стрые песни ipfw

Настройка сетевых служб, маршрутизации, фаерволлов. Проблемы с сетевым оборудованием.
Правила форума
Убедительная просьба юзать теги [code] при оформлении листингов.
Сообщения не оформленные должным образом имеют все шансы быть незамеченными.
Аватара пользователя
Spook1680
лейтенант
Сообщения: 989
Зарегистрирован: 2009-07-28 12:26:09

стрые песни ipfw

Непрочитанное сообщение Spook1680 » 2010-02-02 13:37:13

Подскажите выходит где-то касяк.
пытаюсь открыть порт 3939 что бы постучаться могли из внешнего мира.
конфиг
rc.firewall

Код: Выделить всё

ournet='192.168.21.0/24'
uprefix='192.168.21'
ifout='sis0'
ifuser='rl0'
ports=pop3,ftp
vse=192.168.21.2
vip2=192.168.21.3
vip=192.168.21.4,192.168.21.5
allowedports="22,25,53,110,143"
natusers="192.168.21.2,192.168.21.3,192.168.21.4"

icq_users="192.168.21.2,192.168.21.3"
msn_users="192.168.21.2,192.168.21.3"
icq_port="5190,5180,5181"
msn_port="1863,443"
jabber="5222,5223,7777"

allowed_nets="78.118.98.0/24"

ipfw add 50 divert natd all from ${natusers} to any ${allowedports},${jabber},${icq_port},${msn_port} out via sis0
ipfw add 51 divert natd all from ${icq_users} to any ${icq_port} out via sis0
ipfw add 52 divert natd all from ${msn_users} to any ${msn_port} out via sis0
ipfw add 53 divert natd icmp from ${natusers} to any out via sis0
ipfw add 54 divert natd all from ${natusers} to any ftp,1024-65535 out via sis0
ipfw add 60 divert natd all from any to 78.118.98.213 in via sis0

${fwcmd} add 97 allow all from any to me ssh
#${fwcmd} add 200 deny icmp from any to any in icmptype 5,9,13,14,15,16,17
${fwcmd} add 210 allow all from 78.118.98.213 to me
${fwcmd} add 220 allow all from me to 78.118.98.213
${fwcmd} add 230 drop all from any to me 3128 via ${ifout}
${fwcmd} add 300 allow ip from any to any via lo0
${fwcmd} add 310 allow tcp from me to any keep-state via ${ifout}
${fwcmd} add 320 allow icmp from any to any
${fwcmd} add 330 allow udp from me to any domain keep-state
${fwcmd} add 340 allow udp from any to me domain
${fwcmd} add 350 allow ip from me to any
${fwcmd} add 49 fwd 127.0.0.1,3128 tcp from ${ournet} to any http out via ${ifout}
${fwcmd} add 400 allow all from 192.168.21.0/24 to any 5222,5223,5269,10015,5262,7777 via sis0
${fwcmd} add allow all from any to me http,https,ssh,ftp,smtp,pop3,5222,5223,5269,10015,5262,7777
#${fwcmd} add deny all from any to me via sis0
#${fwcmd} add 1000 allow all from ${ournet} to me
ipfw pipe 1 config mask dst-ip 0xffffffff bw 19Kbit/s
ipfw pipe 11 config mask src-ip 0xffffffff bw 19Kbit/s
ipfw queue 1 config pipe 1 weight 50 queue 20 mask dst-ip 0xffffffff
ipfw queue 11 config pipe 11 weight 50 queue 20 mask src-ip 0xffffffff

ipfw pipe 2 config mask dst-ip 0xffffffff bw 33Kbit/s
ipfw pipe 22 config mask src-ip 0xffffffff bw 33Kbit/s
ipfw queue 2 config pipe 2 weight 50 queue 20 mask dst-ip 0xffffffff
ipfw queue 22 config pipe 22 weight 50 queue 20 mask src-ip 0xffffffff

ipfw pipe 3 config mask dst-ip 0xffffffff bw 256Kbit/s
ipfw pipe 33 config mask src-ip 0xffffffff bw 256Kbit/s
ipfw queue 3 config pipe 3 weight 100 queue 40 mask dst-ip 0xffffffff
ipfw queue 33 config pipe 33 weight 100 queue 40 mask src-ip 0xffffffff

ipfw add reject tcp from any to any tcpflags fin, syn, rst, psh, ack, urg
ipfw add reject tcp from any to any tcpflags !fin, !syn, !rst, !psh, !ack, !urg
ipfw add reject log tcp from any to any not established tcpflags fin
ipfw add deny log ip from any to any not verrevpath in via sis0
ipfw add count all from any to any

${fwcmd} add 1001 queue 3 all from ${allowed_nets} to ${natusers} via sis0
${fwcmd} add 1002 queue 33 all from ${natusers} to ${allowed_nets} via sis0

