BSDPORTAL.RU

Category: 7 Сети и FreeBSD
Article Type: Документация

Article Title: Настройка ipfw для шлюза под управлением FreeBSD.
Author: Fencer
Article Description: Данный документ описывает принцип построения цепочек правил для фильтрации ip трафика.

>>Читать текст статьи

от блин.. лучшеб насчт pf расказали =)

если кто pf знает опишите пример использования с комментариями

эхх.. еслиб знал написал..

Fencer
отличная статья - спасибо!

на здоровье

Здрасьте. Хочу поделиться опытом реального применения материала данной статьи. Прежде всего: всё что тут написано правда и я не имею к автору никаких претензий.

Немного о себе: я значительное время работал исключительно в среде UNIX-like systems и тут мне понадобилось организовать шлюз под FreeBSD в конторе, где стоят сплошь винды да маки. Я применил всё это знание, а байты не бегут. Угрохал на диагностику массу времени. Причина оказалась крайне банальной: неправильно сконфигурированные Windows-клиенты. Собственно это лишь иллюстрация моей неопытности, однако может быть эта наука кому-то пригодится. Итак, если до FreeBSD на шлюзе уже работал какой-нибудь WinGate, это ничего не значит: необходимо переконфигурировать ВСЕХ клиентов полностью. Не только прописать им шлюз и DNS, но и проверить клиентский софт. Например выключить в настройках InternetExplorer proxy-server. Проверить не переписан ли у людей номер порта SMTP протокола в Outlook (мои умники зачем-то вписали в некоторых аккаунтах 24 вместо 25). Носом прорыть их аську. Чёрт их знает, что у них там в виндах настроено. НЕОБХОДИМО действовать с позиции ПРЕЗУМПЦИИ ВИНОВНОСТИ.

Спасибо, все очень понятно. А не могли бы Вы написать правило для работы за шлюзом почтового сервера с реальным ИП.
.... Да и еще надо открыть 7007 порт для определенного компа в сети (для работы с банком), я чего-о не могу никак это сделать

А как к этому делу привязать прозрачный прокси?
Форвардинг вида: ipfw add fwd 127.0.0.1,3128 tcp from <адрес внутренней сети> to any via ext_int забивает NAT и прокси все равно не работает. В качастве прокси стоит squid

По поводу pf. Я свой конфиг настраивал вот по этому
http://www.openbsd.ru/files/etc/pf.conf

Исходя из статьи и то что я ее мельком просмотрел складывается впечатление что ты не разрешил работу сквида.
Зри в сторону этой строки
for_lan="smtp,pop3,domain,http,https,ftp,ssh"
Тебе нужно сделать следущее
/etc/services
добавить название порта то биш
squid 3128(исходя из того что он у тебя слушает на нем или какой то другой порт)
и добавить в правило для локальной сети еще и squid. У тебя должно быть что то вроде
for_lan="smtp,pop3,domain,http,https,ftp,ssh,squid"
Вобщем ситуация такова. Почитай мануалы по поводу ipfw. И если правило не срабатывает то ты еге или не разрешил или что то упустил.

подскажите пожалуста как настроить работу squida вместе с этими правилами (у меня PPPoE + ipfw+squid) заранее спасибо

нашел ответ сам ......собака была зарыта здесь
${ipfw} add fwd 192.168.0.57,3128 tcp from any http to $ext_ip established все заработало в начале все пытался сделать как писал Morbid т.е. прописать squid 3128 в сервисах но непомогло. Щщас все работает одно плохо что из локалки получают инет как машины на которых настроено прокси в эксплоере так и на которых ненастроено а хотелось бы что бы последние ничего не получали если кто знает поделитесь спасибо

Дмитрий именно строка ${ipfw} add fwd 192.168.0.57,3128 tcp from any http to $ext_ip established - делает прозрачный прокси. Т.е. в клиентах нет необходимости прописывать проки сервер. Если ее убрать то будут ходить только те, у кого явно прописано.

Спасибо это я понял но вот какими правилами сделать непрозрачный проксик именно в контексте правил которые предложил fencer?

это в смысле том что в правилах которые написал fencer для работы squida правил нет. А как сделать так что бы чтобы squid работал и проксик был непрозрачный ? ( т.е. на всех машинах нужно было проксик прописывать)
......безопасность прежде всего

Ссылка умерла? Где можно найти эту статью?

Действительно. Тема актуальна, где можно найти статью?

посмотрите на дату создания темы, она давно уже умерла, документации
по ipfw полно, например тут http://www.lissyara.su