forum.lissyara.su

Код: Выделить всё

ifconfig_fxp0="ether 00:22:DD:41:XX:XX"
ifconfig_fxp0_alias0="xx.xx.xx.94 netmask 255.255.255.0 -rxcsum"
defaultrouter="xx.xx.xx.1"
ifconfig_rl0="inet 192.168.1.1 netmask 255.255.255.0"
ifconfig_rl0_alias0="inet 192.168.1.4 netmask 255.255.255.0"
ifconfig_rl1="inet 192.168.1.5 netmask 255.255.255.0"
hostname="xxxx"
firewall_enable="YES"
firewall_nat_enable="YES"
firewall_script="/etc/firewall"
gateway_enable="YES"
firewall_logging="YES"

Код: Выделить всё

cmd="ipfw -q add"
ipfw="ipfw -q"
pif="xx.xx.xx.94" #WAN


lif="rl0"            # interfeis local'naj seti
lan="192.168.1.0/24" # local'naja set'
loc="192.168.1.1"
dns="192.168.1.4"

$cmd 1004 allow ip from any to any via $lif
$cmd 1005 allow ip from any to any via $lif
$cmd 1011 check-state

$cmd 1013 pass tcp from any to any 25 #keep-state
$cmd 1014 pass tcp from any 25 to any
$cmd 1015 pass tcp from any to any 143 #keep-state
$cmd 1016 pass tcp from any 143 to any
$cmd 1017 pass tcp from any to any 110 #keep-state
$cmd 1018 pass tcp from any 110 to any
$cmd 1019 pass tcp from any to any 953
$cmd 1020 pass tcp from any 953 to any

$cmd 1025 deny ip from any to 192.168.0.0/16 in recv $pif
$cmd 1030 deny ip from 192.168.0.0/16 to any in recv $pif
$cmd 1040 deny ip from any to 172.16.0.0/12 in recv $pif
$cmd 1050 deny ip from 172.16.0.0/12 to any in recv $pif
$cmd 1060 deny ip from any to 10.0.0.0/8 in recv $pif
$cmd 1070 deny ip from 10.0.0.0/8 to any in recv $pif
$cmd 1080 deny ip from any to 169.254.0.0/16 in recv $pif
$cmd 1090 deny ip from 169.254.0.0/16 to any in recv $pif
$cmd 1091 pass tcp from any to $pif 80 #keep-state
$cmd 1092 pass tcp from $pif to any 80 #keep-state


$ipfw nat 1 config log ip $pif reset same_ports deny_in redirect_port tcp $dns:53 53 redirect_port udp $dns:53 53 redirect_port tcp $loc:22 22
$cmd 10100 nat 1 ip from any to any via $pif
$cmd 65534 deny log all from any to any

Код: Выделить всё

rl0: flags=8843<UP,BROADCAST,RUNNING,SIMPLEX,MULTICAST> metric 0 mtu 1500
        options=8<VLAN_MTU>
        ether 00:e0:4c:31:xx:xx
        inet 192.168.1.1 netmask 0xffffffc0 broadcast 192.168.1.63
        inet 192.168.1.4 netmask 0xffffffc0 broadcast 192.168.1.63
        media: Ethernet autoselect (100baseTX <full-duplex>)
        status: active
rl1: flags=8843<UP,BROADCAST,RUNNING,SIMPLEX,MULTICAST> metric 0 mtu 1500
        options=8<VLAN_MTU>
        ether 00:c0:26:26:xx:xx
        inet 192.168.1.64 netmask 0xffffffc0 broadcast 192.168.1.127
        media: Ethernet autoselect (100baseTX <full-duplex>)
        status: active
fxp0: flags=8843<UP,BROADCAST,RUNNING,SIMPLEX,MULTICAST> metric 0 mtu 1500
        options=2008<VLAN_MTU,WOL_MAGIC>
        ether 00:22:6b:81:2f:28
        inet xx.xx.xx.94 netmask 0xffffff00 broadcast xx.xx.xx.255
        media: Ethernet autoselect (100baseTX <full-duplex>)
        status: active
ipfw0: flags=8801<UP,SIMPLEX,MULTICAST> metric 0 mtu 65536
lo0: flags=8049<UP,LOOPBACK,RUNNING,MULTICAST> metric 0 mtu 16384
        options=3<RXCSUM,TXCSUM>
        inet6 fe80::1%lo0 prefixlen 64 scopeid 0x5
        inet6 ::1 prefixlen 128
        inet 127.0.0.1 netmask 0xff000000
        nd6 options=3<PERFORMNUD,ACCEPT_RTADV>

Код: Выделить всё

Это я просто с масками экспериментировал.

Код: Выделить всё

NAT с помощью IPFilter (ipnat)


 В /etc/rc.conf добавить
 gateway_enable=«yes» 
 или в /etc/sysctl.conf добавить 
 net.inet.ip.forwarding=1.

 Также в /etc/rc.conf добавить:
 ipnat_enable=«YES» #Включаем ipnat
 ipnat_program="/sbin/ipnat" #Путь к ipnat
 ipnat_rules="/etc/ipnat.rules" #Правила
 ipnat_flags="" #С какими параметрами стартовать


 Примеры:

 Если:
 em0 – внешний интерфейс
 192.168.0.0/24 – внутренняя сеть
 200.200.200.200 – внешний адрес

 То пример правил для Нат будет выглядеть так:
 map em0 from 192.168.0.0/24 to any -> 200.200.200.200/32

 Или без конкретизации адресов назначения:
 map em0 192.168.0.0/24 -> 200.200.200.200/32

 Если адрес динамический то можно сделать так:
 map em0 192.168.0.0/24 -> 0.0.0.0/32

 Некоторые полезные команды при работе с ipnat:
 Перезагрузка ipnat:
 /etc/rc.d/ipnat restart
 Общая статистика роботы Нат:
 ipnat –s
 Список активных правил и список активных в данный момент сеансов:
 ipnat –l
 Перечитать конфиг:
 ipnat -CF -f /etc/ipnat.rules
 -C — очищает таблицу правил. 
 -F — удаляет записи из таблицы трансляций.
 Больше об ipnat и IPFilter в целом можно узнать из:
 ipnat(1), ipnat(5), ipnat(8), ipf(5), ipf(8), ipfstat(8), ipftest(1), ipmon(8)
 Более подробно здесь.