Перейти к содержимому
handler

ipfw add deny ip from 192.168.111.1 to any

Рекомендуемые сообщения

freebsd 6.2

myk0 - external interface

xl0 - internal interface

мне нужно запретить доступ всем пользователям кроме определенных адресов

почитал ман и в качестве тренировки решил запретить доступ одной машине с адресом 192.168.111.1

# ipfw add deny ip from 192.168.111.1 to any

# ipfw add deny ip from any to 192.168.111.1

# ipfw list

00050 divert 8668 ip4 from any to any via myk0

00100 allow ip from any to any via lo0

00200 deny ip from any to 127.0.0.0/8

00300 deny ip from 127.0.0.0/8 to any

65000 allow ip from any to any

65100 deny ip from 192.168.111.1 to any

65200 deny ip from any to 192.168.111.1

65300 deny ip from 192.168.111.1 to any via xl0

65535 deny ip from any to any

но машина по-прежнему ходит в нет

что я сделал не так?

в идеале думаю создать файл users в который поместить ip-адреса пользователей которым открыт доступ а всем остальным запретить

/etc/users

my_users="{12.168.0.0/16{111.1,111.2,111.3}}"

ipfw add allow ip from ${my_users} to any

ipfw add deny ip from any to any

и включить скрипт

/etc/rc.conf

firewall_script="/etc/users"

я правильно все сформулировал?

Поделиться сообщением


Ссылка на сообщение
Поделиться на других сайтах

00050 divert 8668 ip4 from any to any via myk0

00100 allow ip from any to any via lo0

00200 deny ip from any to 127.0.0.0/8

00300 deny ip from 127.0.0.0/8 to any

60000 allow ip from 192.168.111.1 to any via xl0

61000 allow ip from any to 192.168.111.1

65000 allow ip from any to any

65535 deny ip from any to any

не хватает только правила

63000 deny ip from any to any

если пропишу не выйду в нет я вся моя сеть

Поделиться сообщением


Ссылка на сообщение
Поделиться на других сайтах

Внимательнее почитайте ман ipfw про порядок попадания пакетов под правила.

Кроме этого, вам уже сказали, что

Цитата:

65000 allow ip from any to any

лишнее.

И к чему вот это было:

Цитата:

не хватает только правила

63000 deny ip from any to any

я вообще не понимаю.

А так же зачем эта каша?

Цитата:

00100 allow ip from any to any via lo0

00200 deny ip from any to 127.0.0.0/8

00300 deny ip from 127.0.0.0/8 to any

Поделиться сообщением


Ссылка на сообщение
Поделиться на других сайтах

я их не писал - их фаер сам прописал по-умолчанию я лишь прописал

/etc/rc.conf

firewall_enable="yes"

firewall_type="open"

и добавил строки

60000 allow ip from 192.168.111.1 to any via xl0

61000 allow ip from any to 192.168.111.1

строка

63000 deny ip from any to any

закроет доступ ко всему

я их не писал - их фаер сам прописал по-умолчанию я лишь прописал

/etc/rc.conf

firewall_enable="yes"

firewall_type="open"

и добавил строки

60000 allow ip from 192.168.111.1 to any via xl0

61000 allow ip from any to 192.168.111.1

строка

63000 deny ip from any to any

закроет доступ ко всему

Проблему решила строка

ipfw add allow ip from me to any keep-state

перед строкой запрещяющей всем остальным пакетам прозодить по сети

ipfw add deny ip from any to any

мне подсказали что т к у меня пакеты натятся то после этого они имеют мой внешний ип

Поделиться сообщением


Ссылка на сообщение
Поделиться на других сайтах

Натятся пакеты, выходя за внешний интерфейс. К настройкам доступа из локальной сетки это отношения не имеет.

Правило "запретить всем" нужно ставить один раз в самом конце, вы же пытались добавить его дважды.

"65000 allow ip from any to any" нужно было убрать совсем. Разумеется подефолту оно будет, так как разрешено всё. Если его оставить, вы открываете доступ всем, кто не описан в предидущих правилах. Именно поэтому я посоветовал почитать про порядок попадения пакетов в правила.

