The OpenNET Project / Index page

[ новости /+++ | форум | теги | ]

форумы  помощь  поиск  регистрация  майллист  вход/выход  слежка  RSS
"FreeBSD ipfw"
Вариант для распечатки  
Пред. тема | След. тема 
Форумы Информационная безопасность (Public)
Изначальное сообщение [ Отслеживать ]

"FreeBSD ipfw"  +/
Сообщение от kbu email(ok) on 29-Сен-09, 19:04 
Ситуация следущая:есть сервак FreeBSD на котором вертится сервер pptp,есть ноут с которого надо по pptp попадать в сетку за серваком FreeBSD..В сеть я попадаю,но ни одну машину не могу пропингать в том числе и сам сервак по внутреннему адреса(по внешнему могу),адрес внутренний получаю...вот правила ipfw может кто подскажет что не учтено?


add 00100 allow ip from any to any via lo0
add 00150 allow ip from any to any 22
add 00200 deny ip from any to 127.0.0.0/8
add 00300 deny ip from 127.0.0.0/8 to any
add 00400 deny log ip from 192.168.110.0/24 to any in via rl0
add 00500 deny log ip from vnew_poset_servera/30 to any in via xl0
add 00700 deny log ip from any to 10.0.0.0/8 via rl0
add 00800 deny log ip from any to 172.16.0.0/12 via rl0
add 00850 allow ip from any to 192.168.79.86/30 via rl0
add 00855 allow ip from 192.168.79.86 to 192.168.110.0/24 via rl0
add 00900 deny log ip from any to 192.168.0.0/16 via rl0
add 01000 deny log ip from any to 0.0.0.0/8 via rl0
add 01100 deny log ip from any to 169.254.0.0/16 via rl0
add 01200 deny log ip from any to 192.0.2.0/24 via rl0
add 01300 deny log ip from any to 198.18.0.0/15 via rl0
add 01400 deny log ip from any to 224.0.0.0/4 via rl0
add 01500 deny log ip from any to 240.0.0.0/4 via rl0
add 01550 fwd 127.0.0.1,3128 tcp from any to any 80 out recv xl0 xmit rl0
add 01600 divert 8668 ip from any to any via rl0
add 01700 deny log ip from 10.0.0.0/8 to any via rl0
add 01800 deny log ip from 172.16.0.0/12 to any via rl0
add 01900 deny log ip from 192.168.0.0/16 to any via rl0
add 02000 deny log ip from 0.0.0.0/8 to any via rl0
add 02100 deny log ip from 169.254.0.0/16 to any via rl0
add 02200 deny log ip from 192.0.2.0/24 to any via rl0
add 02300 deny log ip from 198.18.0.0/15 to any via rl0
add 02400 deny log ip from 224.0.0.0/4 to any via rl0
add 02500 deny log ip from 240.0.0.0/4 to any via rl0
add 02600 allow ip from any to any via xl0
add 02700 allow ip from vnew_poset_servera /30 to any out via rl0
add 02800 deny log ip from any to any out via rl0
add 02900 allow tcp from any to any established
add 03000 allow ip from any to any frag
add 03200 allow tcp from any to ip_server dst-port 25 setup in via rl0
add 03201 allow 47 from any to ip_server in via rl0
add 03202 allow 47 from vnew_poset_servera /30 to any out via rl0
add 03203 allow tcp from any to ip_server dst-port 1723 setup in via rl0
#add 03204 allow ip from 192.168.110.220 to 192.168.110.0/24 setup in via xl0
add 03205 allow tcp from any to ip_server dst-port 22150 setup in via rl0
add 03206 allow tcp from any to 192.168.110.2 dst-port 60000 setup via xl0
add 03207 deny tcp from any to ip_server dst-port 22 setup in via rl0
add 04300 deny tcp from any to ip_server dst-port 113 setup in via rl0
add 04400 deny tcp from any to ip_server dst-port 139 setup in via rl0
add 04500 deny tcp from any to ip_server dst-port 389 setup in via rl0
add 04600 deny tcp from any to ip_server dst-port 445 setup in via rl0
add 04700 deny udp from any 137 to any in via rl0
add 04800 deny udp from any to any dst-port 137 in via rl0
add 04900 deny udp from any 138 to any in via rl0
add 05000 deny udp from any 513 to any in via rl0
add 05100 deny udp from any 525 to any in via rl0
add 05200 allow udp from any 53 to ip_server in via rl0
add 05300 allow udp from any 123 to ip_server in via rl0
add 05400 allow udp from any to ip_server dst-port 53 in via rl0
add 05500 allow udp from any to ip_server dst-port 1194 in via rl0
add 05600 deny udp from any to ip_server dst-port 123 in via rl0
add 05700 unreach port udp from any to ip_server dst-port 33435-33524 in via rl0
add 05800 allow icmp from any to any in via rl0 icmptypes 0,3,4,8,11
add 05900 deny ip from any to 255.255.255.255
add 65534 deny log ip from any to any
add 65535 allow ip from any to any

