Не понимаю я этот НАТ

[Sergey Y.]

Настраивал файрволл взятый с этого сайта. Все как надо мне работает.
Но возникла ситуация когда один комп локалки надо было подключить к VPN серверу одной конторы. Понял что мне поможет НАТ. В итоге после долгих изысканий получилось:
Часть конфиги файрвола:

Код: Выделить всё

${FwCMD} add divert natd ip from 192.168.16.150 to {VPN} out via ${LanOut} 
${FwCMD} add divert natd log ip from {VPN} to ${IpOut} in via ${LanOut} 
${FwCMD} add allow ip from {VPN} to 192.168.16.150 in via ${LanOut} 
${FwCMD} add allow ip from 192.168.16.150 to {VPN} in via ${InGP} 
${FwCMD} add allow ip from {VPN} to 192.168.16.150 out via ${InGP} 

{VPN} - адрес CiscoVPNServer-а
Все работает, но смущают последние три правила. Их пришлось сделать т.к. именно их зарубал файрволл и без них не пашет.
Но если я решу что мне нужен НАТ и для других сервисов то неужели надо будет делать типа:

Код: Выделить всё

${FwCMD} add allow ip from any to 192.168.16.150 in via ${LanOut} 
${FwCMD} add allow ip from 192.168.16.150 to any in via ${InGP} 
${FwCMD} add allow ip from any to 192.168.16.150 out via ${InGP} 

Ведь по сути получится что я все разрешаю?

[Хостинг HostFood.ru]

Тарифы на хостинг в России, от 12 рублей: https://www.host-food.ru/tariffs/hosting/
Тарифы на виртуальные сервера (VPS/VDS/KVM) в РФ, от 189 руб.: https://www.host-food.ru/tariffs/virtualny-server-vps/
Выделенные сервера, Россия, Москва, от 2000 рублей (HP Proliant G5, Intel Xeon E5430 (2.66GHz, Quad-Core, 12Mb), 8Gb RAM, 2x300Gb SAS HDD, P400i, 512Mb, BBU):
https://www.host-food.ru/tariffs/vydelennyi-server-ds/
Недорогие домены в популярных зонах: https://www.host-food.ru/domains/

[Alex Keda]

разреши для конкретных IP

[Sergey Y.]

разреши для конкретных IP

Ну т.е. как я и сделал? А почему тогда этих правил нет в вашем конфиге?

[Alex Keda]

а кто сказал что они должны быть идентичны?

[Sergey Y.]

а кто сказал что они должны быть идентичны?

Ну мне казалось что уж если и выкладывать конфиги то они должны быть рабочими А тут приходится напильником дорабатывать

[Alex Keda]

проставить свои IP - это уже напильник?
мдя...

[schizoid]

Ну Лис ты даешь! Ты ж должен был знать и предугадать ЕГО топологию сети и именно под НЕГО написать конфиг, что б ОН без напильника его скопипастил и имел счатье...

[Alex Keda]

и что - ещё и IP угадатЬ?
а вообще - тема интерсная - при заходе детектится IP юзера и автоматом посдавляется вконфиги

[schizoid]

и что - ещё и IP угадатЬ?

а какже!!! еще и логин/пароль

[Sergey Y.]

Юмористы блин. Просто кто ищет конфиги в сети? Чайники типа меня. И они реально думают что все должно скопипаститься и работать. В противном случае надо бы ставить комменты что это пример конфига и что его надо доработать под конкретную топологию. Желательно было добавить подобные правила и указать: "а вот тут надо вам будет добавить разрешающие/запрещающие правила в зависимости от ваших требований". ИМХО.

[Alex Keda]

ну, ребят, думалку ещё никто не отменял.
даже офис на комп ставишь - и то надо пилить - менюшки там и прочия.
а ты файрволл подымаешь, на сервере...