Исходное сообщение
"IPFW порядок составления, прохождения правил с NAT. Пинги." Отправлено Evonder, 05-Май-18 12:46
И еще, можно пояснить по правилам 3000. Насколько я понимаю 3000 и 3001 запрещают системе отвечать на icmp запросы по подозрительным пингам, разхрешая только простое эхо, и только затем все остальные пакеты заруливаются на входящий нат и идут по правилам IPFW.  Видел примеры, где все IN пакеты по внешнему интерфейсу (кроме стандартных запрещающих правил для подсетей) заруливаются на нат первым же правилом. Насколько это принципиально и безопасно? Получается, что есть фильтрация входящих до nat и после nat.    Правила 3010-40 запрещают вход на служебные порты роутера, разрешая только доступ на веб сервер на роутере, и после этих правил по сути все разрешено на роутер на вход. $fwcmd 3999 allow all from any to any // inet in transit   Это правило разрешает весь трафик с инета в локалку после прохождения nat. а эти правила разрешают свободный выход в сеть. $fwcmd 5000 nat 1 all from any to any // inet out $fwcmd 5010 allow all from any to any // inet out Получается что клиент сети, может иниициировать любое соединение с внешним узлом, и фльтрация будет осуществляться лишь на входящих соединениях.   Поскольку в вин системах в основном используют как раньше и говорил запрещено все и вся,то тут как я вижу в основном используется разрешено все и вся, и лишь фильтрами убирается запрещенное. Какой подход более правильнй?