Настройка ipfw nat

[Kesha]

катит, алиасом. на 9 правдо что-то не заработало. но на 7,6 работало...

Можно, но через NETWORKING проще - можно "на лету", без перезагрузки или "перечитывания" rc.conf, менять mac и сеть сразу цепляется к роутеру провайдера.

[Хостинг HostFood.ru]

Тарифы на хостинг в России, от 12 рублей: https://www.host-food.ru/tariffs/hosting/
Тарифы на виртуальные сервера (VPS/VDS/KVM) в РФ, от 189 руб.: https://www.host-food.ru/tariffs/virtualny-server-vps/
Выделенные сервера, Россия, Москва, от 2000 рублей (HP Proliant G5, Intel Xeon E5430 (2.66GHz, Quad-Core, 12Mb), 8Gb RAM, 2x300Gb SAS HDD, P400i, 512Mb, BBU):
https://www.host-food.ru/tariffs/vydelennyi-server-ds/
Недорогие домены в популярных зонах: https://www.host-food.ru/domains/

[klaster]

в rc.conf подмена мака не катит.

пишем в /etc/rc.d/NETWORKING в одну строчку:

Да не вроде катит, я же говорю в нет выходит проблем нету alias катит.

А вот с локалкой проблема. Как решить проблему выхода Win Xp в нет через Freebsd ????

[Kesha]

Код: Выделить всё

kld_stat: Command not found.

kld_stat - нет такой команды.
есть - kldstat

[Kesha]

Вы разбиритесь сначало с правилами nat-а, сделайте в rc.conf - ipfw "open".
Соберите ядро с

Код: Выделить всё

options         IPFIREWALL              #
options         IPDIVERT                #
options         IPFIREWALL_VERBOSE      #
options         IPFIREWALL_VERBOSE_LIMIT=10  # или сколько вам нужно, если хотите смотреть нужные вам логи правил ipfw

настройте по хэндбуку NAT, а потом тренируйтесь с брандмауэром.

[Kesha]

Кста, помню костыль пока на вендах не прописал сервер имён провайдера, в инет из локалки небыло выхода и с DHCP и со статическими адресами.

[vadim64]

kld_stat - нет такой команды.
есть - kldstat

спасибо, Кэп!

[Kesha]

спасибо, Кэп!

Разве я вам писал?
Не суетитесь, любезный.

[vadim64]

спасибо, Кэп!

Разве я вам писал?
Не суетитесь, любезный.

вы неожиданно любезно для местных анонимов поправили меня, не пытайтесь уйти от благодарности

[Kesha]

не пытайтесь уйти от благодарности

Это лишнее.
И ругаться не люблю. Просто не понял причины вашего сарказма.

[klaster]

Люди подскажите пожалуйста.
Не получаеться настроить Локалку.
Ситуация такая, две сетевых карты одна внешняя другая внутреняя :

Код: Выделить всё

rl0= 91.91.91.91
rl1= 192.168.1.1

Проблема в том что я немогу выйти в нет через локалку.
FreeBsd машина на которую приходит провайдерский кабель выходит в интернет без проблем, а вот вторая сетевая карта каторая подклученно к этой машине и должна довать выход в нет или пинговать какую нибудь машину в локалке заканчиваеться тем что не один пакет не доходит. Я пробывал выключать firewall вообще, команду вводил полный доступ для ipfw. Ни чего не получаеться, на правило мне всеравно, настроить и потом все можно, но вот почему выхода в нет нету.
rc.conf :

Код: Выделить всё

ifconfig_nfe0="ether 00:22:6B:xx:xx:xx"
ifconfig_rl0_alias0="91.91.91.91 netmask 255.255.254.0 -rxcsum"
defaultrouter="94.101.226.1"
ifconfig_rl1="inet 192.168.1.1 netmask 255.255.255.0"
hostname="gip"
firewall_enable="YES"
firewall_type="/etc/firewall.conf.bak
#firewall_nat_enable="YES"
#dummynet_enable="YES"
gateway_enable="YES"
#natd_enable="YES"
#natd_inteface="nfe0"
#natd_flags="-f /etc/natd.conf"

