wchik
Full Member | Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
порядок проходжения правил никто не отменял просто диверт это еще не конец цепочки после преобразования адресов пакет отдается фаеру обратно и тот уже решает что делать дальше
если не хочешь натить все а позаморачиваться вот тебе набросок правил если что не понятно пиши
разберешься?
rl0 - внеш
rl1 - внутр
Цитата:
#!/bin/sh
fwcmd="/sbin/ipfw -q"
${fwcmd} -f flush
#Allow SSh
${fwcmd} add allow ip from any to any 22 setup
#Setup loopback
${fwcmd} add pass all from any to any via lo0
${fwcmd} add deny all from any to 127.0.0.0/8
${fwcmd} add deny ip from 127.0.0.0/8 to any
#Squid
${fwcmd} add allow ip from any to any 3128 setup
${fwcmd} add allow ip from me to any 80 setup
${fwcmd} add allow ip from any 80 to me
#NAT http for admin
${fwcmd} add divert 8668 ip from any to any 80 via rl0
${fwcmd} add divert 8668 ip from any 80 to any via rl0
${fwcmd} add allow ip from 192.168.0.7 to any 80 setup
${fwcmd} add deny ip from 192.168.0.0/24,192.168.1.0/24 to any 80
#NAT mail msn and icq for all
${fwcmd} add divert 8668 ip from any to any 1863 via rl0
${fwcmd} add divert 8668 ip from any 1863 to any via rl0
${fwcmd} add divert 8668 ip from any to any 25 via rl0
${fwcmd} add divert 8668 ip from any 25 to any via rl0
${fwcmd} add divert 8668 ip from any to any 110 via rl0
${fwcmd} add divert 8668 ip from any 110 to any via rl0
${fwcmd} add divert 8668 ip from any to any 5190 via rl0
${fwcmd} add divert 8668 ip from any 5190 to any via rl0
${fwcmd} add allow ip from any to any 25,110,1863,5190 setup
#NAT for ICMP
${fwcmd} add divert 8668 icmp from any to any via rl0
${fwcmd} add allow icmp from any to 212.82.219.59 in via rl0 icmptype 0,3,4,11,12
${fwcmd} add allow icmp from 212.82.219.59 to any out via rl0 icmptype 3,8,12
${fwcmd} add allow icmp from 212.82.219.59 to any out via rl0 frag
${fwcmd} add deny log icmp from any to any in via rl0
#allow IP through if setup succeeded
${fwcmd} add pass all from any to any established
# Allow IP fragments to pass through
${fwcmd} add pass all from any to any frag
|
Добавлено
а забыл фаейр скомпилен закрытого типа (у тебя может быть наоборот) потому последним правилом у меня по умолчанию запретить все всем
Добавлено
Цитата:| еще - после диверта какой будет адрес отправки? |
какой потребуется, обычно из 10 000 и выше
но может быть и 53 например некоторые сервисы требуют (вроде, точно не помню) |
Какой вообще смысл у divert? мы кидаем пакеты на порт? а если мне нужно, чтобы еще и icmp через нат ходило? и какой в divert способ построения правил? 
