Добрый день!
есть конфиг
....
block all
pass out quick from 192.168.0.10 to any keep state

и он почему то не работает, если точнее - пакеты уходят, но не приходят, значит не работает keep state пробовал modulate state - таже ситуация.

Кто что может подсказать?

FreeBSD 6.2

• pf,Andrey, 14:04 , 07-Сен-07
  • pf,scaroot, 14:09 , 07-Сен-07
• pf,Lemegeton, 15:51 , 07-Сен-07
  • pf,scaroot, 17:30 , 07-Сен-07
• pf,ShyLion, 15:59 , 07-Сен-07
  • pf,scaroot, 17:29 , 07-Сен-07
    • pf,niksonnnn, 17:36 , 07-Сен-07
      • pf,scaroot, 18:00 , 07-Сен-07
        • pf,reader, 22:02 , 07-Сен-07
          • pf,reader, 22:42 , 07-Сен-07
            • pf,niksonnnn, 09:56 , 10-Сен-07
              • pf,scaroot, 16:15 , 10-Сен-07
                • pf,niksonnnn, 17:41 , 10-Сен-07

block all
pass in on rl0 from 192.168.0.10 to any keep state

rl0 - внутренний интерфейс

а пакеты уходят на внешнюю сеть? если да, то нужен nat.

>block all
>pass in on rl0 from 192.168.0.10 to any keep state
>
>rl0 - внутренний интерфейс
>
>а пакеты уходят на внешнюю сеть? если да, то нужен nat.

нат есть, при pass quick from any to any инет у всех работает и все в порядке.

>[оверквотинг удален]
>pass out quick from 192.168.0.10 to any keep state
>
>и он почему то не работает, если точнее - пакеты уходят, но
>не приходят, значит не работает keep state пробовал modulate state -
>таже ситуация.
>
>Кто что может подсказать?
>
>
>FreeBSD 6.2

Попробуйте убрать ключевое слово quick.

block all
pass out from xxx.xxx.xxx.xxx to any keep state

>[оверквотинг удален]
>>
>>Кто что может подсказать?
>>
>>
>>FreeBSD 6.2
>
>Попробуйте убрать ключевое слово quick.
>
>block all
>pass out from xxx.xxx.xxx.xxx to any keep state

не работает, не в квике здесь дело.

>[оверквотинг удален]
>pass out quick from 192.168.0.10 to any keep state
>
>и он почему то не работает, если точнее - пакеты уходят, но
>не приходят, значит не работает keep state пробовал modulate state -
>таже ситуация.
>
>Кто что может подсказать?
>
>
>FreeBSD 6.2

попробуй
pass out quick proto tcp from 192.168.0.10 to any keep state
pass out quick proto { udp,icmp } from 192.168.0.10 to any keep state

>[оверквотинг удален]
>>
>>Кто что может подсказать?
>>
>>
>>FreeBSD 6.2
>
>попробуй
>pass out quick proto tcp from 192.168.0.10 to any keep state
>pass out quick proto { udp,icmp } from 192.168.0.10 to any keep
>state

не работает

>[оверквотинг удален]
>>>
>>>
>>>FreeBSD 6.2
>>
>>попробуй
>>pass out quick proto tcp from 192.168.0.10 to any keep state
>>pass out quick proto { udp,icmp } from 192.168.0.10 to any keep
>>state
>
>не работает

приведите весь конфиг....

Телепаты в отпуске

     # Macros
#if_out="rl0"
#if_in="rl1"
#ip_out="ip"
#ip_in="192.168.0.1"
#in_net="192.168.0.0/24"
users="{ 192.168.0.100, 192.168.0.12, 192.168.0.10, 192.168.0.41, 192.168.0.13, 192.168.0.138, 192.168.0.3, 192.168.0.57, 192.168.0.2,192.168.0.18, 192.168.0.
#mail_port="{25,110}"
#icq_port="5190"
#all_port="{ 25, 110, 137, 138, 139, 443, 5190, 80 }"
#udp_port="53"
set block-policy drop
        # Packet normaliZe
scrub in all
        # Nat
nat on rl0 from rl1:network to any -> ip
        # Rules
set skip on lo0
#pass quick all
block all
#block quick from freegames.zone.com to any
#block quick from {ua2.infostore.org,2s-49.colo1.kv.wnet.ua,games.kievnet.com.ua} to any
#block quick from any to {ua2.infostore.org,2s-49.colo1.kv.wnet.ua,games.kievnet.com.ua}
#block in quick from any to 192.168.0.150
#block out quick from 192.168.0.150 to any