Вот это правила firewall.conf.bak :

Код: Выделить всё

# локальный трафик
#add allow ip from 127.0.0.0/8 to any via lo0
#add allow ip from any to 127.0.0.0/8 via lo0
#add check-state
# разрешить весь исходящий трафик
add allow tcp from me to any keep-state
add allow udp from me to any keep-state
add allow icmp from me to any keep-state
# разрешить провайдер www и https
add allow tcp from 192.168.1.1/24 to me 80,443 keep-state
# разрешить ssh
add allow tcp from 192.168.1.1/24 to me 22 keep-state
# разрешить dns
add allow tcp from any to me 53
add allow udp from any to me 53
#add deny udp from 192.168.1.4 to 192.168.1.1 via rl0
# mail pop imap smtp
add allow tcp from any to me 25
add allow tcp from any to me 110
add allow tcp from any to me 143
#add allow tcp from 192.168.1.4 to me 110 keep-state
#add allow tcp from 192.168.1.4 to me 143 keep-state
# запретить остальное
add deny log ip from any to any

Помогите пожалуйста.

[Dark_LemON]

Комрады, голова пошла кругом и что-то я запутался.
Нужен простой совет.
Перехожу с IPFW + NATD на IPFW nat "ядерный".
Включил в ядро все необходимые опции и запнулся на перепутьи советов. Кто-то говорит надо ставить вс rc.conf

Код: Выделить всё

firewall_nat_enable="YES"

кто-то советует оставить как было

Код: Выделить всё

firewall_enable="YES"

...

сейчас в rc.conf у меня

Код: Выделить всё

#Geatway
tcp_drop_synfin="YES"
gateway_enable="YES"

#Firewall
firewall_enable="YES"
firewall_script="/etc/firewall"

#NAT
natd_enable="YES"
natd_interface="rl0"  #ext int-f
natd_flags="-f /etc/natd.conf"

Код: Выделить всё

uname -a 
FreeBSD 7.2-RELEASE-p8

Как должно быть по правильному?
И как я понял после перехода на ipfw nat процесс natd из системы должен уйти?

[ivan_k]

я использую обе записи для ядерного ната
natd из системы никуда не уйдет, если ядро скомпилено с IPDIVERT

[iZEN]

Как должно быть по правильному?

Краткий обзор ядерного NAT-а в FreeBSD: http://habrahabr.ru/blogs/bsdelniki/102739/
Обзор и сравнение способов настройки NAT на FreeBSD: http://habrahabr.ru/blogs/bsdelniki/111580/

[Dark_LemON]

ivan_k, iZEN огромное спасибо за ответы! Помогли разобраться!

[gazizeldar]

Добрый день знатоки!
мучаюсь вторую неделю.
Суть проблемы.
БСД стартует - но ни пинги ни выход в инет не идет. при этом с локальной машины пинг на сервер идет. на внешние адреса нет.
при вводе команды /etc/netstart resart или /etc/rc.d/ipfw restart пинги и инет начинают работать на локальных машинах.
Конфиг rc.firewall сделан по образу и подобию статьи на этом ресурсе.
Вот он дословно.

Код: Выделить всё

#!/bin/sh

# для начала вводим переменные - для нашего же удобства, чтобы не
# вводить по сотне раз одно и то же, а потом искать почему не работает,
# и в итоге выяснять, что ошибся IP адресом в одном из правил

FwCMD="/sbin/ipfw"            # бинарник IPFW

LanOut="re0"                  # Внешняя сетевуха
NetOut="192.168.1.0/24"   # внешняя сеть
IpOut="192.168.1.101"       # Внешний IP

LanIn="re1"                   # внутренняя сетевуха
NetIn="192.168.0.0/24"        # Внутренняя сеть
ip_lan="192.168.0"            # Шаблон внутреннего адреса
                              # нужен для ввода разрешений на инет

# сбрасываем все правила
${FwCMD} -f flush
# сбрасываем все pipe
${FwCMD} -f pipe flush
# сбрасываем очереди
${FwCMD} -f queue flush

