Подниму топик, чтобы себе сделать немного понятнее, может кому поможет) А, вообще, может сделать статью, такую же как ipfw подробное
Код: Выделить всё
#Перенаправляем трафик
#Если входящий на КАНАЛЬНОМ уровне, перенаправляем на правило 40000
add 1 skipto 40000 all from any to any layer2 in
#Входящий на сетевом уровне перенаправляем на правило 999
add 1 skipto 999 all from any to any not layer2 in
#Исходящий на сетевом уровне перенаправляем на правило 999
add 1 skipto 999 all from any to any not layer2 out
#Исходящий на КАНАЛЬНОМ уровне, перенаправляем на правило 60000 (Отдельная группа правил)
add 1 skipto 60000 all from any to any layer2 out
#азрешаем весь трафик на внутреннем интерфейсе
add 999 allow ip from any to any via vr0
#Поднимаем нат
nat 1 config if vr1 reset same_ports deny_in
add 10140 nat 1 ip from any to any via vr1
add 10160 deny all from any to any
# фильтрация по МАС на входе (мне как бы не нужна. сервером нужно разрешить пользоваться всем ползователям сети
add 40000 allow all from any to any layer2 in
# фильтрация по МАС на выходе
#Тут я немного перекрою, мне надо по белому списку, т.е. разрешить только определенным, остальным запретить
# mac dst-mac src-mac
# mac any 10:20:30:40:50:60/48 - тут не понятно, что знаит [b]/48[/b]
# 10:20:30:40:50:60 Мак адрес клиента, котором нужно разрешить
add 60000 allow ip from any to any mac any 10:20:30:40:50:60/48 in layer2 out via vr1
add 60001 deny ip from any to any in layer2 out via vr1
add 60000 allow all from any to any layer2 out
add 65533 deny all from any to any
Вот, как я вижу набор правил. Но напрашивается справедливый вопрос, для чего пробрасывать трафик и фильтровать его только на выходе? В общем, прошу метсных гуру помочь мне, и допилить правила, думаю поможет многим, т.к. задача разрешить интернет только избранным, встречается достаточно часто, а фильтрация чисто по айпи немного менее защищена, чем по маку (хотя, кулхуцкерам и это не помеха, конечно. Но в совокупности с фильтрацией по айпи, должно доставить немного проблем, а там уже логи нам в помощь
)
))
, а ты не можешь понять, "что тут не понятного" 
