>>>${fwcmd} add 103 pipe 103 tcp from me 8080 to ${opers} via
>>>fxp0
>>>${fwcmd} pipe 103 config bw ${oper_speed}
>>>#
>>>${fwcmd} add 104 pipe 104 tcp from me 8080 to ${cafe} via
>>>fxp0
>>>${fwcmd} pipe 104 config bw ${cafe_speed}
>>>##########################################################################
>>>
>>>P.S. С тебя пива!
>>еще маленький вопрос всё таки до или после диверта.
>>ставлю после у меня не работает
>
>
>гы... так прям и поставил? ;-)
>
>совсем головой не хочешь думать!!!
>не добавил я эти строки:
>
>cafe_speed="30000bit/s"
>oper_speed="42000bit/s"
>
>а если переменая скорости = 0 скорость не обрезается
:lol:
ясный пень ,токо мне надо круче выпендриться
делю всё полосу на всех . поэтому 0.
делаю очереди .с определённык айпишников weight 80
у других другой (30), если ставить до диверта то работают но
со стороны пользователей не заметно. если после диверта то не работают
вот конфиг
rl0 inside interface
rl0 outside
${fwcmd} pipe 1  config 0
${fwcmd} queue 1 config pipe 1 weight 10
${fwcmd} queue 2 config pipe 1 weight 90
${fwcmd} queue 3 config pipe 1 weight 20
${fwcmd} add 100 queue 1 ip from 10.10.2.16/28 to 10.10.2.1 via rl0
${fwcmd} add 200 queue 1 ip from 10.10.2.1 to 10.10.2.16/28 via rl0
${fwcmd} add 300 queue 1 ip from 10.10.2.1 to 10.10.2.32/28 via rl0
${fwcmd} add 400 queue 1 ip from 10.10.2.32/28 to 10.10.2.1 via rl0
${fwcmd} add 500 queue 1 ip from 10.10.2.48/28 to 10.10.2.1 via rl0
${fwcmd} add 600 queue 1 ip from 10.10.2.1 to 10.10.2.48/28  via rl0
${fwcmd} add 700 queue 1 ip from 10.10.2.64/26 to 10.10.2.1 via rl0
${fwcmd} add 800 queue 1 ip from 10.10.2.1 to 10.10.2.64/26 via rl0

${fwcmd} add 900 queue 1 ip from 10.10.2.128/25 to 10.10.2.1 via rl0
${fwcmd} add 1000 queue 1 ip from 10.10.2.1 to 10.10.2.128/25 via rl0

${fwcmd} add 1100 queue 2 ip from 10.10.2.0/28 to 10.10.2.1 via rl0
${fwcmd} add 1200 queue 2 ip from 10.10.2.1 to 10.10.2.0/28 via rl0

${fwcmd} add 1300 queue 3 tcp from 10.10.2.0/24  to any  pop3 via rl0
${fwcmd} add 1400 queuq 3 tcp from 10.10.2.0/24 to     any stmp via rl0
${fwcmd} add 1500 queue 3 tcp from any  to 10.10.2.0/24 pop3  via rl0
${fwcmd} add 1600 queue 3 tcp from any to 10.10.2.0/24 smtp via rl0

${fwcmd} add 1700 allow all from any to any via gif0
${fwcmd} add 1800 allow udp from a.b.c.d to q.w.e.r isakmp
${fwcmd} add 1900 allow udp from q.w.e.r to a.b.c.d isakmp
${fwcmd} add 2000 allow esp from q.w.e.r to a.b.c.d
${fwcmd} add 2100 allow esp from a.b.c.d to q.w.e.r
${fwcmd} add 2200 allow ipencap from q.w.e.r to a.b.c.d
${fwcmd} add 2300 allow ipencap from a.b.c.d to q.w.e.r