${fwcmd} add 1003 queue 2 all from any to ${natusers} via sis0
${fwcmd} add 1004 queue 22 all from ${natusers} to any via sis0

${fwcmd} add 1005 pass all from ${natusers} to any
${fwcmd} add 1006 pass all from any to ${natusers}
${fwcmd} add 1007 allow tcp from any to ${ifout} \
3939 via ${ifuser}

вот это последнее правило и не работает.
Крутится программка одна вот к ней из внешнего мира и надо достучатся
natd.conf

Код: Выделить всё

natd_interface="sis0"
#natd_flags="-f /etc/natd.conf"
natd_flags=" -m -s -u -punch_fw 5000:5200"
прокси сервер squid крутиться на 192.168.21.1
Как загнать порт 3939 с этого сервака на
192.168.0.101 порт 7000
Подскажите пожалуйста самому сил разобраться не хватает.
"Гента вообще форкLFS в свою очередь мутант Скалвари
которая BSD с ядром Линя BSD - мутировал-AT&T UNIX
а там был UNICS - MULTICS, счёты, глиняные таблички, палочки,
большой взрыв, сингулярность, пиз...ц. Вывод: RedHat использует пиз..ц. "

Хостинговая компания Host-Food.ru
Хостинг HostFood.ru
 

Услуги хостинговой компании Host-Food.ru

Хостинг HostFood.ru

Тарифы на хостинг в России, от 12 рублей: https://www.host-food.ru/tariffs/hosting/
Тарифы на виртуальные сервера (VPS/VDS/KVM) в РФ, от 189 руб.: https://www.host-food.ru/tariffs/virtualny-server-vps/
Выделенные сервера, Россия, Москва, от 2460 рублей (8 CPU, 8Gb RAM, 2x500Gb HDD, RAID 3ware 9750):
https://www.host-food.ru/tariffs/vydelennyi-server-ds/
Недорогие домены в популярных зонах: https://www.host-food.ru/domains/

Аватара пользователя
Spook1680
лейтенант
Сообщения: 989
Зарегистрирован: 2009-07-28 12:26:09

Re: стрые песни ipfw

Непрочитанное сообщение Spook1680 » 2010-02-02 14:48:07

Пытаюсь закрыть всем доступ которым в правиле не прописан
Даю команду

Код: Выделить всё

[root@pcbsd]/etc(166)# ipfw add 65535 deny ip from any to any
65535 deny ip from any to any
[root@pcbsd]/etc(167)#
После этого проверяю.

Код: Выделить всё

[root@pcbsd]/etc(167)# ipfw sh
и вот кусок замый конец ответа

Код: Выделить всё


05460  68752 10226727 count ip from any to any
65535 337972 90882135 allow ip from any to any
[root@pcbsd]/etc(168)#

Почему так.
"Гента вообще форкLFS в свою очередь мутант Скалвари
которая BSD с ядром Линя BSD - мутировал-AT&T UNIX
а там был UNICS - MULTICS, счёты, глиняные таблички, палочки,
большой взрыв, сингулярность, пиз...ц. Вывод: RedHat использует пиз..ц. "

princeps
майор
Сообщения: 2684
Зарегистрирован: 2007-09-25 10:20:59
Откуда: Сочи, Москва
Контактная информация:

Re: стрые песни ipfw

Непрочитанное сообщение princeps » 2010-02-02 20:56:19

Spook1680 писал(а):Почему так.
Полагаю, что у тебя ipfw вкомпилен в ядро как закрытый
Spook1680 писал(а):Как загнать порт 3939 с этого сервака на 192.168.0.101 порт 7000
Подскажите пожалуйста самому сил разобраться не хватает.
Что-то я не вижу у тебя в natd проброса 3939 и 7000 портов.
Вообще что-то до хрена правил, сам писал или кто-то до тебя? и судя по выборочному заворачиванию в нат у тебя там какая-то хитрая сеть, описал бы уже поподробнее, что куда.
Deus quos vult perdere dementat prius
http://www.itforum-sochi.ru

Аватара пользователя
Spook1680
лейтенант
Сообщения: 989
Зарегистрирован: 2009-07-28 12:26:09

