The OpenNET Project / Index page

[ новости /+++ | форум | wiki | теги | ]

форумы  помощь  поиск  регистрация  майллист  вход/выход  слежка  RSS
"Некоректно работает NAT ядра в Freebsd7"
Вариант для распечатки  
Пред. тема | След. тема 
Форумы OpenNET: Виртуальная конференция (Public)
Изначальное сообщение [ Отслеживать ]

"Некоректно работает NAT ядра в Freebsd7"  
Сообщение от KARDAN (ok) on 11-Ноя-08, 12:54 
Ядро собрано с:

############## IPFW - NAT ############################################
options         IPFIREWALL
options         IPFIREWALL_VERBOSE
options         IPFIREWALL_VERBOSE_LIMIT=100
options         IPFIREWALL_FORWARD
options         IPFIREWALL_DEFAULT_TO_ACCEPT
options         IPDIVERT
options         IPFIREWALL_NAT
############## IPFILTER ##############################################
options         IPFILTER
options         IPFILTER_LOG
options         DUMMYNET
######################################################################
############## PPPOE #################################################
options         LIBALIAS
options         NETGRAPH
options         NETGRAPH_SOCKET
options         NETGRAPH_IFACE
options         NETGRAPH_PPP
options         NETGRAPH_ETHER
options         NETGRAPH_PPPOE
######################################################################

в rc.conf :

################# IPFW ##########################################
firewall_enable="YES"
firewall_nat_enable="YES"
firewall_type="/etc/firewall.conf"
firewall_quiet="NO"
firewall_logging="YES"
#################################################################
#
################# NATD ##########################################
natd_enable="YES"
natd_program="/sbin/natd"
natd_interface="xxx.xx.xx.xx"
natd_flags="-u -m"              # mogno dobavit "-l" dlya loga
#################################################################

в firewall.conf :


# default in rc.firewall
add 00010 pass all from any to any via lo0
add 00011 deny all from any to 127.0.0.0/8
add 00012 deny ip from 127.0.0.0/8 to any

# anti-hack from outside
add 00013 deny ip from me to any in recv ng0

# ssh
add 01020 allow tcp from 192.168.1.0/24 to me 22 keep-state
add 01030 deny all from any to xxx.xx.xx.xx 22 in via ng0

# dns
add 02040 allow all from any to any 53
add 02041 allow all from any 53 to xxx.xx.xx.xx

# smtp
add 02060 allow all from xxx.xx.xx.xx 25 to any
add 02061 allow all from any to me 25
add 02062 deny log all from 192.168.0.0/16 to any 25

# nat
add 03000 divert natd all from 192.168.1.20/32 to not 192.168.0.0/16 out via ng0
add 03999 divert natd all from not 192.168.0.0/16 to xxx.xx.xx.xx in via ng0

#nat 123 config if ng0 log
#add 03000 nat 123 log ip4 from 192.168.1.20/32 to not 192.168.0.0/16 out via ng0
#add 03999 nat 123 log ip4 from not 192.168.0.0/16 to xxx.xx.xx.xx in via ng0


# http
add 04100 allow all from xxx.xx.xx.xx 80 to any
add 04101 allow all from any 80 to xxx.xx.xx.xx

# internal LAN
add 05001 allow all from any to any via nfe0
add 05002 allow all from any to any via re0
#add 05003 allow all from any to any via re1
#add 05004 allow all from any to any via lo0

add 05005 allow all from any to any via ng0

# deny all
add 64998 allow tcp from any to any established
add 64999 deny ip6 from any to any
add 65000 deny log all from any to any

то что показывает kldstat:
Id Refs Address    Size     Name
1    7 0xc0400000 5ffbcc   kernel
2    1 0xc0a00000 6921c    acpi.ko
3    1 0xc432e000 22000    linux.ko

в /var/run/dmesg.boot что касаеться ipfw:
ipfw2 (+ipv6) initialized, divert enabled, rule-based forwarding enabled, default to accept, logging limited to 100 packets/entry by default

Если фаервол использовать с natd - все работает на ура.
При использовании в фаерволе опций ната ядра:
nat 123 config if ng0 log
add 03000 nat 123 log ip4 from 192.168.1.20/32 to not 192.168.0.0/16 out via ng0
add 03999 nat 123 log ip4 from not 192.168.0.0/16 to xxx.xx.xx.xx in via ng0
пакеты уходят но не видно чтоб возвращались.
Пинг при таком раскладе работает, RDP тоже. При получении почты с внешнего почтовика соединение есть, получаю количество писем, но сами письма не получаються, сеанс висит в ожидании получения. Таже картина происходит с потоковым видео, соединение вроде происходит, но не получаю изображение.
в системе еще установлен ipnat.