${fwcmd} add allow log logamount 100 tcp from 10.10.2.0/24  to 10.10.2.1  
${fwcmd} add allow log logamount 100 tcp from 10.10.2.1 to 10.10.2.0/24
case ${natd_enable} in
        [Yy][Ee][Ss])
                if [ -n "${natd_interface}" ]; then
                        ${fwcmd} add divert natd all from any to any via ${natd_interface}
                fi
                ;;
        esac
.....
зы: думать пытаюс.
просто не видел статьи где бы правильно описывалось
очереёдность строк в ipfw

>ipfw count, после совпадения с этим правилом перебор продолжается, и зависит
>от переменной net.inet.ip.fw.one_pass.
которая у тебя как и у меня = 1
>
>00010 pipe 1 ip from any to any via rl0
>01061 count ip from 192.168.100.106 to any via ng30
>01062 count ip from any to 192.168.100.106 via ng30
>01071 pipe 2 ip from any to 192.168.100.105
>08000 divert 8668 ip from 192.168.100.0/24 to any out xmit fxp0
>09000 divert 8668 ip from any to 193.9.165.10
>09010 pipe 3 ip from 192.168.100.0/24 to any
>09010 pipe 4 ip from any to 193.9.165.10
>50000 allow ip from any to any
>65535 deny ip from any to any
>
>Итак В пайп 1 попадают все пакеты, проходящие чарез rl0
>В каунт все что идет на/с 192.168.100.106
>В пайп 2 все на 192.168.100.105
>В НАТ идет все сеть 192.168.100.105/24 кроме 192.168.100.106 потому как пакеты от
>него до этого правила не доходят, они уже обработаны.

обработаны кем count'ом?

#man ipfw
count   Update counters for all packets that match rule.  The search continues with the next rule.

значит по твоему 192.168.100.106 в инет не ходит? так на кой считать что ходит от него/к нему? :)
абсурд! ;)

и вообще правила какие то веселые =)

>>Ты сам понял что написал?
>конечно! и у меня это работает!
>
>>Во-первых что скрывается под me?
>а под _me_ скрываются все ip адреса данного компутера, это снова man
>ipfw
>который галсит:
>any     matches any IP address.
>me      matches any IP address configured on
>
>>В-четвертых в sysctl глянь значение вышеупомянутой переменной.
>почитай топик внимательнее! оно равно 1
>
>Уважаемый вам man ipfw... до посидения! ;)

Ну ладно с me у нас не сложилось. Но ага поставь allow ip from 192.168.0.0/16 to any и посмотрим как у тебя пакеты до диверта дойдут.
Они приходят на машину allow ip from 192.168.0.0/16 to me
У тебя дефолт роут стоит ?! Идут туда с 192.168.0.0/16 пока только уже не на me, а на интерфейс присоединенный к дефолт гейтвею.И очень странным кажется то, что проходя через фаерволл опять, они попадают в НАТ.

Я не знаю кто чего на это ответит, но выскажу некоторые соображения по поводу прочитаного.

Для работи с фаерволов я использую два средства:
ipfw - для пайпов и каунтов
ipf & ipnat - для фильтрации и ната (редикекта и переброса на опр. порт)
и всем так рекомендую, потому что удобно.

Вот взаять к примеру natd. Кто сказал что он не может вывалится в самый неудобный момент? Никаких гарантий. Мало того, что ната не будет, так и все пакеты что дивертятся уйдут в никуда. А ipnat в ядре - сухо и комфортно, да и настроить можно гибко.

Синтаксис ipf напорядок оптимальней чем в ipfw. Никаких номеров правил, да и не нужны они при фильтрации. Есть структура груп, могут групы вкладываться одна в одну и потом проверка пакета проходит в заданой групе. На мой взгляд очень удобно.

Я тоже сначала использовал natd пока он не упал и к машине пропал доступ. Пришлось ехать в другой конец города.

Да и трафик с помощю ipf можно считать. Долго проверял совпадаит ли он с ipfw count - совпадает.

Жалею только об одном, что в пакете ipf до сих пор не сделали аналог пайпов :(