# Разрешаем весь траффик по внутреннему интерфейсу (петле)
# Вообще я во многих местах читал что без него может ничё не заработать вообще
# и прочие страшилки. Работает - почта, апач, .... А вот squid - не работает :)
# так что без него и правда - никуда.
${FwCMD} add allow ip from any to any via lo0

# Вводим запреты:

# рубим попытки lo0 куда-то лезть и откуда-то лезть на lo0 (вот честно - ни
# одного пакета по этим правилам не зарубилось за всё время... Может в этом
# моё счастье? :))
${FwCMD} add deny ip from any to 127.0.0.0/8
${FwCMD} add deny ip from 127.0.0.0/8 to any

# рубим пакеты `типа от внутренней сети, но на внешнем интерфейсе`
#${FwCMD} add deny ip from ${NetIn} to any in via ${LanOut}
# рубим пакеты `типа от внешней сети, но на внутреннем интерфейсе`
#${FwCMD} add deny ip from ${NetOut} to any in via ${LanIn}

# режем частные сети на внешнем интерфейсе - по легенде он у нас
# смотрит в интернет, а значит пакетам этим браться неоткуда на нём.
# рубим частные сeти
${FwCMD} add deny ip from any to 10.0.0.0/8 in via ${LanOut}
${FwCMD} add deny ip from any to 172.16.0.0/12 in via ${LanOut}
#${FwCMD} add deny ip from any to 192.168.0.0/16 in via ${LanOut}
${FwCMD} add deny ip from any to 0.0.0.0/8 in via ${LanOut}
# рубим автоконфигуреную частную сеть
${FwCMD} add deny ip from any to 169.254.0.0/16 in via ${LanOut}
# рубаем мультикастовые рассылки
${FwCMD} add deny ip from any to 224.0.0.0/4 in via ${LanOut}
# рубаем мультикастовые рассылки
${FwCMD} add deny ip from any to 240.0.0.0/4 in via ${LanOut}
# рубим фрагментированные icmp
# ${FwCMD} add deny icmp from any to any frag
# рубим широковещательные icmp на внешнем интерфейсе
# ${FwCMD} add deny log icmp from any to 255.255.255.255 in via ${LanOut}
# ${FwCMD} add deny log icmp from any to 255.255.255.255 out via ${LanOut}

# Отправляем всех на squid
# ${FwCMD} add fwd 127.0.0.1,3128 tcp from ${NetIn} to any 80 via ${LanOut}
# Делаем NAT (трансляцию сетевых адресов) всему, что не ушло на squid
${FwCMD} add divert natd ip from ${NetIn} to any out via ${LanOut}
${FwCMD} add divert natd ip from any to ${IpOut} in via ${LanOut}

# рубим траффик к частным сетям через внешний интерфейс
# заметтьте - эти правила отличаются от тех что были выше!
${FwCMD} add deny ip from 10.0.0.0/8 to any out via ${LanOut}
${FwCMD} add deny ip from 172.16.0.0/12 to any out via ${LanOut}
#${FwCMD} add deny ip from 192.168.0.0/16 to any out via ${LanOut}
${FwCMD} add deny ip from 0.0.0.0/8 to any out via ${LanOut}
# рубим автоконфигуреную частную сеть
${FwCMD} add deny ip from 169.254.0.0/16 to any out via ${LanOut}
# рубаем мультикастовые рассылки
${FwCMD} add deny ip from 224.0.0.0/4 to any out via ${LanOut}
# рубаем мультикастовые рассылки
${FwCMD} add deny ip from 240.0.0.0/4 to any out via ${LanOut}

# разрешаем некоторые типы ICMP траффика - эхо-запрос,
# эхо-ответ и время жизни пакета истекло
${FwCMD} add allow icmp from any to any icmptypes 0,8,11

# доступ к ssh http и https
${FwCMD} add allow tcp from any to me http,https,ssh,137,138,139,445


# Разрешаем траффик внутренней сети на внутреннем интерфейсе (входящий)
${FwCMD} add allow ip from any to ${NetIn} in via ${LanIn}
# Разрешаем траффик внутренней сети на внутреннем интерфейсе (исходящий)
${FwCMD} add allow ip from ${NetIn} to any out via ${LanIn}

