The OpenNET Project / Index page

[ новости /+++ | форум | wiki | теги | ]

форумы  помощь  поиск  регистрация  майллист  ВХОД  слежка  RSS
"ipfw + natd почему-то не могу настроить redirect_port"
Вариант для распечатки  
Пред. тема | След. тема 
Форумы OpenNET: Виртуальная конференция (Public)
Изначальное сообщение [Проследить за развитием треда]

"ipfw + natd почему-то не могу настроить redirect_port"  
Сообщение от Лвыч email(ok) on 02-Май-06, 06:47 
Дано: корпоративная сетка 10.10.1.0-10.10.1.255, в ней шлюз под командованием FreeBSD 5.4. Шлюз раздает интернет и рулит почтой (тут все работает как часы)
Задача: хочу иметь возможность извне подключаться RAdmin'ом к определенному компу из внутренней сети.

В принцыпе ни чего сложного:

#rc.conf
natd_enable="YES"
natd_flags="-f /etc/natd.conf"
firewall_enable="YES"
firewall_script="/etc/rc.firewall"

#natd.conf
unregistered_only yes
log yes
log_denied yes
log_ipfw_denied yes
redirect_port tcp 10.10.1.30:4899 4899

#rc.firewall
LanOut="dc0"
IPOut="AAA.BBB.CCC.DDD"
LanIn="dc1"
IPIn="10.10.1.31"
ext_address="AA1.BB1.CC1.DD1" # вот с этой машины я пытаюсь подключиться радмином

${fwcmd} add divert natd ip from any to any via ${LanOut}
# из веток типа этой https://www.opennet.ru/openforum/vsluhforumID1/23028.html
# я понял, что этого достаточно

просто-то оно просто, только вот не получается ни чего - ipfw отрубает мои попытки достучаться радмином.
Я добавлял правило ipfw
${fwcmd} add divert natd tcp from ${ext_address} 4899 to any via ${LanOut}
и фаер все равно пакеты рубит, хотя вывод команды ipfw show показывает, что какие-то пакеты в это правило проходят.
Я подозреваю, что у меня просто руки-крюки, ну, либо natd не хочет есть настройки из natd.conf
Так вот вопрос: что я делаю не так?
ЗЫ поиском пользовался - не спасло, или просто не так искал?

Правка | Высказать мнение | Ответить | Cообщить модератору | Наверх

 Оглавление

Сообщения по теме [Сортировка по времени, UBB]


1. "ipfw + natd почему-то не могу настроить redirect_port"  
Сообщение от Лвыч email(ok) on 02-Май-06, 07:14 
https://www.opennet.ru/base/net/redirect.txt.html
Нежто и впрямь мне второй НАТ запускать надо? Одним ни как не обойтись?
Правка | Высказать мнение | Ответить | Cообщить модератору | Наверх

2. "ipfw + natd почему-то не могу настроить redirect_port"  
Сообщение от Skif (??) on 02-Май-06, 10:36 
>https://www.opennet.ru/base/net/redirect.txt.html
>Нежто и впрямь мне второй НАТ запускать надо? Одним ни как не
>обойтись?

Да нет, не нужно. Изучите внимательнейшим образом свои правила ipfw. Убедитесь, что нигде нет предварительного запрета. Это Раз. Второе. Коннект на этот порт должен стоят после natd (правила divert). Убедитесь что так оно и есть(ipfw list + ipfw sh). Третье. Проверьте руками, что natd запущен действительно с параметром redirect_port (ps auxwww | grep natd).
В свое время я таким же способом стучался до своих терминалок. Кстати рекомендую. :). Поставьте Radmin  на терминальный сервер(лучше Citrix). Конектесь туда, а от туда уже через radmin по сетке. Я вообще публиковал приложение. Значительно, знаете ли траффик падает, да и тормозов гораздо меньше.
А если серьезно подходить к этому - то гораздо лучше поднять хотя бы простенький ppptp тунель на том же Poptop. На все провсе вместе с компиляцией уйдет 10-15 минут, но гемороя меньше, а секурность выше.

Правка | Высказать мнение | Ответить | Cообщить модератору | Наверх

4. "ipfw + natd почему-то не могу настроить redirect_port"  
Сообщение от Лвыч email(ok) on 02-Май-06, 11:04 
>Кстати рекомендую. :). Поставьте Radmin  на терминальный сервер(лучше Citrix). Конектесь туда,
>а от туда уже через radmin по сетке. Я вообще публиковал приложение.
Спасибо, можно ссылочку на это приложение? или хоя б где про что-то подобное почитать?


Правка | Высказать мнение | Ответить | Cообщить модератору | Наверх

3. "ipfw + natd почему-то не могу настроить redirect_port"  
Сообщение от Лвыч email(ok) on 02-Май-06, 11:00 
А ларчик просто открывался:
1) файл natd.conf должен заканчиваться пустой строкой (надо было rtfm внимательно читать, хотя, вот какого фига в man natd ни чего об этом не сказано, вот вопрос...)
2) надо было добавить вот такое правило в ipfw
${fwcmd} add pass tcp from ${ext_address} to 10.10.1.30 4899 setup
ибо, не смотря на то, что в man ipfw написано, что при попадении в правило divert перебор правил останавливается, на самом деле всё не так
3) кроме того, у меня в rc.firewall перед правилом про divert были написаны правила, которые на тему RFC1918, вот они-то жить-то и мешали... видимо... (хотя, это уже гон, но я на всякий случай опустил их по ниже)

короче, мораль - надо внимательней читать RTFM...

Правка | Высказать мнение | Ответить | Cообщить модератору | Наверх

Архив | Удалить

Индекс форумов | Темы | Пред. тема | След. тема
Оцените тред (1=ужас, 5=супер)? [ 1 | 2 | 3 | 4 | 5 ] [Рекомендовать для помещения в FAQ]




Спонсоры:
Inferno Solutions
Hosting by Hoster.ru
Хостинг:

Закладки на сайте
Проследить за страницей
Created 1996-2022 by Maxim Chirkov
Добавить, Поддержать, Вебмастеру