https://www.opennet.ru/openforum/vsluhforumID10/4970.html Добрый день всем.<br>Имеем FreeBSD 8.2+ipfw, правила следующие:<br><br># ipfw list<br>00100 allow ip from any to any via lo0<br>00200 deny ip from any to 127.0.0.0/8<br>00300 deny ip from 127.0.0.0/8 to any<br>00400 deny ip from any to ::1<br>00500 deny ip from ::1 to any<br>00600 allow ipv6-icmp from :: to ff02::/16<br>00700 allow ipv6-icmp from fe80::/10 to fe80::/10<br>00800 allow ipv6-icmp from fe80::/10 to ff02::/16<br>00900 allow ipv6-icmp from any to any ip6 icmp6types 1<br>01000 allow ipv6-icmp from any to any ip6 icmp6types 2,135,136<br>01100 allow ip from any to any via lo0<br>01200 check-state<br>01300 divert 8668 tcp from 192.168.0.0/16 to any dst-port 22,25,110,143,465,587,993,995,7000,7001,7005 out xmit bce1 recv bce0 keep-state<br>01400 divert 8668 udp from 192.168.0.0/16 to any dst-port 7000,7001,7005 out xmit bce1 recv bce0 keep-state<br>01500 divert 8668 ip from 192.168.89.8,192.168.89.254 to any out xmit bce1 recv bce0 keep-state<br>01600 allow ip from 192.168.0.0/16 to 192.168.0.0/16 via bce0 setup keep-state<br>01700 allow ip f https://www.opennet.ru/openforum/vsluhforumID10/4970.html#5 Thu, 24 Nov 2011 04:50:31 GMT Решил проблему следующим набором правил:<br><br>add allow icmp from any to any<br><br>add check-state<br>add divert natd tcp from 192.168.0.0/16 to any 22,25,110,143,465,587,993,995,7000,7001,7005 out xmit bce1 keep-state<br>add divert natd udp from 192.168.0.0/16 to any 7000,7001,7005 out xmit bce1 keep-state<br>add divert natd ip from 192.168.89.8/32,192.168.89.254/32 to any out xmit bce1 keep-state<br>add deny ip from any to any frag<br>add deny tcp from any to any established<br><br># боимся непонятного<br>add deny ip from any to 192.168.0.0/16 in recv bce1<br>add deny ip from 192.168.0.0/16 to any in recv bce1<br>add deny ip from any to 172.16.0.0/12 in recv bce1<br>add deny ip from 172.16.0.0/12 to any in recv bce1<br>add deny ip from any to 10.0.0.0/8 in recv bce1<br>add deny ip from 10.0.0.0/8 to any in recv bce1<br>add deny ip from any to 169.254.0.0/16 in recv bce1<br>add deny ip from 169.254.0.0/16 to any in recv bce1<br><br>add allow tcp from any to any ssh setup keep-state<br>add allow tcp from any to XXX.XXX.XXX.66 53 setup keep-state<br>ad https://www.opennet.ru/openforum/vsluhforumID10/4970.html#4 Mon, 21 Nov 2011 07:32:08 GMT &gt;&gt; Спасибо за ссылку, конечно, но это я уже делал и сам. Насколько <br>&gt;&gt; я понял, правило &#8470; 02200 лишнее. Удалил, работает, но всё равно <br>&gt;&gt; ругается, хотя и реже.<br>&gt; если используется нат в режиме дени-инкомингс - то keep-state не нужен.<br>&gt; keep-state нужен только для исходящих во вне, причем преимущественно "наружу". Потому что <br>&gt; смысл его -создать динамическое правило "в обратную сторону".<br><br>Тоже ломал голову, что за записи ... Потом остыл, так как работает.<br>Но вопрос остался.<br><br>Правила простые, NAT-а нет.<br><br>00100 check-state<br>00200 allow tcp from any to any established<br>00300 allow ip from any to any via lo0<br>00400 deny log ip from any to any not verrevpath in via em0<br>00500 deny tcp from table(5) to me dst-port 25<br>00600 allow tcp from table(3) to me dst-port 22 setup<br>01000 allow icmp from any to any<br>01100 allow tcp from table(3) to me dst-port 21 setup<br>01200 allow tcp from any to me dst-port 49152-65535 setup<br>01400 allow tcp from any to me dst-port 25 setup<br>01500 allow tcp from any to m https://www.opennet.ru/openforum/vsluhforumID10/4970.html#3 Sat, 19 Nov 2011 07:10:18 GMT &gt; Спасибо за ссылку, конечно, но это я уже делал и сам. Насколько <br>&gt; я понял, правило &#8470; 02200 лишнее. Удалил, работает, но всё равно <br>&gt; ругается, хотя и реже.<br><br>если используется нат в режиме дени-инкомингс - то keep-state не нужен.<br>keep-state нужен только для исходящих во вне, причем преимущественно "наружу". Потому что смысл его -создать динамическое правило "в обратную сторону".<br><br> https://www.opennet.ru/openforum/vsluhforumID10/4970.html#2 Fri, 18 Nov 2011 23:42:54 GMT Спасибо за ссылку, конечно, но это я уже делал и сам. Насколько я понял, правило &#8470; 02200 лишнее. Удалил, работает, но всё равно ругается, хотя и реже.<br> https://www.opennet.ru/openforum/vsluhforumID10/4970.html#1 Fri, 18 Nov 2011 16:14:50 GMT &gt;[оверквотинг удален]<br>&gt; 02100 allow ip from any to any out xmit bce1 setup keep-state <br>&gt; 02200 allow ip from any to any out xmit bce0 setup keep-state <br>&gt; 02300 allow ip from any to XXX.XXX.XXX.66 dst-port 53 keep-state <br>&gt; 02400 allow tcp from any to XXX.XXX.XXX.68 dst-port 20,21,80,443 setup keep-state <br>&gt; 02500 allow tcp from any to XXX.XXX.XXX.69 dst-port 443,5222,5223 setup keep-state <br>&gt; 02600 allow icmp from any to any keep-state <br>&gt; 02700 deny log ip from any to any <br>&gt; IPFW работает, но ругается в консоль: <br>&gt; ipfw: ipfw_install_state: entry already present, done <br>&gt; В чём я не прав?<br><br>http://www.google.ru/search?hl=ru&source=hp&biw=1235&bih=437&q=ipfw%3A+ipfw_install_state%3A+entry+already+present%2C+done&gbv=2&oq=ipfw%3A+ipfw_install_state%3A+entry+already+present%2C+done&aq=f&aqi=&aql=&gs_sm=e&gs_upl=1904l1904l0l2295l1l1l0l0l0l0l185l185l0.1l1l0<br>