# разрешаем tcp-пакеты по уже установленным соединениям
${FwCMD} add allow tcp from any to any established

# DNS - 4 правила. (если на машине есть DNS сервер - иначе надо всего два)
${FwCMD} add allow udp from any to ${IpOut} 53 in via ${LanOut}
${FwCMD} add allow udp from ${IpOut} 53 to any out via ${LanOut}
${FwCMD} add allow udp from any 53 to ${IpOut} in via ${LanOut}
${FwCMD} add allow udp from ${IpOut} to any 53 out via ${LanOut}
# разрешаем UDP (для синхронизации времени - 123 порт)
${FwCMD} add allow udp from any to any 123 via ${LanOut}
# разрешаем снаружи соединяться с 53 портом (TCP DNS)
${FwCMD} add allow tcp from any to ${IpOut} 53 in via ${LanOut} setup
# открываем снаружи 80 порт - если у нас есть WWW сервер на машине
${FwCMD} add allow tcp from any to ${IpOut} 80 in via ${LanOut} setup
# открываем снаружи 20,21 порт - для активного FTP
${FwCMD} add allow tcp from any to ${IpOut} 20,21 in via ${LanOut} setup
# разрешаем входящую почту
${FwCMD} add allow tcp from any to ${IpOut} 25 in via ${LanOut} setup
# разрешаем SSH
${FwCMD} add allow tcp from any to ${IpOut} 22 in via ${LanOut} setup
# открываем снаружи 20,21 порт - для активного FTP
${FwCMD} add allow tcp from any to ${IpOut} 20,21 in via ${LanOut} setup
# пассивный FTP
# для узнавания портранджа по которому будет работать, лезем в
# /usr/home/lissyara/>sysctl net.inet.ip.portrange.first
# net.inet.ip.portrange.first: 49152
# /usr/home/lissyara/>sysctl net.inet.ip.portrange.last
# net.inet.ip.portrange.last: 65535
# Можно изгалиться примерно так, если есть желание, но я предпочитаю руками
#${FwCMD} add allow tcp from any to ${IpOut} \
#`sysctl net.inet.ip.portrange.first | awk '{print $2}'`-\
#`sysctl net.inet.ip.portrange.last | awk '{print $2}'` via ${LanOut}
${FwCMD} add allow tcp from any to ${IpOut} 0-65535 via ${LanOut}


# Блокируем все остальные попытки соединения с занесением в логи
${FwCMD} add deny log tcp from any to ${IpOut} in via ${LanOut} setup

${FwCMD} add allow tcp from ${IpOut} to any out via ${LanOut} setup
${FwCMD} add allow tcp from any to ${IpOut} in via ${LanIn} setup
########### BEGIN USERS   ###############################
${FwCMD} add allow tcp from ${NetIn} to any 22 in via ${LanIN} setup

# Разрешаем всем аську (ICQ)
${FwCMD} add allow tcp from ${NetIn} to any 5190 in via ${LanIn} setup

# агент и аська
${FwCMD} add allow tcp from ${NetIn} to any 2041 in via ${LanIn} setup
${FwCMD} add allow tcp from ${NetIn} to any 2042 in via ${LanIn} setup
${FwCMD} add allow tcp from ${NetIn} to any 5222 in via ${LanIn} setup

${FwCMD} add allow tcp from ${NetIn} to any 25 in via ${LanIn} setup
${FwCMD} add allow tcp from ${NetIn} to any 110 in via ${LanIn} setup

# Пользователи которым разрешён инет
${FwCMD} add allow tcp from ${ip_lan}.101 to not ${NetIn} in via ${LanIn} setup
${FwCMD} add allow tcp from ${ip_lan}.3 to not ${NetIn} in via ${LanIn} setup
${FwCMD} add allow tcp from ${ip_lan}.102 to not ${NetIn} in via ${LanIn} setup
${FwCMD} add allow tcp from ${ip_lan}.101 to not ${NetIn} in via ${LanIn} setup