Re: стрые песни ipfw

Непрочитанное сообщение Spook1680 » 2010-02-02 21:46:23

princeps писал(а):
Spook1680 писал(а):Почему так.
Полагаю, что у тебя ipfw вкомпилен в ядро как закрытый
Spook1680 писал(а):Как загнать порт 3939 с этого сервака на 192.168.0.101 порт 7000
Подскажите пожалуйста самому сил разобраться не хватает.
Что-то я не вижу у тебя в natd проброса 3939 и 7000 портов.
Вообще что-то до хрена правил, сам писал или кто-то до тебя? и судя по выборочному заворачиванию в нат у тебя там какая-то хитрая сеть, описал бы уже поподробнее, что куда.
:( Писал сам но я понимаю плохо ipfw, пока неполучается разобраться
Нужно,
192.168.21.0 Сеть.
Прокси 192.168.21.1 - squid+sams /rl0 -локальная сетевая карта
Программа на которую надо дать доступ из интернета весит на компе 192.168.21.101 порт 7000
Открыть порт на прокси 3939 (внешний iP на проксе подключен к сетевой sis0)
и перебросить все это на машину .101 порт 7000
// что бы набрав внешний ip и порт 3939 из инета я попал на 192.168.21.101:7000
(извини там ошибку в предыдущем сообщении зделал сетка одна 192.168.21.0)
А что значит вкомпилин в ядро как закрытый
Я squid + redjik+sams все это поднял на фряхе 7.2 Но это PC-BSD
Можно что нибуть сделать? или предется все пересобирать на родной фряхе ((
"Гента вообще форкLFS в свою очередь мутант Скалвари
которая BSD с ядром Линя BSD - мутировал-AT&T UNIX
а там был UNICS - MULTICS, счёты, глиняные таблички, палочки,
большой взрыв, сингулярность, пиз...ц. Вывод: RedHat использует пиз..ц. "

Kos
мл. сержант
Сообщения: 118
Зарегистрирован: 2009-01-19 23:15:49

Re: стрые песни ipfw

Непрочитанное сообщение Kos » 2010-02-02 22:55:58

"скомпилен как открытый" означает, что по-умолчанию в фаерволе разрешено все. Тобиш ядро собрано с опцией:

Код: Выделить всё

options         IPFIREWALL_DEFAULT_TO_ACCEPT
если нужно все запретить, то введите так:

Код: Выделить всё

ipfw add 65534 deny all from any to any
Чтобы пробросить порт можно сделать так: запускать natd с флагом -f /etc/natd.conf
в файл /etc/natd.conf написать следующее:

Код: Выделить всё

redirect_port tcp 192.168.21.101:7000 3939
ну и разберитесь с ipfw ;-)

princeps
майор
Сообщения: 2684
Зарегистрирован: 2007-09-25 10:20:59
Откуда: Сочи, Москва
Контактная информация:

Re: стрые песни ipfw

Непрочитанное сообщение princeps » 2010-02-03 9:25:06

Kos писал(а):"скомпилен как открытый" означает...
Да, у меня опечатка, я открытый хотел написать.
тредстартер, ты, похоже допускаешь довольно типичную ошибку новичков - путаешь [мужской половой орган] с па...., эээ я имел в виду прокси-сервер с натом. Нат тебе нужен для маскарадинга адресов - чтобы вся твоя сеть снаружи виделась как один внешний ip-адрес, а прокси-сервер для кэширования и управления доступом по протоколу http. Для решения твоей проблемы прокси вообще не нужен.
Я бы посоветовал тебе переписать конфиг ipfw следующим образом: отправить ВСЕХ изнутри divert'ом на НАТ, а не так как у тебя - кусками. Вообще почему у тебя так, кусками? На squid имеет смысл редиректить только подключающихся наружу по протоколу http. После того, как это сделаешь, конфиг станет проще и понятней, будешь тогда остальные кандибоберы к нему наворачивать.
Кроме того, в начале конфига ты определяешь переменные с именами интерфейсов, но потом их почти не используешь, а напрасно - конфиг был бы читаемей.
А для проброса портов тебе надо настроить нат как сказал Kos
Deus quos vult perdere dementat prius
http://www.itforum-sochi.ru

Аватара пользователя
Spook1680
лейтенант
Сообщения: 989
Зарегистрирован: 2009-07-28 12:26:09

Re: стрые песни ipfw

Непрочитанное сообщение Spook1680 » 2010-02-03 11:37:20

[quote="Kos"]"скомпилен как открытый" означает, что по-умолчанию в фаерволе разрешено все. Тобиш ядро собрано с опцией:

Код: Выделить всё

options         IPFIREWALL_DEFAULT_TO_ACCEPT
Вот эту опцию я и не могу в ядре найти, GENERIC
А вы не вкурсе в PC-BSD 7.2 может это как-то по другому называется.
"Гента вообще форкLFS в свою очередь мутант Скалвари
которая BSD с ядром Линя BSD - мутировал-AT&T UNIX
а там был UNICS - MULTICS, счёты, глиняные таблички, палочки,
большой взрыв, сингулярность, пиз...ц. Вывод: RedHat использует пиз..ц. "

princeps
майор
Сообщения: 2684
Зарегистрирован: 2007-09-25 10:20:59
Откуда: Сочи, Москва
Контактная информация:

Re: стрые песни ipfw

Непрочитанное сообщение princeps » 2010-02-03 12:31:08

нет, ядро оно одинаковое.
В ядре GENERIC у тебя и не будет такой опции. У тебя вообще как ipfw включен, в ядро или модулем?
Deus quos vult perdere dementat prius
http://www.itforum-sochi.ru

