форумы  помощь  поиск  регистрация  майллист  ВХОД  слежка

Вариант для распечатки		Архивированная нить - только для чтения!  Пред. тема | След. тема
Форумы OpenNET: Виртуальная конференция (Public)
Изначальное сообщение		[Проследить за развитием треда]

"Как ограничить доступ всем кроме определённых Ip в freBSD  с..."
Сообщение от Gruzchik on 19-Ноя-02, 13:12  (MSK)
Проблема с настройкой сервера на freeBSD, может здесь уже было, я вроде искал... У меня есть 2 сетевых на сервере rl0 - локалка и ed0 иннет внутренний айпи сервера 192.168.0.200 правила ipfw выглядят следующим образом : 00050 divert 8668 ip from any to any via ed0 00100 allow ip from any to any via lo0 00200 deny ip from any to 127.0.0.0/8 00300 deny ip from 127.0.0.0/8 to any 00400 allow ip from 192.168.0.107 to any 00500 allow ip from any to 192.168.0.107 00600 allow tcp from 192.168.0.107 22 to 192.168.0.200 00700 allow tcp from 192.168.0.107 to 192.168.0.200 22 65535 deny ip from any to any только есть небольшая трудность, он не пускает в интернет 192.168.0.107, но пускает его на сервак по ssh если я добавляю ipfw add 1100 allow all from any to any, то всё работает (в частности я сейчас это пишу), но одновременно со мной любой пользователь сети (192.168.0.0) может зайти в иннет просто прописав шлюз. как сделать, чтобы в иннет выходили только определённые IP например : 192.168.0.107 уже 3 ночи не сплю после работы, и спросить неукого. Помогите чем сможете.
	Рекомендовать в FAQ | Cообщить модератору | Наверх

Индекс форумов | Темы | Пред. тема | След. тема

Сообщения по теме

1. "RE: Как ограничить доступ всем кроме определённых Ip в freBS..."
Сообщение от noname on 19-Ноя-02, 13:27  (MSK)
00400 allow ip from 192.168.0.107 to any via ed0 00500 allow ip from any to 192.168.0.107 via ed0 приблизительно вот так. У тебя не разрешён трафик через ed0.
	Рекомендовать в FAQ | Cообщить модератору | Наверх

	2. "RE: Как ограничить доступ всем кроме определённых Ip в freBS..."
	Сообщение от Gruzchik on 19-Ноя-02, 13:40  (MSK)
	>00400 allow ip from 192.168.0.107 to any via ed0 >00500 allow ip from any to 192.168.0.107 via ed0 > >приблизительно вот так. >У тебя не разрешён трафик через ed0. я прописываю так , удаляя allow ip from any to any, но тогда доступ исчезает а если трафик через ed0 не разрешён, то как его разрешить , это здесь или в natd надо что-то прописывать ?
		Рекомендовать в FAQ | Cообщить модератору | Наверх

	4. "RE: Как ограничить доступ всем кроме определённых Ip в freBS..."
	Сообщение от noname on 19-Ноя-02, 14:22  (MSK)
	00050 divert 8668 ip from any to any via ed0 #разрешает роут c lo0 на ed0 00100 allow ip from any to any via lo0 #разрешает трафик через lo0 00200 deny ip from any to 127.0.0.0/8 # я не знаю для чего это у меня 00300 deny ip from 127.0.0.0/8 to any # этого нету 00400 allow ip from 192.168.0.107 to any # разрешает трафик куда хочеш с 192.168.0.107 в любую сторону 00500 allow ip from any to 192.168.0.107 # разрешает трафик от куда нибудь на 192.168.0.107 00600 allow tcp from 192.168.0.107 22 to 192.168.0.200 # разрешил SSH 00700 allow tcp from 192.168.0.107 to 192.168.0.200 22 # разрешил SSH 65535 deny ip from any to any # так должно быть! строка 50 -- понятно. 100 -- из ВНУТРИННЕЙ сетки весь трафик на твой сервер разрешё(о)н (я не грамотный) 200 и 300 -- я это знал но забыл зачем оно :) ВНИМАНИЕ!! трафик в интернет (ed0) у тебя не разрешён а следовательно запрещён! чтобы разрешить весь трафик в инет надо написать ipfw add pass all from any to any via ed0                                 ^^^^^^^^^^ а для того чтобы ходил какой нибудь IP надо написать ipfw add pass (all|tcp|udp|icmp|) from твой внут.IP to any via ed0 ipfw add pass (all|tcp|udp|icmp|) from any to твой внут.IP via ed0 и так далее... (и это только начало) ещё тебе надо будет редактировать rc.conf, resolve или resolv.conf (не помню точно) почитать /etc/defaults/rc.conf man rc.conf man natd man ipfw http://www.freebsd.org.ru/how-to/
		Рекомендовать в FAQ | Cообщить модератору | Наверх