Помогите плиз...

Высказать мнение | Ответить | Правка | Cообщить модератору

Оглавление

  • FreeBSD ipfw, kbu, 18:24 , 30-Сен-09, (1)  
    • FreeBSD ipfw, Slavaz, 18:48 , 30-Сен-09, (2)  
      • FreeBSD ipfw, kbu, 21:31 , 30-Сен-09, (3)  
        • FreeBSD ipfw, kbu, 21:31 , 02-Окт-09, (4)  

Сообщения по теме [Сортировка по времени | RSS]


1. "FreeBSD ipfw"  +/
Сообщение от kbu email(ok) on 30-Сен-09, 18:24 
Неужели ни у кого нет вариантов??
Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

2. "FreeBSD ipfw"  +/
Сообщение от Slavaz (ok) on 30-Сен-09, 18:48 
>Неужели ни у кого нет вариантов??

Эм.. не бсдишник, поэтому глупость скажу, наверное:)

Проверьте, работает ли оно с пустыми правилами ipfw. Если работает - просто сделайте бинарный поиск по правилам:)

Сначала закоментарьте вторую половину списка правил и проверьте. Если не заработало - комментарьте половину от незакомментаренной половины. Если заработало - раскомментарьте первую половину от второй закомментаренной половины. Буквально пару итераций - и будет найдено кривое правило.

Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

3. "FreeBSD ipfw"  +/
Сообщение от kbu email(ok) on 30-Сен-09, 21:31 
>[оверквотинг удален]
>
>Эм.. не бсдишник, поэтому глупость скажу, наверное:)
>
>Проверьте, работает ли оно с пустыми правилами ipfw. Если работает - просто
>сделайте бинарный поиск по правилам:)
>
>Сначала закоментарьте вторую половину списка правил и проверьте. Если не заработало -
>комментарьте половину от незакомментаренной половины. Если заработало - раскомментарьте первую половину
>от второй закомментаренной половины. Буквально пару итераций - и будет найдено
>кривое правило.

дело в том,что с опущенным фаером работает...вот только где бок в правилах...а удаленно играться с фаерволом-это к поездке на офис))
Может кто еще что скажет?

Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

4. "FreeBSD ipfw"  +/
Сообщение от kbu email(ok) on 02-Окт-09, 21:31 
Проблема решена!
Если кому интересно-не хватало правила
add xxxxx allow ip 192.168.110.0/24 to 192.168.110.220 setup out via rl0
ФФсем спасибо!
Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

Архив | Удалить

Индекс форумов | Темы | Пред. тема | След. тема




Партнёры:
PostgresPro
Inferno Solutions
Hosting by Hoster.ru
Хостинг:

Закладки на сайте
Проследить за страницей
Created 1996-2024 by Maxim Chirkov
Добавить, Поддержать, Вебмастеру