Аватара пользователя
Spook1680
лейтенант
Сообщения: 989
Зарегистрирован: 2009-07-28 12:26:09

Re: стрые песни ipfw

Непрочитанное сообщение Spook1680 » 2010-02-03 19:10:15

princeps писал(а):нет, ядро оно одинаковое.
В ядре GENERIC у тебя и не будет такой опции. У тебя вообще как ipfw включен, в ядро или модулем?
в ядро я его не подгружал, по умолчанию при установки системы в rc.conf было вот это

Код: Выделить всё

# Enable the firewall
#pf_rules="/etc/pf.conf"
#pf_rules_enable="YES"
#pf_enable="YES"
#pflog_logfile="/var/log/pf.log"
#pf_flags=""




# Enable ipfw and open it by default since we have PF
firewall_enable="YES"
firewall_login="YES"
firewall_type="open"
firewall_script="/usr/local/etc/rc.firewall"
#firewall_type="/etc/rc.firewall"
pf я закоментировал. т.к. чуть лучше знаю ipfw решил с ним и работать, ну и прописал правила.
Вопрос. у меня скрипт работает только почему-то если там нет.
fwcmd="/sbin/ipfw" есл в начале это не прописываю, то худно бедно но работает почта и ася идут через натд, а пользователи логиняться через squid
Стоит прописать и перезагрузиться то аська и почта уже не работаю.
И не могу избавиться от
65535 allow ip from any to any
мне то надо что бы было закрыто все что не разрешено, пробовал тип ставить closen но сути вещей не изменила.
"Гента вообще форкLFS в свою очередь мутант Скалвари
которая BSD с ядром Линя BSD - мутировал-AT&T UNIX
а там был UNICS - MULTICS, счёты, глиняные таблички, палочки,
большой взрыв, сингулярность, пиз...ц. Вывод: RedHat использует пиз..ц. "

princeps
майор
Сообщения: 2684
Зарегистрирован: 2007-09-25 10:20:59
Откуда: Сочи, Москва
Контактная информация:

Re: стрые песни ipfw

Непрочитанное сообщение princeps » 2010-02-03 20:03:01

Spook1680 писал(а):И не могу избавиться от 65535 allow ip from any to an
yмне то надо что бы было закрыто все что не разрешено, пробовал тип ставить closen но сути вещей не изменила.
значит неправильно писал слово, которое там надо указать, чтоб он закрытым стал.
Spook1680 писал(а):fwcmd="/sbin/ipfw" есл в начале это не прописываю, то худно бедно но работает почта и ася идут через натд, а пользователи логиняться через squid
Стоит прописать и перезагрузиться то аська и почта уже не работаю.
хехе, чувак, найди на этом сайте статьи про ipfw и почитай маны, в интернете даже перевод где-то есть. Если честно, нет желания тебе разжёвывать элементарные вещи. Скрипт фаервола - это скрипт на sh, fwcmd="/sbin/ipfw" - это присваивание значения переменной. И вообще, приведи сначала конфиг к виду, как я тебе написал в своём втором посте.
Deus quos vult perdere dementat prius
http://www.itforum-sochi.ru

Аватара пользователя
Spook1680
лейтенант
Сообщения: 989
Зарегистрирован: 2009-07-28 12:26:09

Re: стрые песни ipfw

Непрочитанное сообщение Spook1680 » 2010-02-03 20:22:32

princeps писал(а):
Spook1680 писал(а):И не могу избавиться от 65535 allow ip from any to an
yмне то надо что бы было закрыто все что не разрешено, пробовал тип ставить closen но сути вещей не изменила.
значит неправильно писал слово, которое там надо указать, чтоб он закрытым стал.
Spook1680 писал(а):fwcmd="/sbin/ipfw" есл в начале это не прописываю, то худно бедно но работает почта и ася идут через натд, а пользователи логиняться через squid
Стоит прописать и перезагрузиться то аська и почта уже не работаю.
хехе, чувак, найди на этом сайте статьи про ipfw и почитай маны, в интернете даже перевод где-то есть. Если честно, нет желания тебе разжёвывать элементарные вещи. Скрипт фаервола - это скрипт на sh, fwcmd="/sbin/ipfw" - это присваивание значения переменной. И вообще, приведи сначала конфиг к виду, как я тебе написал в своём втором посте.
ну для кого-то элементарные а для когото и нет. Если бы все были умные то и учителя бы ненужны были книжками обходились бы.
"Гента вообще форкLFS в свою очередь мутант Скалвари
которая BSD с ядром Линя BSD - мутировал-AT&T UNIX
а там был UNICS - MULTICS, счёты, глиняные таблички, палочки,
большой взрыв, сингулярность, пиз...ц. Вывод: RedHat использует пиз..ц. "

Аватара пользователя
Spook1680
лейтенант
Сообщения: 989
Зарегистрирован: 2009-07-28 12:26:09

