lo0
00111 deny ip from 192.168.1.0/24 to any via bge0
00112 deny ip from 10.0.0.0/24 to any via rl0
00120 skipto 1000 ip from me to any
00130 deny icmp from any to any in icmptypes 5,9,13,14,15,16,17
00160 skipto 2000 ip from any to me
00200 skipto 500 ip from any to any via bge0
00300 skipto 4500 ip from any to any in
00400 skipto 450 ip from any to any recv bge0
00420 divert 1 ip from any to any
00450 divert 2 ip from any to any
00490 allow ip from any to any
00500 skipto 32500 ip from any to any in
00510 divert 1 ip from any to any
00540 allow ip from any to any
01000 allow udp from any 53,7723 to any
01010 allow tcp from any to any setup keep-state
01020 allow udp from any to any keep-state
01030 allow ip from any to any
01040 allow ip from any to me
02000 check-state
02010 allow icmp from any to any
02020 allow tcp from any to any dst-port 80,443
02050 deny ip from any to any via bge0
02060 allow udp from any to any dst-port 53,7723
02100 deny ip from any to any
05000 deny ip from not table(0) to any
05001 skipto 5010 ip from table(127) to table(126)
05002 skipto 5030 ip from any to not table(2)
05003 deny ip from any to not table(1)
05004 pipe tablearg ip from table(21) to any
05005 deny ip from any to any
05010 pipe tablearg ip from table(127) to any
05030 deny tcp from table(15) to any dst-port 25
05400 pipe tablearg ip from table(11) to any
32000 deny ip from any to any
32490 deny ip from any to any
33000 pipe tablearg ip from table(126) to table(127)
33001 skipto 33010 ip from not table(2) to any
33002 pipe tablearg ip from any to table(20)
33003 deny ip from any to any
33400 pipe tablearg ip from any to table(10)
65535 deny ip from any to any

[YSL]

Гуру вы гдее хелп ???

[BirdGovorun]

Гуру вы гдее хелп ???

Как где? Позно уже, спать пора.
У вас в rc.conf

ifconfig_bge0="inet 192.168.1.100 netmask 255.255.255.0"
..........
ifconfig_rl0="inet 10.10.10.1 netmask 255.255.255.0"

А вы

00111 deny ip from 192.168.1.0/24 to any via bge0
00112 deny ip from 10.0.0.0/24 to any via rl0

запрещаете ходить по "родным" интерфейсам
snorlov ошибся в примере, а тупо повторили.
и еще у вас включен ещё фаервол

pf_enable="YES"

на нем, судя по всему, сделан NAT
и

Код: Выделить всё

defaultrouter="192.168.1.7"

у вас сетевая bge0 раздает ещё и интернет
достаточно в правилах оставить

Код: Выделить всё

00111 deny ip from 192.168.1.0/24 to any via rl0

и между подсетками связи не будет.

[snorlov]

Блин, действительно ошибся, просто скопистил из одного из пред. постов...

[YSL]

Еще вопрос как закрыть например доступ к определенному ip например 192.168.1.3/24 и например к 10.0.0.3/24

[Dark_fisher]

Еще вопрос как закрыть например доступ к определенному ip например 192.168.1.3/24 и например к 10.0.0.3/24

А зачем ?
у вас же уже есть

Код: Выделить всё

deny ip from 192.168.1.0/24 to any via rl0

вы и так запретили ходить между сетями.

[YSL]

Так на будущее, буду знать ))
Спасибо всем и особенно BirdGovorun все работает ))