forum.lissyara.su

Есть локальная сеть 10.0.0.0/24 :
Шлюз 10.0.0.1
почтарь 10.0.0.2
Пользователи привыкли заходить в почту через веб морду, просто написав внешний ип шлюза к примеру 1.1.1.1
С наружи можно зайти свободно, прописал rdr
а вот как надо правильно записать правило, чтобы пользователи из локальной сети писали 1.1.1.1 и заходили на 10.0.0.2
на данный момент это реализовано через redir, но хотелось все держать на фаерфоле
правило на redir --lport=80 --laddr=1.1.1.1 --cport=80 --caddr=10.0.0.2
подскажите плз как это сделать на pf

разрешить ползователям заходит на 1.1.1.1 через внешний интерфейс и редирект отработает корректно.

первым делом я писал правило но это не помогает.

мда...
Ещё раз перечитал первый пост. Если перефразировать, то получится так: юзер из локалки коннектится к какому-то левому IP, который его перенаправляет обратно в локалку.
Имхо, бред.

и не спорю что бред. но переучить сотню людей - не представляется возможным.

Если правило на срабатывает - запускай tcpdump и смотри, почему пакеты не форвардятся.

skeletor писал(а):мда...
Ещё раз перечитал первый пост. Если перефразировать, то получится так: юзер из локалки коннектится к какому-то левому IP, который его перенаправляет обратно в локалку.
Имхо, бред.

Нет, ну почему же. Могут быть объективные причины.
К примеру, сервис или, например, SSL сертификат, привязан только к внешнему IP.
То, что требуется, называется NAT loopback. Поищите по этому словосочетанию.

Вот первый же ответ Google - http://nick.recoil.org/2006/07/loopback-nat-with-pf/
Тока картинки нет, но и так всё понятно.
А вот и причина того, что ничего не работает

4. Your computer receives the reply, but the source IP address is the local address, not the remote address, so the data is discarded

Funt1k писал(а):и не спорю что бред. но переучить сотню людей - не представляется возможным.

Существует же dns, приучить пользователей к нему что уже никак...