Re: стрые песни ipfw

Непрочитанное сообщение Spook1680 » 2010-02-03 20:24:46

princeps писал(а):
Spook1680 писал(а):И не могу избавиться от 65535 allow ip from any to an
yмне то надо что бы было закрыто все что не разрешено, пробовал тип ставить closen но сути вещей не изменила.
значит неправильно писал слово, которое там надо указать, чтоб он закрытым стал.
Spook1680 писал(а):fwcmd="/sbin/ipfw" есл в начале это не прописываю, то худно бедно но работает почта и ася идут через натд, а пользователи логиняться через squid
Стоит прописать и перезагрузиться то аська и почта уже не работаю.
хехе, чувак, найди на этом сайте статьи про ipfw и почитай маны, в интернете даже перевод где-то есть. Если честно, нет желания тебе разжёвывать элементарные вещи. Скрипт фаервола - это скрипт на sh, fwcmd="/sbin/ipfw" - это присваивание значения переменной. И вообще, приведи сначала конфиг к виду, как я тебе написал в своём втором посте.
Вроде все делал как тут написано по скрипту
"Гента вообще форкLFS в свою очередь мутант Скалвари
которая BSD с ядром Линя BSD - мутировал-AT&T UNIX
а там был UNICS - MULTICS, счёты, глиняные таблички, палочки,
большой взрыв, сингулярность, пиз...ц. Вывод: RedHat использует пиз..ц. "

Kos
мл. сержант
Сообщения: 118
Зарегистрирован: 2009-01-19 23:15:49

Re: стрые песни ipfw

Непрочитанное сообщение Kos » 2010-02-03 22:37:32

Spook1680 писал(а):Стоит прописать и перезагрузиться то аська и почта уже не работаю.
И не могу избавиться от
65535 allow ip from any to any
мне то надо что бы было закрыто все что не разрешено, пробовал тип ставить closen но сути вещей не изменила.
от этого правила избавиться "можно, но не нужно" (с). Чтобы оно не срабатывало достаточно поставить перед ним запрещающее правило типа:

Код: Выделить всё

ipfw add 65534 deny all from any to any
где-то я это уже писал, вот только кде??? :unknown:

чтобы посмотреть как называется ядро с которым загрузилась система, наберите:

Код: Выделить всё

#uname -i
или

Код: Выделить всё

#uname -a
потом найдите конфиг этого ядра и разберитесь наконец что у Вас там, куда и с какими опциями скомпилено.

потом напишите простой скрипт фаервола типа:

Код: Выделить всё

ipfw add 100 allow all from any to any via lo0
ipfw add 200 divert natd all from any to any via внешний_интерфейс
ipfw add 300 fwd 127.0.0.1,3128 all from 192.168.21.0/24 to any 80 
ipfw add 400 allow tcp from any to any established
ipfw add 500 deny tcp from any to any in via внешний_интерфейс setup
ipfw add 600 allow tcp from any to any setup
ipfw add 700 deny all from any to any
проверьте работу всего этого хозяйства. И уже после этого развлекайтесь очередями, приоритетами и прочими радостями админства.

Аватара пользователя
Spook1680
лейтенант
Сообщения: 989
Зарегистрирован: 2009-07-28 12:26:09

Re: стрые песни ipfw

Непрочитанное сообщение Spook1680 » 2010-02-04 16:12:16

Kos писал(а):
Spook1680 писал(а):Стоит прописать и перезагрузиться то аська и почта уже не работаю.
И не могу избавиться от
65535 allow ip from any to any
мне то надо что бы было закрыто все что не разрешено, пробовал тип ставить closen но сути вещей не изменила.
от этого правила избавиться "можно, но не нужно" (с). Чтобы оно не срабатывало достаточно поставить перед ним запрещающее правило типа:

Код: Выделить всё

ipfw add 65534 deny all from any to any
где-то я это уже писал, вот только кде??? :unknown:

чтобы посмотреть как называется ядро с которым загрузилась система, наберите:

Код: Выделить всё

#uname -i
или

Код: Выделить всё

#uname -a
потом найдите конфиг этого ядра и разберитесь наконец что у Вас там, куда и с какими опциями скомпилено.

потом напишите простой скрипт фаервола типа:

Код: Выделить всё

ipfw add 100 allow all from any to any via lo0
ipfw add 200 divert natd all from any to any via внешний_интерфейс
ipfw add 300 fwd 127.0.0.1,3128 all from 192.168.21.0/24 to any 80 
ipfw add 400 allow tcp from any to any established
ipfw add 500 deny tcp from any to any in via внешний_интерфейс setup
ipfw add 600 allow tcp from any to any setup
ipfw add 700 deny all from any to any
проверьте работу всего этого хозяйства. И уже после этого развлекайтесь очередями, приоритетами и прочими радостями админства.