Что подправить чтоб нат-ядра заработал?

Высказать мнение | Ответить | Правка | Cообщить модератору

 Оглавление

Сообщения по теме [Сортировка по времени | RSS]


1. "Некоректно работает NAT ядра в Freebsd7"  
Сообщение от rootaxe (ok) on 11-Ноя-08, 16:40 
>Что подправить чтоб нат-ядра заработал?

а так:

add nat 123 ip from x.x.x.x to any via внеш.интерфейс
add nat 123 ip from any to me via внеш.интерфейс
add nat 123 ip from any to any via внеш.интерфейс

Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

2. "Некоректно работает NAT ядра в Freebsd7"  
Сообщение от KARDAN (ok) on 11-Ноя-08, 18:32 
>add nat 123 ip from x.x.x.x to any via внеш.интерфейс
>add nat 123 ip from any to me via внеш.интерфейс
>add nat 123 ip from any to any via внеш.интерфейс

так тоже не хочет.

Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

3. "Некоректно работает NAT ядра в Freebsd7"  
Сообщение от GD on 12-Ноя-08, 01:04 
>Пинг при таком раскладе работает, RDP тоже. При получении почты с внешнего
>почтовика соединение есть, получаю количество писем, но сами письма не получаються,
>сеанс висит в ожидании получения. Таже картина происходит с потоковым видео,
>соединение вроде происходит, но не получаю изображение.
>в системе еще установлен ipnat.
>
>Что подправить чтоб нат-ядра заработал?

крутите mtu на ng0
наты тут ни при чем

Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

4. "Некоректно работает NAT ядра в Freebsd7"  
Сообщение от KARDAN (ok) on 12-Ноя-08, 10:50 
>крутите mtu на ng0
>наты тут ни при чем

Соединение с провайдером происходит с помощью mpd4 (pppoe), mpd.conf mtu=1500.
mtu уменшать или увеличивать?

Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

5. "Некоректно работает NAT ядра в Freebsd7"  
Сообщение от GD on 12-Ноя-08, 18:20 
>>крутите mtu на ng0
>>наты тут ни при чем
>
>Соединение с провайдером происходит с помощью mpd4 (pppoe), mpd.conf mtu=1500.
>mtu уменшать или увеличивать?

умньшать, видимо до 1460


Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

6. "Некоректно работает NAT ядра в Freebsd7"  
Сообщение от Gusev email on 26-Янв-09, 12:16 
>>>крутите mtu на ng0
>>>наты тут ни при чем
>>
>>Соединение с провайдером происходит с помощью mpd4 (pppoe), mpd.conf mtu=1500.
>>mtu уменшать или увеличивать?
>
>умньшать, видимо до 1460

У меня была подобная проблема с получением POP3/imap снаружи, но при включенном natd. Глубоко углубиться не успел т.к. все решилось использованием динамических правил для проблемных сервисов.
        ${fwcmd} add 10 pass all from any to any 143 setup keep-state

        ${fwcmd} add 11 pass all from any to any 110 setup keep-state

Если кто знает подробности почему так, поделитесь плз.

Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

7. "Некоректно работает NAT ядра в Freebsd7"  
Сообщение от Gusev email on 26-Янв-09, 12:21 
>[оверквотинг удален]
>У меня была подобная проблема с получением POP3/imap снаружи, но при включенном
>natd. Глубоко углубиться не успел т.к. все решилось использованием динамических правил
>для проблемных сервисов.
>        ${fwcmd} add 10 pass
>all from any to any 143 setup keep-state
>
>        ${fwcmd} add 11 pass
>all from any to any 110 setup keep-state
>
>Если кто знает подробности почему так, поделитесь плз.

О, у меня, сейчас прописано даже более того :
  ${fwcmd} add pass tcp  from me to any setup keep-state
  ${fwcmd} add pass udp  from me to any       keep-state
  ${fwcmd} add pass icmp from me to any       keep-state
что, конечно не очень хорошо, но работает.

Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

Архив | Удалить

Индекс форумов | Темы | Пред. тема | След. тема
Оцените тред (1=ужас, 5=супер)? [ 1 | 2 | 3 | 4 | 5 ] [Рекомендовать для помещения в FAQ]




Спонсоры:
PostgresPro
Inferno Solutions
Hosting by Hoster.ru
Хостинг:

Закладки на сайте
Проследить за страницей
Created 1996-2022 by Maxim Chirkov
Добавить, Поддержать, Вебмастеру