В общем, лучше всё-таки ознакомиться с маном и написать осмысленный фаерволл, а не делать всё методом научного тыка.

Поделиться сообщением


Ссылка на сообщение
Поделиться на других сайтах

cppmm писал(а) Mon, 18 February 2008 16:13

Натятся пакеты, выходя за внешний интерфейс. К настройкам доступа из локальной сетки это отношения не имеет.

Правило "запретить всем" нужно ставить один раз в самом конце, вы же пытались добавить его дважды.

"65000 allow ip from any to any" нужно было убрать совсем. Разумеется подефолту оно будет, так как разрешено всё. Если его оставить, вы открываете доступ всем, кто не описан в предидущих правилах. Именно поэтому я посоветовал почитать про порядок попадения пакетов в правила.

В общем, лучше всё-таки ознакомиться с маном и написать осмысленный фаерволл, а не делать всё методом научного тыка.

правила которые я вам описал фаер сам добавлял я запретил дважды прохождение пакетов т к один запрет мой а второй в конце фаера - я не стал удалять строки из скрипта тк еще не совсем разбираюсь в нем

а по поводу ната именно строка

allow ip from me to any

открыла доступ перечисленным адресам в нет

и следующая строка

deny ip from any to any

запретила доступ всем остальным

далее посоветовали засунуть все в table

table 1 add my_users

в мане написано так и к pipe привязать можно там и скорость раскидать по адресам и прочее

Спасибо что подсказываете а то самому маны тяжело курить

Поделиться сообщением


Ссылка на сообщение
Поделиться на других сайтах

для каждого клиента в сети прописаны два правила

allow ip from x.x.x.x to any

allow ip from any to x.x.x.x

в конце

allow ip from me to any keep-state

pipe 1 ip from any to x.x.x.x

pipe 1 ip from x.x.x.x to any out

pipe 1 config bw 512kbit/s

deny ip from any to any

все равно ограничение не работает

и еще: кто-то в сети занял адрес другого клиента - как поставить ограничение по мак-адресу чтобы адрес мог назначить только один клиент?

Поделиться сообщением


Ссылка на сообщение
Поделиться на других сайтах

с маками разобрался arpwatch

если я набираю

ipfw pipe list

выдает мой канал

00001: 512.000 Kbit/s 0 ms 50 sl. 1 queues (1 buckets) droptail

но если я удалю правила

allow ip from x.x.x.x to any

allow ip from any to x.x.x.x

тогда статистика по моему каналу болеее обширная видно что правило направляет его в мой канал

да только пакеты не пропускает в нет - машина блокируется фаером

надеюсь только на ваш совет

и еще такая странная веСЧЬ

захожу на форум с машины на которой стоит сам фаер(нат днс и пр) на сайты пускает только вот при попытке отправить сообщение не дает это сделать

видно что метод "POST" для <FORM> фаер обрабатывает по-особенному

Поделиться сообщением


Ссылка на сообщение
Поделиться на других сайтах

кажется заработало

судя по команде

ipfw pipe list

пишет

prot TCP

тогда я прописал правила так

pipe 1 TCP from x.x.x.x to any

pipe 1 TCP from any to x.x.x.x

pipe 1 config bw 1024Kbit/s // действительно выходит 512?

вроде бы все нормально но например ни на freebsd.org ни на google.com я попасть не могу а на другие сайты в том числе и на этот пускает

после добавления строк

pipe 1 IP from x.x.x.x to any

pipe 1 IP from any to x.x.x.x

дает доступ ко всем сайтам (которые я посещаю)

на freebsd.org зашел чтобы проверить скорость закачки образа диска - ограничение работает!

Беспокоит наличие 4-х строк на каждого клиента а если сеть большая?

и почему скорость канала ставить в 2 раза больше тем более что входящий и исходящий трафик на разных скоростях?

Поделиться сообщением


Ссылка на сообщение
Поделиться на других сайтах

Создайте аккаунт или войдите в него для комментирования

Вы должны быть пользователем, чтобы оставить комментарий

Создать аккаунт

Зарегистрируйтесь для получения аккаунта. Это просто!

Зарегистрировать аккаунт

Войти

Уже зарегистрированы? Войдите здесь.

Войти сейчас

×