Обсуждение статьи тематического каталога: FreeBSD Создание моста-фильтра на основе FreeBSD. (freebsd bridge firewall filter route ipfw)

Ссылка на текст статьи: https://www.opennet.ru/base/net/FilterBridge.txt.html

• FreeBSD Создание моста-фильтра на основе FreeBSD. (freebsd bridge firewall filter route ipfw),доброжелатель, 03:03 , 27-Дек-03
• FreeBSD Создание моста-фильтра на основе FreeBSD. (freebsd bridge firewall filter route ipfw),доброжелатель, 03:22 , 27-Дек-03
  • FreeBSD Создание моста-фильтра на основе FreeBSD. (freebsd b...,butcher, 10:09 , 24-Фев-04
    • FreeBSD Создание моста-фильтра на основе FreeBSD. (freebsd b...,Spider, 21:31 , 15-Июл-05
• FreeBSD Создание моста-фильтра на основе FreeBSD. (freebsd bridge firewall filter route ipfw),Aleksei, 22:07 , 14-Фев-04
• FreeBSD Создание моста-фильтра на основе FreeBSD. (freebsd bridge firewall filter route ipfw),Spyshoper, 01:18 , 29-Фев-04
• FreeBSD Создание моста-фильтра на основе FreeBSD. (freebsd bridge firewall filter route ipfw),ALCOOL, 00:50 , 25-Май-04
• FreeBSD Создание моста-фильтра на основе FreeBSD. (freebsd bridge firewall filter route ipfw),Nerian, 14:05 , 05-Сен-04
• FreeBSD Создание моста-фильтра на основе FreeBSD. (freebsd bridge firewall filter route ipfw),Halt, 15:15 , 10-Окт-05
• FreeBSD Создание моста-фильтра на основе FreeBSD. (freebsd bridge firewall filter route ipfw),SekaTOP, 15:34 , 13-Окт-05
  • FreeBSD Создание моста-фильтра на основе FreeBSD. (freebsd b...,_Nick_, 21:24 , 13-Окт-05
    • FreeBSD Создание моста-фильтра на основе FreeBSD. (freebsd b...,SekaTOP, 11:39 , 14-Окт-05
      • FreeBSD Создание моста-фильтра на основе FreeBSD. (freebsd b...,_Nick_, 19:50 , 14-Окт-05
• FreeBSD Создание моста-фильтра на основе FreeBSD. (freebsd bridge firewall filter route ipfw),Yukka, 20:30 , 06-Сен-07
  • FreeBSD Создание моста-фильтра на основе FreeBSD. (freebsd b...,LM, 09:23 , 08-Сен-07
• FreeBSD Создание моста-фильтра на основе FreeBSD. (freebsd bridge firewall filter route ipfw),Yukka, 12:42 , 10-Сен-07
  • FreeBSD Создание моста-фильтра на основе FreeBSD. (freebsd b...,Yukka, 12:46 , 10-Сен-07
• FreeBSD Создание моста-фильтра на основе FreeBSD. (freebsd bridge firewall filter route ipfw),Wedmed, 13:49 , 22-Янв-08

Из http://info.iet.unipi.it/~luigi/ip_dummynet/
:
sysctl -w net.inet.ip.fw.one_pass=0
Forces a single pass through the firewall.
If set to 0, packets coming out of a pipe will
be reinjected into the firewall starting with
the rule after the matching one.
NOTE: there is always one pass for bridged packets.

Стало быть для мостиков shaper+bridge не канает...
И правда! По крайне мере до версии 4.8 так всё и есть, либо shaper, либо bridge.
Как там у вас проводились "примерные замеры производительности" без "замеров" работоспособности для меня остаётся загадкой =)))

ах да, незнаю как у Вас, а у меня дык с ARP'ом итак ффсё ништяк.
Без фсяких ipfw add 1 allow udp from 0.0.0.0 2054 to 0.0.0.0 более того,
с этим правилом у меня ВАЩЕ ни один пакет не совпал. ?!? странно =)))

это фича работала до 4.4 включительно, дальше (говорю про 4.7) её убрали.. маны читать нужно..

Как теперь фильтровать ETH?

interesno a mozno odnovremenno ispol'zovayt' most s marshrutizatorom, t.e. filtrovat' trafik dlja vneshnih IP provaidera i razdavat' inet po localke

прошу ответить на
вопрос. можно ли получить доступ(и как это настроить) по телнету к одному из
интерфейсов в
мосте одновременно из внешней и внутренней сети... просто у меня
возникла ситуация когда люди из внутринней сети могут пинговать
интерфейс(тот который с айпишником) а люди во внешней сети не могут.

смотри правила ipfw - где-то вкралась ошибка. И telnet - плохо. Юзай ssh

У меня тож такая проблема что истерфесй который с айпишником из внешней сети не пингуеться, в фаерволе я использую следующее правило:
ipfw -q add 1000 allow from any to any
Что можно сделать?

Handbook forever
пока не прописал в sysctl.conf:
net.link.ether.bridge_cfg=if1,if2
не заработало.

Вопрос: Можно ли на мосту создать статическую ARP таблицу привязки IP к MAC, чтобы непрописанные в ней юзеры не могли "пробиться" дальше моста.

>Вопрос: Можно ли на мосту создать статическую ARP таблицу привязки IP к
>MAC, чтобы непрописанные в ней юзеры не могли "пробиться" дальше моста.
>

вырубаешь ARP на интерфейсе и прописываешь статику.
Все. Танки не пройдут.

это и ежу понятно. Но в этом случае придется на клиентских машинах прописывать шлюзом IP интерфейса моста (хотя мост вполне может работать и без поднятого интерфейса), а на самом мосту прописывать gateway и запрещать доступ к нему в ipfw. В этом случае проще сразу поднимать роутер, а это сделать проблематично, т.к. нарушится структура действующей сети.
Необходимо на мосту сделать привязку клиетских IP к MAC и несоответствующие адреса не пускать дальше моста.
Есть идеи?

ok SekaTOP,

если серьезно, то сходу - ARPtables в Линухе.
Бздю я зыбыл 2 года назад, но ARPtables не пришлось попробовать.

Хочешь - поковыряй. Нет - я в саду %)

А как завернуть проходящий траффик на прокси?

>А как завернуть проходящий траффик на прокси?

google: squid transparent proxy

То что тебе надо назваеться прозрачный прокси

Все бы были такими умными. Во ФрееБСД в режиме бриджа не работает  ни ipfw divert ни ipfw forward. А теперь повторюсь:

>Все бы были такими умными. Во ФрееБСД в режиме бриджа не работает
> ни ipfw divert ни ipfw forward. А теперь повторюсь:

Как в режиме бриджа завернуть трафик на прокси?

в FreeBSD 6.2 команда
# sysctl -w net.link.ether.bridge=1
выдает ошибку
net.link.ether.bridge isn't a leaf node
вместо нее сейчас видимо
# sysctl -w net.link.ether.bridge.enable=1