Исходное сообщение
"ограничение доступа и вип клиенты" Отправлено flangel, 05-Май-09 14:24
такая ситуация: есть локальная сеть 192.168.1.0/24 есть городская сеть 10.0.0.0/8 есть сервер на freebsd 7.1 c ipfw + natd ip: 192.168.1.1 и 10.110.73.130 соответсвенно есть список клиентов в table(1) которым разрешен весь интернет остальным позволена только городская сеть вот правила: #!/bin/sh FwCMD="/sbin/ipfw" # собственно где лежит бинарник ipfw LanOut="xl1"            # внешний интерфейс LanIn="xl0"            # внутренний интерфейс IpOut="10.110.73.130" # внешний IP адрес машины IpIn="192.168.1.1"   # внутренний IP машины NetMask="24"            # маска сети (если она разная для внешней                         # и внутренней сети - придётся вводить ещё                         # одну переменную, но самое забавное, что                         # можно и забить - оставить 24 - всё будет                         # работать, по крайней мере я пробовал -                         # работаало на 4-х машинах, в разных сетях,                         # с разными масками - настоящими разными! но -                         # это неправильно.) NetIn="192.168.1.0"    # Внутренняя сеть NetOut="10.0.0.0"    #Городская сеть NetOutMask="8"        #маска городской сети # Сбрасываем все правила: ${FwCMD} -f flush #таблица с разрешенными адресами: ${FwCMD} table 1 add 192.168.1.1 ${FwCMD} table 1 add 192.168.1.99 ${FwCMD} table 1 add 192.168.1.100 ${FwCMD} table 1 add 192.168.1.11 ${FwCMD} table 1 add 192.168.1.12 # Проверяем - соответствует ли пакет динамическим правилам: ${FwCMD} add check-state # Разрешаем весь траффик по внутреннему интерфейсу (петле) # Вообще я во многих местах читал что без него может ничё не заработать вообще # и прочие страшилки. Работает - почта, апач, .... А вот squid - не работает :) # так что без него и правда - никуда. ${FwCMD} add allow ip from any to any via lo0 # пропускаем траффик через трансляцию сетевых адресов (NAT) ${FwCMD} add divert natd ip from ${NetIn}/${NetMask} to any out via ${LanOut} ${FwCMD} add divert natd ip from any to ${IpOut} in via ${LanOut} # разрешаем все установленные соединения (если они установились - # значит по каким-то правилам они проходили.) ${FwCMD} add allow tcp from any to any established # разрешаем весь исходящий траффик (серверу-то в инет можно? :)) ${FwCMD} add allow ip from ${IpOut} to any out xmit ${LanOut} # разрешаем весь tcp траффик внутри локалки (на внутреннем интерфейсе) ${FwCMD} add allow tcp from any to any via ${LanIn} # разрешаем весь udp траффик внутри локалки (на внутреннем интерфейсе) ${FwCMD} add allow udp from any to any via ${LanIn} # разрешаем весь icmp траффик внутри локалки (на внутреннем интерфейсе) ${FwCMD} add allow icmp from any to any via ${LanIn} #Разрешаем кому можно в интернет ${FwCMD} add allow ip from "table(1)" to any ${FwCMD} add allow ip from any to "table(1)" #разрешаем городскую сеть всем ${FwCMD} add allow ip from ${NetIn}/${NetMask} to ${NetOut}/${NetOutMask} ${FwCMD} add allow ip from ${NetOut}/${NetOutMask} to ${NetIn}/${NetMask} ${FwCMD} add deny ip from any to any но такой конфиг не работает :(  все равно всем можно в инет. Подскажите как сделать так что бы работало...