firewall_nat freebsd8,2

[Spook1680]

Вот надо шлюз поднять да желательно еще с Squid (не прозрачный)
На 8.2 ядерный nat щупаем
Ядрышко с такими фичами

Код: Выделить всё

options         IPFIREWALL
options         IPFIREWALL_VERBOSE
options         IPFIREWALL_VERBOSE_LIMIT=50
options         IPFIREWALL_NAT
options         LIBALIAS
options         ROUTETABLES=2
options         DUMMYNET
options         HZ="1000"

обовляем в /etc/rc.conf
Т.е. то что будет запусткаться при старте сервера или перезагрузки

Код: Выделить всё

firewall_enable="YES"
firewall_login="YES"
firewall_natd_enable="YES"
firewall_type="/usr/local/etc/firewall-nat"
dummynet_enable="YES"

Создаем touch firewall-nat
Делаем исполняемым chmod +x firewall-nat

Так же пробросим порт, к примеру для того что бы можно было по rdp зайти на свой удаленный рабочий стол.
rl0 -локальный интерфейс
rl1 -внешний

Код: Выделить всё

#Разрешаем все внутри локалки
add 1040 allow ip from any to any via rl0
#Запрет. То что нельзя пускать на внешний интерфейс
add 1050 deny ip from any to 192.168.0.0/16 in recv rl1
add 1060 deny ip from 192.168.0.0/16 to any in recv rl1
add 1070 deny ip from any to 172.16.0.0/12 in recv rl1
add 1080 deny ip from 172.16.0.0/12 to any in recv rl1
add 1090 deny ip from any to 169.254.0.0/16 in recv rl1
add 1100 deny ip from 169.254.0.0/16 to any in recv rl1
#Доступ к серверу по ssh открываем.
add 10101 allow tcp from any to me 22 in via rl1 setup limit src-addr 2
#
#Открываем пор по которому работаем rdp
add 10203 allow ip from any 3389 to any via rl1
add 10204 allow ip from any to any 3389 via rl1
#Вот она самая вкусность ipfw + NAT пробрасываем порт в нутрь локальной сети. Плюс делаем NAT
nat 1 config log if rl1 reset same_ports redirect_port tcp 192.168.11.5:3389 3389
# Vse v NAT
add 10130 nat 1 ip from any to any via rl1
#Запрещаем все непонятное. 
add 65534 deny all from any to any

Это рабочий вариан (начальный )
Вопрос.
Если прокси squid будет не прозрачный. Как заразу Майкрософт Оутглюк застравить работать 110 и 25?
Нужно хитрое правило прописать?! Кто вкурсе.

[Хостинг HostFood.ru]

Тарифы на хостинг в России, от 12 рублей: https://www.host-food.ru/tariffs/hosting/
Тарифы на виртуальные сервера (VPS/VDS/KVM) в РФ, от 189 руб.: https://www.host-food.ru/tariffs/virtualny-server-vps/
Выделенные сервера, Россия, Москва, от 2000 рублей (HP Proliant G5, Intel Xeon E5430 (2.66GHz, Quad-Core, 12Mb), 8Gb RAM, 2x300Gb SAS HDD, P400i, 512Mb, BBU):
https://www.host-food.ru/tariffs/vydelennyi-server-ds/
Недорогие домены в популярных зонах: https://www.host-food.ru/domains/

[vadim64]

firewall_natd_enable="YES"

нахyй выкиньте
как у вас система на этот бред не материстя?!

Это рабочий вариан (начальный )
Вопрос.
Если прокси squid будет не прозрачный. Как заразу Майкрософт Оутглюк застравить работать 110 и 25?
Нужно хитрое правило прописать?! Кто вкурсе.

учите матчасть
эти протоколы не проксируются обычными средствами
нужны специальные трюки

[Spook1680]

Это рабочий вариан (начальный )
Вопрос.
Если прокси squid будет не прозрачный. Как заразу Майкрософт Оутглюк застравить работать 110 и 25?
Нужно хитрое правило прописать?! Кто вкурсе.

учите матчасть
эти протоколы не проксируются обычными средствами
нужны специальные трюки

[/quote]
Ага я как раз про трюки и спрашиваю! Если вы не знаете зачем пишете! Если знаете но не хотите писать то зачем коменты в пустоту.

Spook1680 писал(а):firewall_natd_enable="YES"


нахyй выкиньте
как у вас система на этот бред не материстя?!

Поставте 8.2 и увидете что все работате и не ругается.

