>1)почему add 35 nat ip from any to any via ${outinterface} ,
>а если я хочу чтоб не все пакеты попадали в нат? Если хочеш чтобы не все пакеты попали в нат опиши до правила ната
например если у тебя поднят веб сервер
allow tcp from any to me 80
allow tcp from me 80 to any
nat ip from any to any via ${outinterface}
>2)если net.inet.ip.fw.one_pass установлен в 1 то заворот на нат должен быть последним
>правилом т.е. все правила разрешения и запрета должны имет номера менше
>чем правило ната. Так как в етом случае пакет прекращает движение
>по фаерволу.
>
>Т.Е. в этом случае пакеты бегут по фаерволу в двазахода, сначало по
>внутреннему интерфейсу а потом по внешнему и я должен разршённые пакеты
>SkeepTo правило с натом, и на нате разрешаются к выходу? или
>они через allow тоже попадут в нат?
Немного не так если net.inet.ip.fw.one_pass установлен в 1 то когда пакет доходит до правила ната он уже не возвращается в фаервол т.е если после етого правила у тебя стоял запрет для етого пакета , то запрет работать не будет так как пакет уже уйдет из фаервола.
Короче говоря я всегда ставлю net.inet.ip.fw.one_pass=0 что и тебе советую
>А, где можно автоматом задать переменную net.inet.ip.fw.one_pass и можно ли её вкомпилить
>в ядро?
Можно в ядре, можно через sysctl, можно в файле loader.conf, но самый простой вариант ipfw disable one_pass
>на всякий случай входящий ип из вне будет выглядеть так?:
>ya.ru -> ${outhost} --> преобразование пакета по нат всоответствии с add 35 nat ip from >any to any via ${outinterface} (ип назначения поменен с {outhost} на (наример >${admcomp} а ип отправителя остался ya.ru или нет?))--> попадает на ipfw правила на >${intinterface} --> попадает на ${admcomp}
все правильно (ип отправителя остался ya.ru)
>или нетак?
