https://www.opennet.me/openforum/vsluhforumID10/4007.html Здравствуйте коллеги.<br><br>Изучаю работу пакетного фильтра PF в OpenBSD, после Linux немного напрягает<br>другая логика работы, но это терпимо, освоюсь.<br>Вопрос такой: изучая перенаправление соединения со шлюза в DMZ натолкнулся на такой<br>нюанс - если указать порт назначения через макрос, то пишет ошибку синтаксиса правила,<br>а если просто вбить цифру порта, то всё нормально.<br>Т.е.<br><br>www="11.22.33.44"<br>web_in="{ 80 }"<br><br>rdr on $ext_if inet proto tcp to $www port $web_in -&gt; $www port $web_in<br><br>При такой конструкции пишет ошибку синтаксиса, а вот при такой:<br><br>rdr on $ext_if inet proto tcp to $www port $web_in -&gt; $www port 80<br><br>всё в порядке. Это нормальное поведение или я что-то упустил из виду?<br><br>Спасибо.<br> https://www.opennet.me/openforum/vsluhforumID10/4007.html#14 Thu, 09 Oct 2008 16:29:34 GMT &gt;Погоди, а причем тут доменные имена? В firewall'е же ты не можешь <br>&gt;разбирать доменные имена. Тут ты прописываешь ТОЛЬКО адреса и порты. <br><br>Чтобы не раздувать ненужную полемику, скажу, что я понял советы Stalker-а, за что ему<br>большое спасибо. Он понял, что я хотел этим сказать, а я - что он советовал. <br><br>&gt;[оверквотинг удален]<br>&gt;<br>&gt;как firewall в твоих правилах поймет, что один пакет на 80ом порту <br>&gt;для одного домена, а другой для другого? <br>&gt;<br>&gt;Эта задача совершенно не для firewall'а. <br>&gt;<br>&gt;Я например это решаю с помощью nginx, в роли reverse proxy. <br>&gt;То есть все что приходит на 80 порт сваливается в него, а <br>&gt;он уже в зависимости от доменного имени форвардит на нужный внутренний <br>&gt;сервер (в моем случае в jail) <br><br>Спасибо за Ваш совет, я учту его как вариант.<br> https://www.opennet.me/openforum/vsluhforumID10/4007.html#13 Thu, 09 Oct 2008 15:32:34 GMT <br>&gt;Спасибо. <br>&gt;А если ситуация такая, что у меня 2 (3, 4, 5) Web-серверов <br>&gt;в DMZ, у каждого свой <br>&gt;реальный адрес и своё доменное имя? В таком случае Ваше правило не <br>&gt;поможет, наверное. <br><br>Погоди, а причем тут доменные имена? В firewall'е же ты не можешь разбирать доменные имена. Тут ты прописываешь ТОЛЬКО адреса и порты.<br><br>&gt;web1_ip="11.22.33.44" <br>&gt;web2_ip="22.33.44.55" <br>&gt;web3_ip="33.44.55.66" <br>&gt;web_in="{ 80, 443 }" <br>&gt;rdr on $ext_if inet proto tcp from any to $web1_ip port $web_in -&gt; $web1_ip<br>&gt;rdr on $ext_if inet proto tcp from any to $web2_ip port $web_in -&gt; $web2_ip<br>&gt;rdr on $ext_if inet proto tcp from any to $web3_ip port $web_in -&gt; $web3_ip<br><br>как firewall в твоих правилах поймет, что один пакет на 80ом порту для одного домена, а другой для другого?<br><br>Эта задача совершенно не для firewall'а.<br><br>Я например это решаю с помощью nginx, в роли reverse proxy.<br>То есть все что приходит на 80 порт сваливается в него, а он уже в зависимости от доменного имени форвардит на нужный внутренний сервер (в мое https://www.opennet.me/openforum/vsluhforumID10/4007.html#12 Thu, 09 Oct 2008 12:29:13 GMT &gt;Ну раз адреса у этих web серверов адреса маршрутизируемые алреса то и <br>&gt;rdr-правила для них не нужны. <br>&gt;Все должно решиться правилами фильтрации. <br><br>Спасибо за советы!<br>Буду пробовать.<br> https://www.opennet.me/openforum/vsluhforumID10/4007.html#11 Thu, 09 Oct 2008 12:26:57 GMT &gt;[оверквотинг удален]<br>&gt;<br>&gt;будет ожидать на своём адресе, но находясь в DMZ они не имеют <br>&gt;прямого соединения <br>&gt;с интернетом, к ним нужно разрешить доступ. Вот и задача, контролировать доступ <br>&gt;к ним <br>&gt;на шлюзе. Это не пул одинаковых серверов, это совершенно разные сервера-сайты, не <br>&gt;<br>&gt;являющиеся виртуальными хостингами. 1 адрес -&gt; 1 сервер -&gt; 1 доменное имя.<br>&gt;Хотелось бы грамотно организовать к ним доступ. Вот, в принципе и вся <br>&gt;задача. <br><br>Ну раз адреса у этих web серверов адреса маршрутизируемые алреса то и rdr-правила для них не нужны.<br>Все должно решиться правилами фильтрации.