pass quick from any to any
pass quick from ip to any
pass quick proto tcp from 192.168.0.0/24 to 192.168.0.1 port 21
pass quick proto tcp from any to ip port 21

ip = внешний апишник

>[оверквотинг удален]
>set skip on lo0
>#pass quick all
>block all
>#block quick from freegames.zone.com to any
>#block quick from {ua2.infostore.org,2s-49.colo1.kv.wnet.ua,games.kievnet.com.ua} to any
>#block quick from any to {ua2.infostore.org,2s-49.colo1.kv.wnet.ua,games.kievnet.com.ua}
>#block in quick from any to 192.168.0.150
>#block out quick from 192.168.0.150 to any
>
>pass quick from any to any

если это правило убрать, то не вижу что разрешит с 192.168.0.1 в 192.168.0.0/24

pass quick from ip to any
pass quick proto tcp from 192.168.0.0/24 to 192.168.0.1 port 21
pass quick proto tcp from any to ip port 21

ip = внешний апишник

или не это правило убираете?

Хотя не понятно куда вы обращаетесь с 192.168.0.10.
Если в инет, то ответы разрешены только на 21 порт, если убрать pass quick from any to any.  

>Хотя не понятно куда вы обращаетесь с 192.168.0.10.
>Если в инет, то ответы разрешены только на 21 порт, если убрать
>pass quick from any to any.

Вот скажите зачем Вам pf?
Вы читали мануал к нему?

Если честно, то я не увидел логики в вашем конфиге....
Почему всё закоментировано?

Посмотрите пример конфигурационного файла и идите от простого к сложному...

>Вот скажите зачем Вам pf?

для организации нат + фильтрации пакетов
>Вы читали мануал к нему?

да и неединожды
>Если честно, то я не увидел логики в вашем конфиге....
>Почему всё закоментировано?

потому что тестию, а так мне проще
>Посмотрите пример конфигурационного файла и идите от простого к сложному...

смотрел.

Все же на вопрос я так ответа и не увидел.
Зачем умничать если ответа дать не можете ?

>>Вот скажите зачем Вам pf?
>
>для организации нат + фильтрации пакетов
>>Вы читали мануал к нему?
>
>да и неединожды

Видимо не очень внимательно

>>Если честно, то я не увидел логики в вашем конфиге....
>>Почему всё закоментировано?
>
>потому что тестию, а так мне проще

Закоментировав НЕОБХОДИМЫЙ минимум вы хотите заставить работать сей фильтр?

>>Посмотрите пример конфигурационного файла и идите от простого к сложному...
>
>смотрел.
>
>
>Все же на вопрос я так ответа и не увидел.
>Зачем умничать если ответа дать не можете ?

Я не умничаю... всё сказанное лишь мое ИМХО... и не объяснив толком ничего Вы будете всегда в проигрыше ))))

Вот пример конфига РЕАЛЬНО работающего:

proxy# cat /etc/pf.conf

# Macros
ext_if="ETHERNET0"    # external interface name
int_if="ETHERNET0"    # internal interface name

lan_net="192.168.0.0/24"

external_addr1="EXTERNAL_IP1"

table <no_route> file "/var/db/nonat"

# Options: tune the behavior of pf, default values are given.
set timeout { interval 10, frag 30 }
set timeout { tcp.first 120, tcp.opening 30, tcp.established 86400 }
set timeout { tcp.closing 900, tcp.finwait 45, tcp.closed 90 }
set timeout { udp.first 60, udp.single 30, udp.multiple 60 }
set timeout { icmp.first 20, icmp.error 10 }
set timeout { other.first 60, other.single 30, other.multiple 60 }
set timeout { adaptive.start 0, adaptive.end 0 }
set limit { states 10000, frags 5000 }
set loginterface none
set optimization normal
set block-policy drop
set require-order yes
set fingerprints "/etc/pf.os"

scrub in all

nat on $ext_if from $lan_net to any -> $external_addr1
no nat on $ext_if from <no_route> to any port 80

pass in on $int_if all
pass out on $int_if all

pass  in  on $ext_if proto tcp from any  to $external_addr3 port 22 keep state
pass  out on $ext_if proto { tcp, udp } from  $lan_net keep state

block in on $ext_if all

P.S. Иногда полезно указывать ОЧЕНЬ ПОДРОБНО куда, кому и как... это ведь пакетный фильтр... Обратите внимание, что я указал КОНКРЕТНЫЕ интерфейсы.

Желаю Вам удачи в освоении (лично мое ИМХО) одного из самых лучших, простых, надежных, удобных и просто красивых PF)))