	6. "RE: Как ограничить доступ всем кроме определённых Ip в freBS..."
	Сообщение от Gruzchik on 19-Ноя-02, 14:38  (MSK)
	>строка 50 -- понятно. >100 -- из ВНУТРИННЕЙ сетки весь трафик на твой сервер разрешё(о)н (я >не грамотный) >200 и 300 -- я это знал но забыл зачем оно :) это ограничение доступа на сервак >ВНИМАНИЕ!! трафик в интернет (ed0) у тебя не разрешён а следовательно запрещён! > >чтобы разрешить весь трафик в инет надо написать >ipfw add pass all from any to any via ed0 >             >           >         ^^^^^^^^^^ >а для того чтобы ходил какой нибудь IP надо написать >ipfw add pass (all|tcp|udp|icmp|) from твой внут.IP to any via ed0 >ipfw add pass (all|tcp|udp|icmp|) from any to твой внут.IP via ed0 вот это и есть основной вопрос - НЕ ПОЛУЧАЕТСЯ (!!!) он не пускает только определённые айпи, но легко пускает все сразу... >и так далее... (и это только начало) >ещё тебе надо будет редактировать rc.conf, resolve или resolv.conf (не помню точно) > > >почитать >/etc/defaults/rc.conf >man rc.conf >man natd >man ipfw >http://www.freebsd.org.ru/how-to/ читал... всё читал... переводил... неделю убил как дать определённому айпи так и не нашёл :-( как дать всем написано в каждом форуме и man, а дял отдельного... может это невозможно с помощью natd и ipfw ? :-))
		Рекомендовать в FAQ | Cообщить модератору | Наверх

	3. "RE: Как ограничить доступ всем кроме определённых Ip в freBS..."
	Сообщение от zakat on 19-Ноя-02, 13:50  (MSK)
	>00400 allow ip from 192.168.0.107 to any via ed0 >00500 allow ip from any to 192.168.0.107 via ed0 > >приблизительно вот так. >У тебя не разрешён трафик через ed0. Враки это. Отсутствие интерфейса  - позволяет работать через любой. В таких случаях я делаю так: ipfw add pass log logamount 1000 all any to any Запускаю неработавшее приложение и в log-е смотрю как ходят пакеты. А потом правлю firewall.
		Рекомендовать в FAQ | Cообщить модератору | Наверх

	5. "RE: Как ограничить доступ всем кроме определённых Ip в freBS..."
	Сообщение от noname on 19-Ноя-02, 14:29  (MSK)
	>>00400 allow ip from 192.168.0.107 to any via ed0 >>00500 allow ip from any to 192.168.0.107 via ed0 >> >>приблизительно вот так. >>У тебя не разрешён трафик через ed0. > >Враки это. Отсутствие интерфейса  - позволяет работать через любой. ^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^ > >В таких случаях я делаю так: >ipfw add pass log logamount 1000 all any to any >Запускаю неработавшее приложение и в log-е смотрю как ходят пакеты. >А потом правлю firewall. это утверждение справедливо если ipfw открытый по дефолту :-P
		Рекомендовать в FAQ | Cообщить модератору | Наверх

	10. "RE: Как ограничить доступ всем кроме определённых Ip в freBS..."
	Сообщение от zakat on 19-Ноя-02, 15:59  (MSK)
	>>>00400 allow ip from 192.168.0.107 to any via ed0 >>>00500 allow ip from any to 192.168.0.107 via ed0 >>> >>>приблизительно вот так. >>>У тебя не разрешён трафик через ed0. >> >>Враки это. Отсутствие интерфейса  - позволяет работать через любой. >^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^ >> >>В таких случаях я делаю так: >>ipfw add pass log logamount 1000 all any to any >>Запускаю неработавшее приложение и в log-е смотрю как ходят пакеты. >>А потом правлю firewall. > >это утверждение справедливо если ipfw открытый по дефолту :-P если так рассуждать то строка : ipfw add  allow all from any to any должна повторяться N-раз ipfw add  allow all from any to any via ed0 ipfw add  allow all from any to any via ed1 и т.д. У меня по умолчанию все закрыто. Но строки типа : ipfw add  allow all from $my_IP to any ipfw add  allow all from any to $my_IP Чудно работают!!!
		Рекомендовать в FAQ | Cообщить модератору | Наверх