############# END USERS #################################

# запрещаем всё и всем. Если тип файрволла не open то это правило добавится
# автоматически, но всё-же ну его. Лучше сам. Надёжней.
${FwCMD} add deny ip from any to any

Вот строки в /etc/rc.conf

Код: Выделить всё

ifconfig_re0="inet 192.168.1.101 netmask 255.255.255.0"
ifconfig_re1="inet 192.168.0.101 netmask 255.255.255.0"
defaultrouter="192.168.1.102"
gateway_enable="YES"
named_enable="YES"
named_program="/usr/sbin/named"
named_flags="-u bind -c /etc/namedb/named.conf"
# . путь к самому файлу natd
natd_program="/sbin/natd"
# Разрешить NAT (если firewall_enable == YES)
natd_enable="YES"
# Внешний интерфейс или IPaddress для использования
natd_interface="re0"
# Дополнительный флаги запуска natd
natd_flags="-u"
firewall_enable="YES"
firewall_type="/etc/rc.firewall"

кофиг такой в сервере две сетвых карты одна смотрит в инет через мопед
вторая в локалку
Подскажите в чем я тут напортачил. БСД тока осваиваем прошу ногами не бить а вкрадчиво объяснить и ткнуть .

[Alex Keda]

в правилах форума.
конкретно - пункт про оформление листингов

[gazizeldar]

в правилах форума.
конкретно - пункт про оформление листингов

Так что уважаемый? буем тыкать в правила оформления? или подскажете в чем проблема то?

[vadim64]

в правилах форума.
конкретно - пункт про оформление листингов

Так что уважаемый? буем тыкать в правила оформления? или подскажете в чем проблема то?

та вы какойто упоротый, вроде товарисча изена поблагодарили за ссылки на статьи про ядурный нат, а сами опять потом выкладываете листинги фаервола из статьи кеды 8 летней давности. в башке увас проблема

я с удовольствием вам помогу, напишите с расстановкой ещё раз что вы хотите получить и дайте выводы команд

Код: Выделить всё

uname -a
ifconfig -a
kldstat
cat -n /etc/rc.conf

возмоно вы уже чтото из этого уже давали, но ковыряться в ваших сообщениях второй раз не хочется, потому что совести у вас нету, вы нагло врёте и не соблюдаете правила приличия, ибо читать неоформленные листинги -
если не планируете нормально оформлять выводы указанных мной команд - лучше вообще не постьте

[gazizeldar]

Звиняюсь за недоофрмление!я тут больше как читатель нежели писатель.
Суть такова
мне требуется-раздать инет в локалку но не всем,оставшемуся народу обеспечить аську и агент с жабой.
схема такова инет---мопед в статусе роутер---хаб---отсюда два линка- персональный дирику,второй в БСД(IPFW NAT и SAMBA)---пользюки конторы
в бсд входящий 192.168.1.101 , исходящий 192.168.0.101.
ядро пересобрано по всем рекомендациям.
перечень правил выложил выше, /etc/rc.conf аналогично .
В результате эксперминтов выявлено - что при перестарте сети либо /etc/rc.d/netstart restart либо /etc/rc.d/ipfw restart пинги и инет начинают работать
попробовал в /etc/crontab добавить:

Код: Выделить всё

@reboot root /etc/rc.d/ipfw restart 

то при запуске после выхода запроса на залогинивание по истечении 5 сек начинает идти пинг и работать инет
Вот так.Я вот думаю может дело в последовательности стартов демонов?ну я так размышляю,может это по ламерски и НУБски ,но мы все с чего то начинали верно же?
PS : в данный момент нет возможности подключиться к рабочей машине и вывод ответов на ваши вопросы

Код: Выделить всё

    uname -a
    ifconfig -a
    kldstat
    cat -n /etc/rc.conf

завтра сразу с утра!