Переделал как ты сказал и вроде все ок) но с открытием порта не пойму где ошибки
прописал в rc.firewall

Код: Выделить всё

ipfw add allow tcp from any to any 3939
ipfw add allow tcp from any 3939 to any
[code]
Открытие порат.
проверяю
ipfw show
вижу в конце такое
[quote]
00160    0       0 allow tcp from any to any dst-port 3939
00260    0       0 allow tcp from any 3939 to any
65535 7619 2422403 allow ip from any to any
[root@pcbsd]/usr/local/etc(114)#
[/quote]
смотрю какие порты открыты

[code]
[root@pcbsd]/usr/local/etc(114)# netstat -an -f inet | grep LISTEN
tcp4       0      0 *.3128                 *.*                    LISTEN
tcp4       0      0 *.80                   *.*                    LISTEN
tcp4       0      0 *.6000                 *.*                    LISTEN
tcp4       0      0 127.0.0.1.25           *.*                    LISTEN
tcp4       0      0 *.22                   *.*                    LISTEN
tcp4       0      0 *.3306                 *.*                    LISTEN
tcp4       0      0 *.139                  *.*                    LISTEN
tcp4       0      0 *.445                  *.*                    LISTEN
tcp4       0      0 127.0.0.1.631          *.*                    LISTEN
tcp4       0      0 127.0.0.1.953          *.*                    LISTEN
tcp4       0      0 192.168.21.1.53        *.*                    LISTEN
tcp4       0      0 127.0.0.1.53           *.*                    LISTEN
[root@pcbsd]/usr/local/etc(115)#
но почему-то 39339 не вижу. :st:  :st:  :cry: 



"Гента вообще форкLFS в свою очередь мутант Скалвари
которая BSD с ядром Линя BSD - мутировал-AT&T UNIX
а там был UNICS - MULTICS, счёты, глиняные таблички, палочки,
большой взрыв, сингулярность, пиз...ц. Вывод: RedHat использует пиз..ц. "

princeps
майор
Сообщения: 2684
Зарегистрирован: 2007-09-25 10:20:59
Откуда: Сочи, Москва
Контактная информация:

Re: стрые песни ipfw

Непрочитанное сообщение princeps » 2010-02-04 16:30:38

на шлюзе этот порт и не должен быть открыт. Он будет открыт на том компе, куда ты его пробросить хотел
Deus quos vult perdere dementat prius
http://www.itforum-sochi.ru

Аватара пользователя
Spook1680
лейтенант
Сообщения: 989
Зарегистрирован: 2009-07-28 12:26:09

Re: стрые песни ipfw

Непрочитанное сообщение Spook1680 » 2010-02-04 17:44:39

princeps писал(а):на шлюзе этот порт и не должен быть открыт. Он будет открыт на том компе, куда ты его пробросить хотел
:sorry: извини но если можно разжуй пожалуста
недоганяю
в фаэрволе порт прописал
ipfw show
65100 0 0 allow tcp from any to any dst-port 3939
65200 0 0 allow tcp from any 3939 to any
65300 0 0 allow tcp from any to any dst-port 3939
65400 0 0 allow tcp from any 3939 to any
65535 12872 3563459 allow ip from any to any
[root@pcbsd]/etc(152)#
/etc/natd.conf
указал

Код: Выделить всё


redirect_port tcp 192.168.21.101:7000 3939

Теперь я понимаю так набираю в браузере ip статический и номер порта 3939 , (попадаю на ппрокси сервер), от туда срабатывает правило натд и меня пуляет на 7000 порт., Должен видеть программу.
"Гента вообще форкLFS в свою очередь мутант Скалвари
которая BSD с ядром Линя BSD - мутировал-AT&T UNIX
а там был UNICS - MULTICS, счёты, глиняные таблички, палочки,
большой взрыв, сингулярность, пиз...ц. Вывод: RedHat использует пиз..ц. "

princeps
майор
Сообщения: 2684
Зарегистрирован: 2007-09-25 10:20:59
Откуда: Сочи, Москва
Контактная информация:

Re: стрые песни ipfw

Непрочитанное сообщение princeps » 2010-02-04 18:39:07

если порт не закрыт в фаерволе, это ещё не значит, что он открыт. Ты смотришь netstat на шлюзе, а там этот порт не открыт, потому что он открыт на том компе, где программа.
Для того, чтоб пробросить порт, тебе надо вот это:

Код: Выделить всё

redirect_port tcp 192.168.21.101:7000 3939
в natd.conf.
Но это правило не сработает до тех пор, пока ты не завернёшь в natd трафик из фаервола. Теоретически этим должно заниматься вот это правило:

Код: Выделить всё

ipfw add 200 divert natd all from any to any via внешний_интерфейс
Если не работает, то значит у тебя где-то запрещающее правило, которое рубит пакеты, отправляющиеся к твоей программе. В дополнение к нему вот это:

Код: Выделить всё

65100 0 0 allow tcp from any to any dst-port 3939
65200 0 0 allow tcp from any 3939 to any
65300 0 0 allow tcp from any to any dst-port 3939
65400 0 0 allow tcp from any 3939 to any
65535 12872 3563459 allow ip from any to any
полная ерунда :) ты уж извини, но тут я тебя пошлю в ман читать про схему прохождения пакетов через ipfw, без этого всё равно не сможешь нормально работать.
И tcpdump тебе в помощь, смотри через него какие пакеты куда идут через шлюз. И перестань называть шлюз прокси-сервером, это разные вещи.
Deus quos vult perdere dementat prius
http://www.itforum-sochi.ru

Аватара пользователя
Spook1680
лейтенант
Сообщения: 989
Зарегистрирован: 2009-07-28 12:26:09

Re: стрые песни ipfw

Непрочитанное сообщение Spook1680 » 2010-02-04 22:18:10

ipfw add 200 divert natd all from any to any via внешний_интерфейс
у меня такое правило прописано же

ipfw add 60 divert natd all from any to 78.118.98.213 in via sis0
Разве не одно и то же.
Если я правильно тебя понял, то прокси сервер тут не причем, порты и перенаправление это только фаэрвол и натд.
"Гента вообще форкLFS в свою очередь мутант Скалвари
которая BSD с ядром Линя BSD - мутировал-AT&T UNIX
а там был UNICS - MULTICS, счёты, глиняные таблички, палочки,
большой взрыв, сингулярность, пиз...ц. Вывод: RedHat использует пиз..ц. "

Kos
мл. сержант
Сообщения: 118
Зарегистрирован: 2009-01-19 23:15:49

Re: стрые песни ipfw

Непрочитанное сообщение Kos » 2010-02-05 8:23:36

важно не только какие правила ты написал, но и В КАКОМ ПОРЯДКЕ.

если ты тупо откопипастил то, что я тебе писал, то редирект и не будет работать, потому что там есть это правило:

Код: Выделить всё

ipfw add 500 deny tcp from any to any in via внешний_интерфейс setup
оно рубит все входящие соединения.
или удали его или допиши ПЕРЕД ним что-то типа:

Код: Выделить всё

ipfw add 500 allow tcp from any to me 3939
и если опять не получилось, то ждемс вывод команд:

Код: Выделить всё

#ipfw show
#ps ax|grep natd
#cat /etc/natd.conf

princeps
майор
Сообщения: 2684
Зарегистрирован: 2007-09-25 10:20:59
Откуда: Сочи, Москва
Контактная информация:

Re: стрые песни ipfw

Непрочитанное сообщение princeps » 2010-02-05 9:16:44

Spook1680 писал(а):Если я правильно тебя понял, то прокси сервер тут не причем, порты и перенаправление это только фаэрвол и натд.
правильно
Deus quos vult perdere dementat prius
http://www.itforum-sochi.ru

Аватара пользователя
Spook1680
лейтенант
Сообщения: 989
Зарегистрирован: 2009-07-28 12:26:09

Re: стрые песни ipfw

Непрочитанное сообщение Spook1680 » 2010-02-05 10:00:08

Kos писал(а):важно не только какие правила ты написал, но и В КАКОМ ПОРЯДКЕ.

если ты тупо откопипастил то, что я тебе писал, то редирект и не будет работать, потому что там есть это правило:

Код: Выделить всё

ipfw add 500 deny tcp from any to any in via внешний_интерфейс setup
оно рубит все входящие соединения.
или удали его или допиши ПЕРЕД ним что-то типа:

Код: Выделить всё

ipfw add 500 allow tcp from any to me 3939
и если опять не получилось, то ждемс вывод команд:

Код: Выделить всё

#ipfw show
#ps ax|grep natd
#cat /etc/natd.conf
Я для проверки что бы не запутаться окончательно пробую 7000 порт на шлюзе перебросить на 7000 порт на машину пользователя 192.168.21.101 где крутиться прога на 7000 порту.


