Возникла проблема в непонимании логики работы ipfw freebsd 6.
(шлюз для интернет, dns,dhcp,vpn(pptp), два интерфейса: один в мир, другой в локалку)
Помогите, может что подсоветуете.
насколько мне известно, через ipfw пакеты могут проходить двумя способами
- попадать под первое же подходящее правило и покидать фаервол
- проходить по всем цепочкам правил, не зависимо удовлетворяют они его(пакет) или нет пока не встретится явно запрещающее правило.
Вопросы:
1 как проверить какой метод сейчас установлен?
2 В ситуации, когда пользователь подключается к интернет посредством pptp, и ему нужно разрешить обращатся к dns, разрешить в и с "мира" все, использовать divert natd, использовать pipe и queue - какой способ нужно использовать? Я совершенно запутался с пониманием последовательности обработки в ситуации
- когда пакеты проходят от пользователей через созданные vpn туннели. Как и через что они попадают в ipfw.
3 Между клиентом в локалке и ВПНсервером начинают ходить gre пакеты между айпи локального интерфейса и айпи пользователя в локалке. Образуєтся туннель, подымается интерфейс tunХ+. Адрес отправителя - айпи из диапазона для vpn клиентов. А вот назначения - адрес локального интерфейса, который есть ВПНсервером? И как дальше движутся пакеты?? если необходим выход в Интернет. 4 когда нужно над одними и теми же пакетами производить несколько операций (завоачивать в нат, ограничивать скорость и выставлять приоритеты) как организовывать прохождения правил? 5 что такое skipto - означает обработать пакет и передать на правили с номером?
И как быть если и дальше пакет нужно обработать - снова на skipto номер.? Буду признателен на любой свет в моем тунеле.
|