[gazizeldar]

vadim64 ,вот мои данные покомандно как и говорили:
uname -a

Код: Выделить всё

FreeBSD ns.rauan-burabay.kz 8.2-RELEASE FreeBSD 8.2-RELEASE #0: Wed Dec 28 13:01:56 AQTT 2011     root@ns.rauan-burabay.kz:/usr/obj/usr/src/sys/rauan  i386

далее
ifconfig -a

Код: Выделить всё

ns# ifconfig -a
re0: flags=8843<UP,BROADCAST,RUNNING,SIMPLEX,MULTICAST> metric 0 mtu 1500
        options=389b<RXCSUM,TXCSUM,VLAN_MTU,VLAN_HWTAGGING,VLAN_HWCSUM,WOL_UCAST,WOL_MCAST,WOL_MAGIC>
        ether e0:cb:4e:98:c0:8f
        inet 192.168.1.101 netmask 0xffffff00 broadcast 192.168.1.255
        media: Ethernet autoselect (100baseTX <full-duplex>)
        status: active
re1: flags=8843<UP,BROADCAST,RUNNING,SIMPLEX,MULTICAST> metric 0 mtu 1500
        options=389b<RXCSUM,TXCSUM,VLAN_MTU,VLAN_HWTAGGING,VLAN_HWCSUM,WOL_UCAST,WOL_MCAST,WOL_MAGIC>
        ether 00:40:f4:91:22:65
        inet 192.168.0.101 netmask 0xffffff00 broadcast 192.168.0.255
        media: Ethernet autoselect (100baseTX <full-duplex>)
        status: active
ipfw0: flags=8801<UP,SIMPLEX,MULTICAST> metric 0 mtu 65536
lo0: flags=8049<UP,LOOPBACK,RUNNING,MULTICAST> metric 0 mtu 16384
        options=3<RXCSUM,TXCSUM>
        inet 127.0.0.1 netmask 0xff000000

и далее kldstat

Код: Выделить всё

ns# kldstat
Id Refs Address    Size     Name
 1    4 0xc0400000 6e4b98   kernel
 2    1 0xc6652000 4000     ipdivert.ko

и в конце cat -n /etc/rc.conf

Код: Выделить всё

ns# cat -n /etc/rc.conf
     1  # -- sysinstall generated deltas -- # Tue Oct  4 18:35:10 2011
     2  # Created: Tue Oct  4 18:35:10 2011
     3  # Enable network daemons for user convenience.
     4  # Please make all changes to this file, not to /etc/defaults/rc.conf.
     5  # This file now contains just the overrides from /etc/defaults/rc.conf.
     6  keymap="ru.koi8-r"
     7  ifconfig_re0="inet 192.168.1.101 netmask 255.255.255.0"
     8  ifconfig_re1="inet 192.168.0.101 netmask 255.255.255.0"
     9  defaultrouter="192.168.1.102"
    10  gateway_enable="YES"
    11  hostname="ns.rauan-burabay.kz"
    12  sshd_enable="YES"
    13  font8x14="cp866-8x14"
    14  font8x16="cp866b-8x16"
    15  font8x8="cp866-8x8"
    16  scrnmap="koi8-r2cp866"
    17  keymap="ru.koi8-r"
    18  ntpdate_enable="YES"
    19  ntpd_enable="YES"
    20  mysql_enable="YES"
    21  apache22_enable="YES"
    22  sendmail_enable="NO"
    23  sendmail_submit_enable="NO"
    24  sendmail_outbound_enable="NO"
    25  sendmail_msp_queue_enable="NO"
    26  postfix_enable="YES"
    27  dovecot_enable="YES"
    28  #proftpd_enable="YES"
    29  #samba_enable="YES"
    30  smbd_enable="YES"
    31  nmbd_enable="YES"
    32  named_enable="YES"
    33  named_program="/usr/sbin/named"
    34  named_flags="-u bind -c /etc/namedb/named.conf"
    35  webmin_enable="YES"
    36  # . путь к самому файлу natd
    37  natd_program="/sbin/natd"
    38  # Разрешить NAT (если firewall_enable == YES)
    39  natd_enable="YES"
    40  # Внешний интерфейс или IPaddress для использования
    41  natd_interface="re0"
    42  # Дополнительный флаги запуска natd
    43  natd_flags="-u"
    44  firewall_enable="YES"
    45  firewall_type="/etc/rc.firewall"
    46  #rc_debug="YES"
    47  inetd_enable="YES"

Что нибудь еще надо?