нахyй выкиньте

Немного можно поспокойнее быть в общение. Заносчивость основана на

Сообщения: 1404

Но это не показатель. ( Проявляйте крутость в социальных сетях. Можете сделать французский жим или жим арнольда.(4подхода по 20 раз вес 10кг) Разместите свои спортивные фото или фото члена (если он у вас большой). Занимайтесь больше спортом и будьте вежливы.

[vadim64]

спасибо за психологическую консультацию
мне прям всё понятно стало и на свои места повставало
вы бы лучше между чтением переписки юнга с фрейдом, нашли время почитать литературу на тему сетевых сервисов
хотя если бы вы читали эту переписку, знали бы что попытки наездов на генитально-половые стороны жизни собеседника - признак тяжёлых комплексов и нарушеного гендерного самовосприятия
про сообщения мои вы ошибаетесь - я прексрано понимаю что больше половины из них в разделе /dev/null и относятся не к тематике форума, а являются обычным тролингом на разные отвлечённые темы.
по firewall_natd_enable: не обязательно что то пробовать, если знаешь что есть опция firewall_nat_enable для включения ядерного ната без пересборки ядра. а вы просто запутались между "старым" натом и "новым." не надо пробовать и проверять, просто выкиньте нахyй
по проксированию: я то как раз знаю что для проксирования этих протоколов не нужны "хитрые правила", для этого есть отдельные приблуды, в том числе один очень известный http-сервер имеет специальный модуль. надеюсь остальное вы нагуглите

[Spook1680]

спасибо за психологическую консультацию
мне прям всё понятно стало и на свои места повставало
вы бы лучше между чтением переписки юнга с фрейдом, нашли время почитать литературу на тему сетевых сервисов
хотя если бы вы читали эту переписку, знали бы что попытки наездов на генитально-половые стороны жизни собеседника - признак тяжёлых комплексов и нарушеного гендерного самовосприятия
про сообщения мои вы ошибаетесь - я прексрано понимаю что больше половины из них в разделе /dev/null и относятся не к тематике форума, а являются обычным тролингом на разные отвлечённые темы.
по firewall_natd_enable: не обязательно что то пробовать, если знаешь что есть опция firewall_nat_enable для включения ядерного ната без пересборки ядра. а вы просто запутались между "старым" натом и "новым." не надо пробовать и проверять, просто выкиньте нахyй
по проксированию: я то как раз знаю что для проксирования этих протоколов не нужны "хитрые правила", для этого есть отдельные приблуды, в том числе один очень известный http-сервер имеет специальный модуль. надеюсь остальное вы нагуглите

попытки наездов на генитально-половые стороны жизни собеседника - признак тяжёлых комплексов и нарушеного гендерного самовосприятия

Все намного проще. Это попытка показать вам что можно (Раз вы человек с высшим образованием) писать без

выкиньте нахyй

Будьте вежливей. Снимите корону.

[vadim64]

вы считаете что я не конструктивно ответил на ваш первый пост? какое то из моих замечаний является ошибочным? или вам мало просто помощи, вы хотите чтобы вам именно вежливо указывали какие именно вы делаете ошибки?

[alex117]

Если прокси squid будет не прозрачный. Как заразу Майкрософт Оутглюк застравить работать 110 и 25?
Нужно хитрое правило прописать?! Кто вкурсе.

Я ставил настраивал через httport, правда там такой глюк есть, что если прокси отключится по какой-то причине, то httport начинает глючить и лечится только полной переустановкой.

[vadim64]

Я ставил настраивал через httport, правда там такой глюк есть, что если прокси отключится по какой-то причине, то httport начинает глючить и лечится только полной переустановкой.

[Spook1680]

Если прокси squid будет не прозрачный. Как заразу Майкрософт Оутглюк застравить работать 110 и 25?
Нужно хитрое правило прописать?! Кто вкурсе.

Я ставил настраивал через httport, правда там такой глюк есть, что если прокси отключится по какой-то причине, то httport начинает глючить и лечится только полной переустановкой.

ОК. Попробую по тестировать.

[tynix]

Squid (англ. squid — «кальмар») — программный пакет, реализующий функцию кэширующего прокси-сервера для протоколов HTTP, FTP, Gopher и (в случае соответствующих настроек) HTTPS
Тут не http-proxy нужен, а SOCKS (3proxy, к примеру) + на клиенте соксификатор (Freecap). Может сработать, может-не. А фрю с фаером хоть заново перепиши-сквид от этого не станет работать с POP3/SMTP.
Кстати, прислушайтесь к Вадиму и разберитесь, какой нат пользуете- natd или ipfw_nat. Может в будущем где-нибудь боком вылезти.