<br><br> https://www.opennet.me/openforum/vsluhforumID10/4007.html#10 Thu, 09 Oct 2008 11:30:29 GMT &gt;Во вторых в вашем случае ( если я все правильно понял ) <br>&gt;нужно организовать пул адресов что запросы приходящие на на шлюз по <br>&gt;портам www_in равномерно распределялись между вашими web серверами. <br>&gt;А вообще-то для разъяснения ситуации хотелось бы услышать стоящую задачу поподробней <br><br>Нет, постараюсь объяснить.<br>Есть шлюз, есть web-сервера, каждый из которых имеет свой реальный адрес (маршрутизируемый),<br>web-сервера находятся в DMZ. На каждый из web-серверов имеется соответствующая запись<br>в DNS. Нужно просто контролировать и пропускать трафик на шлюзе, предназначенный для<br>этих серверов. Также имеется LAN, где обитают фейковые адреса машин, которым также нужно<br>иметь доступ в DMZ и в интернет.<br>Примерно такая ситуация:<br><br>ext_if="rl0" # Наш внешний интерфейс<br>lan_if="rl1" # Наш интерфейс в LAN<br>dmz_if="rl2" # Наш интерфейс в DMZ<br>ext_ip="11.22.33.99" # Адрес на внешнем интерфейсе<br>lan_net="192.168.1.0/24" # Внутренняя сетка<br>dmz_net="11.22.33.0/ https://www.opennet.me/openforum/vsluhforumID10/4007.html#9 Thu, 09 Oct 2008 11:03:27 GMT &gt;web1_ip="11.22.33.44" <br>&gt;web2_ip="22.33.44.55" <br>&gt;web3_ip="33.44.55.66" <br>&gt;web_in="{ 80, 443 }" <br>&gt;rdr on $ext_if inet proto tcp from any to $web1_ip port $web_in -&gt; $web1_ip<br>&gt;rdr on $ext_if inet proto tcp from any to $web2_ip port $web_in -&gt; $web2_ip<br>&gt;rdr on $ext_if inet proto tcp from any to $web3_ip port $web_in -&gt; $web3_ip<br>&gt;<br>&gt;Ну и соответствующие правила фильтра. Так будет верно? <br><br>Неверно.<br>Во первых я уже сказал что rdr правила используются для port forwarding'а с одной машины на другую, т.е. после to должен стоять ip адрес машины на которую приходят запросы ( например адрес шлюза ) а после -&gt; ip адрес машины на которую нужно трафик переправить по соответствующим портам<br><br>Во вторых в вашем случае ( если я все правильно понял ) нужно организовать пул адресов что запросы приходящие на на шлюз по портам www_in равномерно распределялись между вашими web серверами.<br><br>А вообще-то для разъяснения ситуации хотелось бы услышать стоящую задачу поподробней<br><br><br> https://www.opennet.me/openforum/vsluhforumID10/4007.html#8 Thu, 09 Oct 2008 10:41:00 GMT &gt;Если вы редиректите со шлюза в DMZ то rdr правило должно быть <br>&gt;вида <br>&gt;<br>&gt;rdr on значение_$ext_if inet proto tcp from any to IP_ШЛЮЗА port $www_in -&gt; IP_ПК_в_DMZ<br><br>Спасибо.<br>А если ситуация такая, что у меня 2 (3, 4, 5) Web-серверов в DMZ, у каждого свой<br>реальный адрес и своё доменное имя? В таком случае Ваше правило не поможет, наверное.<br>Как быть в такой ситуации?<br>Или описывать всё-таки каждым правилом именно адресованное каждому персонально<br>web-серверу, что логичнее?<br><br>web1_ip="11.22.33.44"<br>web2_ip="22.33.44.55"<br>web3_ip="33.44.55.66"<br>web_in="{ 80, 443 }"<br>rdr on $ext_if inet proto tcp from any to $web1_ip port $web_in -&gt; $web1_ip<br>rdr on $ext_if inet proto tcp from any to $web2_ip port $web_in -&gt; $web2_ip<br>rdr on $ext_if inet proto tcp from any to $web3_ip port $web_in -&gt; $web3_ip<br><br>Ну и соответствующие правила фильтра. Так будет верно?<br> https://www.opennet.me/openforum/vsluhforumID10/4007.html#7 Thu, 09 Oct 2008 10:29:19 GMT Если вы редиректите со шлюза в DMZ то rdr правило должно быть вида<br><br>rdr on значение_$ext_if inet proto tcp from any to IP_ШЛЮЗА port $www_in -&gt; IP_ПК_в_DMZ<br><br><br><br> https://www.opennet.me/openforum/vsluhforumID10/4007.html#6 Thu, 09 Oct 2008 08:49:52 GMT &gt;[оверквотинг удален]<br>&gt;rdr on значение_$ext_if inet proto tcp from any to значение_$www port 443 -&gt; значение_$www<br>&gt;<br>&gt;Оговорки следующие: <br>&gt;<br>&gt;Обычно port forwarding используется для перенаправления траффика приходящего на определенные порты с <br>&gt;одной машины на другую ( например со шлюза на сервер во <br>&gt;внутренней сети ) <br>&gt;<br>&gt;И это явно не про ваше правило т.к. вы хотите перенаправлять траффик <br>&gt;которфй и так идет куда надо. <br><br>Видимо так. Просто пока не нашёл иного способа перенаправлять трафик со шлюза<br>в DMZ. Может быть просто ограничиться разрешающими правилами фильтра?<br>А маршрутизировать запросы тогда как? Пока голова идёт кругом от нового :)<br>