> 1. Ваш нат прозрачен для внутреннего компа, поэтому в настройках браузера вы
> наверняка прописываете <адрес прокси провайдера>:<порт>, поэтому на внешенм интерфейсе
> первым правилом разрешите хождение от ip провайдера к вашему внешнему ip
> на xl0, вторым обратное прохождение, ну а третьим блокируйте всю внешнюю
> сетку на xl0...
> 2. Зачем вы свой dns повесили на внешку, оставьте на внутреннем адресе
> и сконфигурируйте его как форвард на dns провайдера, мне кажется dns
> провайдера совпадает с ip проксика... ,
> если же не совпадает, ну еще добавите разрешающие правила...Благодарю. Внутренний ДНС пока-что не поднимал, но обязательно займусь этим. Сейчас переписал фаервол. По Вашему совету сперва поставил два разрешающих правила, на прохождение транзитных пакетов от ИП адреса провайдера. В следующем виде:
#!/bin/sh
FwCMD="/sbin/ipfw -q"
LanOut="xl0"
LanIn="nfe0"
IpOut="192.168.0.115"
IpIn="10.0.15.1"
NetMaskIn="24"
NetMaskOut="23"
NetIn="10.0.15.0"
${FwCMD} -f flush
${FwCMD} add check-state
${FwCMD} add allow ip from any to any via lo0
${FwCMD} add deny ip from any to 127.0.0.0/8
${FwCMD} add deny ip from 127.0.0.0/8 to any
${FwCMD} add allow ip from any to 192.168.0.150 out via ${LanOut}
${FwCMD} add allow ip from any to 192.168.0.150 in via ${LanOut}
#${FwCMD} add allow ip from any to 192.168.0.151 out via ${LanOut}
#${FwCMD} add allow ip from any to 192.168.0.151 in via ${LanOut}
${FwCMD} add deny ip from any to 192.168.0.0/23 in via ${LanOut}
${FwCMD} add deny ip from any to 192.168.0.0/23 out via ${LanOut}
Ради эксперимента закомитил строчки с разрешением ИП адресов внешнего ДНС, и действительно запрет работает:
PING 192.168.0.151 (192.168.0.151): 56 data bytes
ping: sendto: Permission denied
ping: sendto: Permission denied
Но при попытке пропинговать ИП прокси провайдера возникает следующая проблема:
PING 192.168.0.150 (192.168.0.150): 56 data bytes
^C
--- 192.168.0.150 ping statistics ---
5 packets transmitted, 0 packets received, 100.0% packet loss
То-есть фаервол уже не запрещает прохождение пакетов по данному маршруту, но есть явная ошибка в синтаксисе написания правил разрешения ибо пакеты никуда не отправляются. Вот только как правильно указать это правило не могу ни как нагуглить. ((
Версия для распечатки
Ограничение доступа к NAT внешним IP адресам, 
Svetliy, 17-Июл-11, 03:43 [смотреть все]
