Маршрутизация , двойной NAT

[RusBiT]

У интернет провайдера есть внутреннея локальная сеть (диапазоны ,к примеру, 172.16.0.0/16, 84.12.05.65/25 и т.п.).
Моя задача :
1. реализовать клиентам 10.0.0.29 и 10.0.0.8 , доступ в сеть провайдера (через интерфейс 10.0.0.7)
2. клиенту 10.0.0.62 доступ в интернет (через интерфейс 10.0.1.5 (данный интерфейс alias) ) , ресурсы провайдера можно оставить...

Пункт номер 1 я сделал, настроил nat, все работает

fxp0 - смотрит на сеть провайдера

В /etc/rc.conf

Код: Выделить всё

gateway_enable="YES"
firewall_enable="YES"
firewall_type="open"
natd_enable="YES"
natd_flags="-a ip_провайдера"
#доступ до lan
route add 172.16.0.0/16 ip_шлюза_провайдера
...

Код: Выделить всё

${fwcmd} add 010 divert 8668 ip from 10.0.0.29 to not 10.0.0.8/8 out xmit fxp0
${fwcmd} add 1010 allow ip from 10.0.0.29 to any
${fwcmd} add 1010 allow ip from any to 10.0.0.29

${fwcmd} add 010 divert 8668 ip from 10.0.0.8 to not 10.0.0.0/8 out xmit fxp0
${fwcmd} add 1010 allow ip from 10.0.0.8 to any
${fwcmd} add 1010 allow ip from any to 10.0.0.8
...

Теперь затруднение идет с пунктом номер 2, не совсем понимаю как поднять второй нат и прописать маршрут до инета

[Хостинг HostFood.ru]

Тарифы на хостинг в России, от 12 рублей: https://www.host-food.ru/tariffs/hosting/
Тарифы на виртуальные сервера (VPS/VDS/KVM) в РФ, от 189 руб.: https://www.host-food.ru/tariffs/virtualny-server-vps/
Выделенные сервера, Россия, Москва, от 2000 рублей (HP Proliant G5, Intel Xeon E5430 (2.66GHz, Quad-Core, 12Mb), 8Gb RAM, 2x300Gb SAS HDD, P400i, 512Mb, BBU):
https://www.host-food.ru/tariffs/vydelennyi-server-ds/
Недорогие домены в популярных зонах: https://www.host-food.ru/domains/

[dikens3]

2-а ната запускаются с помощью скрипта на sh. (кладёшь в /usr/local/etc/rc.d)
Дефолтовым маршрутом назначаешь:

через интерфейс 10.0.1.5

Создаёшь статические маршруты сюда:

У интернет провайдера есть внутреннея локальная сеть (диапазоны ,к примеру, 172.16.0.0/16, 84.12.05.65/25 и т.п.).

Код: Выделить всё

range_lan_provaider="172.16.0.0/16, 84.12.05.65/25"
clients1="10.0.0.0{8,29}"
clients2="10.0.0.62"
IP1="10.0.0.7"
IP2="10.0.1.5"

# Принимаем входящие пакеты на LAN_Интерфейсе в интернет и к провайдеру.
${fwcmd} add 80 allow ip from ${clients1},${clients2} to ${range_lan_provaider} in via LAN_Интерфейс
${fwcmd} add 90 allow ip from ${clients2} to not ${range_lan_provaider} in via LAN_Интерфейс

# Натим исходящие пакеты от клиентов 1 и 2 в сеть провайдера и интернет
${fwcmd} add 100 divert NAT1 ip from ${clients1},${clients2} to ${range_lan_provaider} out xmit fxp0
${fwcmd} add 110 divert NAT2 ip from ${clients2} to not ${range_lan_provaider} out xmit fxp0

# Разрешаем отправку пакетов в сеть провайдера  и интернет (Нат уже выполнен)
${fwcmd} add 120 allow ip from ${IP1} to ${range_lan_provaider} out xmit fxp0
${fwcmd} add 130 allow ip from ${IP2} to not ${range_lan_provaider} out xmit fxp0

# Производим обратное преобразование по приходу пакета (разначиваем)
${fwcmd} add 140 divert NAT1 ip from ${range_lan_provaider} to ${IP1} in via fxp0
${fwcmd} add 150 divert NAT2 ip from not ${range_lan_provaider} to ${IP2} in via fxp0