7. "RE: Как ограничить доступ всем кроме определённых Ip в freBS..."
Сообщение от noname on 19-Ноя-02, 14:53  (MSK)
>Проблема с настройкой сервера на freeBSD, может здесь уже было, я вроде >искал... >У меня есть 2 сетевых на сервере rl0 - локалка и ed0 >иннет >внутренний айпи сервера 192.168.0.200 >правила ipfw выглядят следующим образом : >00050 divert 8668 ip from any to any via ed0 >00100 allow ip from any to any via lo0 >00200 deny ip from any to 127.0.0.0/8 >00300 deny ip from 127.0.0.0/8 to any >00400 allow ip from 192.168.0.107 to any >00500 allow ip from any to 192.168.0.107 >00600 allow tcp from 192.168.0.107 22 to 192.168.0.200 >00700 allow tcp from 192.168.0.107 to 192.168.0.200 22 >65535 deny ip from any to any > >только есть небольшая трудность, он не пускает в интернет 192.168.0.107, >но пускает его на сервак по ssh >если я добавляю ipfw add 1100 allow all from any to any, > >то всё работает (в частности я сейчас это пишу), но одновременно со >мной любой пользователь сети (192.168.0.0) может зайти в иннет просто прописав >шлюз. >как сделать, чтобы в иннет выходили только определённые IP например : 192.168.0.107 > >уже 3 ночи не сплю после работы, и спросить неукого. Помогите чем >сможете. попробуй поставить строки 200 и 300 между строками 50 и 100 (тоесть строкам 200 и 300 дай номер 60 и 70 соответственно)
	Рекомендовать в FAQ | Cообщить модератору | Наверх

	8. "RE: Как ограничить доступ всем кроме определённых Ip в freBS..."
	Сообщение от Gruzchik on 19-Ноя-02, 15:16  (MSK)
	>>уже 3 ночи не сплю после работы, и спросить неукого. Помогите чем >>сможете. > >попробуй поставить строки 200 и 300 между строками 50 и 100 >(тоесть строкам 200 и 300 дай номер 60 и 70 соответственно 00050 divert 8668 ip from any to any via ed0 00060 deny ip from any to 127.0.0.0/8 00070 deny ip from 127.0.0.0/8 to any 00100 allow ip from any to any via lo0 00350 allow ip from 192.168.0.107 to any via ed0 00351 allow ip from any to 192.168.0.107 via ed0 00400 allow ip from 192.168.0.107 to any 00500 allow ip from any to 192.168.0.107 00600 allow tcp from 192.168.0.107 22 to 192.168.0.200 00700 allow tcp from 192.168.0.107 to 192.168.0.200 22 65535 deny ip from any to any и не пускает меня (я под 107 сижу)
		Рекомендовать в FAQ | Cообщить модератору | Наверх

	9. "RE: Как ограничить доступ всем кроме определённых Ip в freBS..."
	Сообщение от Nikolaev D. on 19-Ноя-02, 15:54  (MSK)
	После трансляции адреса вреальный он проверяется в правилах и дропается. Пусть a.b.c.d -твой внешний адресс bsd. Добавь: ipfw add 20000 allow tcp from a.b.c.d to any # от тебя ipfw add 30000 allow tcp from any to a.b.c.d  established # к тебе
		Рекомендовать в FAQ | Cообщить модератору | Наверх

	11. "RE: Как ограничить доступ всем кроме определённых Ip в freBS..."
	Сообщение от Gruzchik on 19-Ноя-02, 17:50  (MSK)
	>После трансляции адреса вреальный он проверяется в правилах и дропается. Пусть a.b.c.d >-твой внешний адресс bsd. >Добавь: > >ipfw add 20000 allow tcp from a.b.c.d to any # от тебя > >ipfw add 30000 allow tcp from any to a.b.c.d  established # >к тебе Огромное спасибо !!!! Всё работает !!!!!!!! В следующий раз буду внимателььней к внутренним и внешним айпишникам (всё познаётся с опытом)
		Рекомендовать в FAQ | Cообщить модератору | Наверх

Удалить

Индекс форумов | Темы | Пред. тема | След. тема

Пожалуйста, прежде чем написать сообщение, ознакомьтесь с данными рекомендациями.