ipfw show

Код: Выделить всё

00060 1001  364385 divert 8668 ip from any to 77.108.98.213 in via sis0
00060    0       0 divert 8668 ip from any to 77.108.98.213 in via sis0
00060    0       0 divert 8668 ip from any to 77.108.98.213 in via sis0
00060    0       0 divert 8668 ip from any to 77.108.98.213 in via sis0
00060    0       0 divert 8668 ip from any to 77.108.98.213 in via sis0
00200 2009  514426 divert 8668 ip from any to any via sis0
00200    0       0 divert 8668 ip from any to any via sis0
00200    0       0 divert 8668 ip from any to any via sis0
00200    0       0 divert 8668 ip from any to any via sis0
00200    0       0 divert 8668 ip from any to any via sis0
01000    0       0 allow tcp from 77.108.98.213 7000 to any via sis0
01000    0       0 allow tcp from any to 77.108.98.213 dst-port 7000 via sis0
01000    0       0 allow tcp from 77.108.98.213 7000 to any via sis0
01000    0       0 allow tcp from any to 77.108.98.213 dst-port 7000 via sis0
01000    0       0 allow tcp from 77.108.98.213 7000 to any via sis0
01000    0       0 allow tcp from any to 77.108.98.213 dst-port 7000 via sis0
01000    0       0 allow tcp from 77.108.98.213 7000 to any via sis0
01000    0       0 allow tcp from any to 77.108.98.213 dst-port 7000 via sis0
01000    0       0 allow tcp from 77.108.98.213 7000 to any via sis0
01000    0       0 allow tcp from any to 77.108.98.213 dst-port 7000 via sis0
01300    0       0 allow tcp from any to 77.108.98.213 dst-port 7000 via sis0
01300    0       0 allow tcp from any to 77.108.98.213 dst-port 7000 via sis0
01300    0       0 allow tcp from any to 77.108.98.213 dst-port 7000 via sis0
01300    0       0 allow tcp from any to 77.108.98.213 dst-port 7000 via sis0
01300    0       0 allow tcp from any to 77.108.98.213 dst-port 7000 via sis0
65535 5868 1200852 allow ip from any to any

Код: Выделить всё

[root@pcbsd]/usr/local/etc(115)# ps ax | grep natd
12762  ??  Ss     0:00,01 /sbin/natd -f /etc/natd.conf -n sis0
14829  p1  RV     0:00,00 grep natd (csh)
[root@pcbsd]/usr/local/etc(116)#

Код: Выделить всё

[root@pcbsd]/usr/local/etc(116)# cat /etc/natd.conf
use_sockets yes
same_ports yes
redirect_port tcp 192.168.21.101:7000 7000
[root@pcbsd]/usr/local/etc(117)#

"Гента вообще форкLFS в свою очередь мутант Скалвари
которая BSD с ядром Линя BSD - мутировал-AT&T UNIX
а там был UNICS - MULTICS, счёты, глиняные таблички, палочки,
большой взрыв, сингулярность, пиз...ц. Вывод: RedHat использует пиз..ц. "

princeps
майор
Сообщения: 2684
Зарегистрирован: 2007-09-25 10:20:59
Откуда: Сочи, Москва
Контактная информация:

Re: стрые песни ipfw

Непрочитанное сообщение princeps » 2010-02-05 10:16:54

и что, не работает?
оставь в конфиге только одно правило - divert natd ip from any to any via внешний интерфейс
Deus quos vult perdere dementat prius
http://www.itforum-sochi.ru

Аватара пользователя
Spook1680
лейтенант
Сообщения: 989
Зарегистрирован: 2009-07-28 12:26:09

Re: стрые песни ipfw

Непрочитанное сообщение Spook1680 » 2010-02-05 10:51:35

princeps писал(а):и что, не работает?
оставь в конфиге только одно правило - divert natd ip from any to any via внешний интерфейс
не выходит.
стучусь из инета на белый ip:7000 порт, должен был быть переадресован на 192.168.21.101:7000 но нифига, пишет в браузере не возможно отобразить страницу
rc.firewall
прописал
add divert natd all from any to any via sis0
add allow all from any to any
"Гента вообще форкLFS в свою очередь мутант Скалвари
которая BSD с ядром Линя BSD - мутировал-AT&T UNIX
а там был UNICS - MULTICS, счёты, глиняные таблички, палочки,
большой взрыв, сингулярность, пиз...ц. Вывод: RedHat использует пиз..ц. "

princeps
майор
Сообщения: 2684
Зарегистрирован: 2007-09-25 10:20:59
Откуда: Сочи, Москва
Контактная информация:

Re: стрые песни ipfw

Непрочитанное сообщение princeps » 2010-02-05 11:42:13

может у тебя на той машине служба не запущена?
Deus quos vult perdere dementat prius
http://www.itforum-sochi.ru

Аватара пользователя
Spook1680
лейтенант
Сообщения: 989
Зарегистрирован: 2009-07-28 12:26:09

Re: стрые песни ipfw

Непрочитанное сообщение Spook1680 » 2010-02-05 12:05:32

princeps писал(а):может у тебя на той машине служба не запущена?
включена я проверяю беру с любого компа в сети набираю в браузере 192.168.21.101:7000 и прога загрузаеться.
Может у меня не работать из за того что в ядре только вот эти опции загружены

Код: Выделить всё

options         IPFIREWALL
options         IPFIREWALL_DEFAULT_TO_ACCEPT
options         IPDIVERT
Это все по умолчанию. Для управления пакетами через фаэрвол этого вроде достаточно??? :unknown:
"Гента вообще форкLFS в свою очередь мутант Скалвари
которая BSD с ядром Линя BSD - мутировал-AT&T UNIX
а там был UNICS - MULTICS, счёты, глиняные таблички, палочки,
большой взрыв, сингулярность, пиз...ц. Вывод: RedHat использует пиз..ц. "