# Принимаем входящие пакеты (Тоже после ната) 
${fwcmd} add 160 allow ip from ${range_lan_provaider} to ${clients1},${clients2} in via fxp0
${fwcmd} add 170 allow ip from not ${range_lan_provaider} to ${clients2} in via fxp0

# Разрешаем отправку в нашу сеть пакетов принятых на интерфейсе FXP0 из интернет или провайдера (можно трафик считать так :-) )
${fwcmd} add 170 allow ip from ${range_lan_provaider} to ${clients1},${clients2} recv fxp0 xmit LAN_Интерфейс
${fwcmd} add 180 allow ip from not ${range_lan_provaider} to ${clients2} recv fxp0 xmit LAN_Интерфейс

P.S. И ещё, написал так для большего понимания и больше расписывать не собираюсь, так что проследи по каким правилам пакет уходит и приходит, тогда и вопросов не будет. Для этого существует действие log в правилах.

[RusBiT]

Спасибо, оч понятно расписал , буду пробовать!

[RusBiT]

Помоему divert должен стоят на первом месте?

[dikens3]

Помоему divert должен стоят на первом месте?

Важно чтобы он работал правильно и в нужном месте, а место уже от построения зависит.

[RusBiT]

Код: Выделить всё

${clients1},${clients2}

странно, но выводится только содержимое ${clients1}

[dikens3]

Код: Выделить всё

${clients1},${clients2}

странно, но выводится только содержимое ${clients1}

ipfw show не судьба показать?

[RusBiT]

Возникла проблема вот с этим правилом. Диверт не происходит.

Код: Выделить всё

# Производим обратное преобразование по приходу пакета (разначиваем)
${fwcmd} add 140 divert NAT1 ip from ${range_lan_provaider} to ${IP1} in via fxp0
${fwcmd} add 150 divert NAT2 ip from not ${range_lan_provaider} to ${IP2} in via fxp0

Если же указать

Код: Выделить всё

${fwcmd} add 140 divert NAT1 ip from ${range_lan_provaider} to ${EXT_IP} in via fxp0

то все работает , но всех клиентов пускает в интернет.

[Alex Keda]

как вы все [классический секс] с нумерацией правил...

[RusBiT]

Лис, подскажи где ошибка

[schizoid]

у тя ж 2 НАТа на разных портах слушают правильно?
первый к примеур диверт 8668, второй 8669... это так, чисто что б уточнить

[RusBiT]

Незнаю как даже благодарить dikens3! Помог , спасиб огромное! Все работает.
Неправильно я немного поставленную задачу описал.

Есть еще вопросики:
Как на нате запретить открытые не более 30 TCP сессий на внешнем интерфейсе?
Есть ли в freebsd блокировка отправки пакетов,например, чтоб в секунду отправлялось не больше 500 пакетов.

[schizoid]

ну и описал быб че и как

[RusBiT]

Статейку я конечно напишу, вроде сейчас с файрволом все ясно , только вот доконца охото доделать , ограничения на количество сессий поставить

[dikens3]

Есть еще вопросики:
Как на нате запретить открытые не более 30 TCP сессий на внешнем интерфейсе?

На вход/выход или и то и другое?

[RusBiT]

Нет, в данном случае нужно только на выход.

[hizel]

кол-во одновременных сессий можно ограничить stateful правилами

[dikens3]

Если ты под сессиями имеешь ввиду IP-Адреса, тогда примерно так:

Код: Выделить всё

01000  26968  1412381 allow ip from me to any limit dst-addr 30

[RusBiT]

Вот как устроена вирусная блокировка у провайдера

Блокировка срабатывает при открытии более 600! сессий за 90 секунд... Сессией считается одно уникальное соединение с одного порта пользователя на один порт удаленой машины.

[hizel]

это больше смахивает на анализ нетфлов данных

[dikens3]

Вот как устроена вирусная блокировка у провайдера

Блокировка срабатывает при открытии более 600! сессий за 90 секунд... Сессией считается одно уникальное соединение с одного порта пользователя на один порт удаленой машины.

Я бы не парился над этим, для небольшой фирмы хватит.