[Spook1680]

Squid (англ. squid — «кальмар») — программный пакет, реализующий функцию кэширующего прокси-сервера для протоколов HTTP, FTP, Gopher и (в случае соответствующих настроек) HTTPS
Тут не http-proxy нужен, а SOCKS (3proxy, к примеру) + на клиенте соксификатор (Freecap). Может сработать, может-не. А фрю с фаером хоть заново перепиши-сквид от этого не станет работать с POP3/SMTP.
Кстати, прислушайтесь к Вадиму и разберитесь, какой нат пользуете- natd или ipfw_nat. Может в будущем где-нибудь боком вылезти.

Спасибо за ссылку. Поюзаю. В реальности на боевых серваках везде стоит natd 8.2 ipfw_nat юзаю только на виртуалке (зверек для меня не проверенный).

[vadim64]

как же вы что то используете, если не понимаете что пишете в rc.conf?

Код: Выделить всё

[7:27]  /var/squid/cache >cat -n /etc/rc.firewall | grep nat
   108		# Allow ICMPv6 destination unreach
   145	# Network Address Translation.  All packets are passed to natd(8)
   147	# will then be run again on each packet after translation by natd
   155		case ${natd_enable} in
   157			if [ -n "${natd_interface}" ]; then
   158				${fwcmd} add 50 divert natd ip4 from any to any via ${natd_interface}
   162		case ${firewall_nat_enable} in
   164			if [ -n "${firewall_nat_interface}" ]; then
   165				if echo "${firewall_nat_interface}" | \
   167					firewall_nat_flags="ip ${firewall_nat_interface} ${firewall_nat_flags}"
   169					firewall_nat_flags="if ${firewall_nat_interface} ${firewall_nat_flags}"
   171				${fwcmd} nat 123 config log ${firewall_nat_flags}
   172				${fwcmd} add 50 nat 123 ip4 from any to any via ${firewall_nat_interface}
   311		# translated by natd(8) would match the `deny' rule above.  Similarly
   312		# an outgoing packet originated from it before being translated would
   314		case ${natd_enable} in
   316			if [ -n "${natd_interface}" ]; then
   317				${fwcmd} add divert natd ip4 from any to any via ${natd_interface}
[7:27]  /var/squid/cache >

где вы тут видите вашу опцию firewall_natd_enable?
или может вы настолько серьёзно используете фаервол и наты, что решили дописать в /etc/rc.firewall свои опции и следите за этим при обновлении?

[Spook1680]

как же вы что то используете, если не понимаете что пишете в rc.conf?

Код: Выделить всё

[7:27]  /var/squid/cache >cat -n /etc/rc.firewall | grep nat
   108		# Allow ICMPv6 destination unreach
   145	# Network Address Translation.  All packets are passed to natd(8)
   147	# will then be run again on each packet after translation by natd
   155		case ${natd_enable} in
   157			if [ -n "${natd_interface}" ]; then
   158				${fwcmd} add 50 divert natd ip4 from any to any via ${natd_interface}
   162		case ${firewall_nat_enable} in
   164			if [ -n "${firewall_nat_interface}" ]; then
   165				if echo "${firewall_nat_interface}" | \
   167					firewall_nat_flags="ip ${firewall_nat_interface} ${firewall_nat_flags}"
   169					firewall_nat_flags="if ${firewall_nat_interface} ${firewall_nat_flags}"
   171				${fwcmd} nat 123 config log ${firewall_nat_flags}
   172				${fwcmd} add 50 nat 123 ip4 from any to any via ${firewall_nat_interface}
   311		# translated by natd(8) would match the `deny' rule above.  Similarly
   312		# an outgoing packet originated from it before being translated would
   314		case ${natd_enable} in
   316			if [ -n "${natd_interface}" ]; then
   317				${fwcmd} add divert natd ip4 from any to any via ${natd_interface}
[7:27]  /var/squid/cache >

где вы тут видите вашу опцию firewall_natd_enable?
или может вы настолько серьёзно используете фаервол и наты, что решили дописать в /etc/rc.firewall свои опции и следите за этим при обновлении?

А при чем тут эта опция.
Вы же в первом коментарии что мне сказали.

Spook1680 писал(а):firewall_natd_enable="YES"
нахyй выкиньте
как у вас система на этот бред не материстя?!

Человек который не знает меня и которого не знаю я. Общается самной в таком тоне. Зачем мне ему объяснять что это опечатка. (а не Ctr+C и Ctr+V). Пожалуйста будьте вежливей.

[vadim64]