 |
|
|
ru.unix.bsd- RU.UNIX.BSD ------------------------------------------------------------------ From : Alexandre Kardanev 2:5020/175.2 19 Apr 2007 21:34:32 To : Andrey Zonov Subject : ipfw + PBR + default route -------------------------------------------------------------------------------- Thu Apr 19 2007 19:17, Andrey Zonov wrote to All: AZ> Привет, All! AZ> FreeBSD-6.2-R AZ> Есть три канала. 3 natd. 3 fwd в ipfw. 3 впн-подсети. AZ> 00500 divert 8668 ip from 10.200.1.0/24 to any AZ> 00550 divert 8670 ip from 10.200.0.0/24 to any AZ> 00600 divert 8672 ip from 10.200.2.0/24 to any AZ> 00800 fwd 91.144.148.69 ip from 91.144.150.204 to any AZ> 00850 fwd 85.195.156.125 ip from 85.195.156.126 to any AZ> 00900 fwd 217.9.147.12 ip from 172.19.42.74 to any AZ> 01000 divert 8668 ip from any to 91.144.150.204 AZ> 01050 divert 8670 ip from any to 85.195.156.126 AZ> 01100 divert 8672 ip from any to 172.19.42.74 Добавь первым трем divert и всем fwd "out" в конце а остальным - "in" AZ> default route - 85.195.156.125 AZ> Добавляем правило AZ> 00001 count log icmp from any to any AZ> Смотрим лог, и видим что запрсы уходят в дефолт ифейс AZ> ipfw: 1 Count ICMP:8.0 10.200.2.77 172.19.255.2 in via ng9 AZ> ipfw: 1 Count ICMP:8.0 10.200.2.77 172.19.255.2 out via gif0 AZ> ipfw: 1 Count ICMP:0.0 172.19.255.2 172.19.42.74 in via ng1 AZ> ipfw: 1 Count ICMP:0.0 172.19.255.2 10.200.2.77 out via ng9 Так и должно быть. Ведь сначала пакет проходит count с логом а потом форвардится... Толбко если у тебя 5.x добавь IPFIREWALL_FORWARD_EXTENDED в ядро... А смотреть работу - tcpdump или что-то подобное в руки... AZ> Приходят конечно же на правильный ифейс. AZ> Если для пингуемого ИПа сменить route на 217.9.147.12, то пакет будет AZ> уходить в ng1 и приходить оттуда же. AZ> Вопрос: как сделать чтобы не меняя роутинга в логах правильно отображался AZ> интерфейс для выходящего пакета? В логах - IMHO - никак. Ибо либо пакет еще не сменил интерфейс посредством fwd, либо уже покинул файерволл... Разве что еще ipf или pf для логиолвания использовать... Hо тут уже смотреть надо, кто позже в сетевом стеке сидит... AZ> PS я понимаю, что работает всё правильно и всё уходит по дефолт-роут, но AZ> веть это PBR и правильнее будет если из соответствующей сети пакет будет AZ> уходить в соответствующий ифейс. А он и будет. Только смотреть его надо другими методами (например tcpdump). AZ> Успехов! --- ifmail v.2.15dev5 * Origin: FidoNet Online - http://www.fido-online.com (2:5020/175.2) Вернуться к списку тем, сортированных по: возрастание даты уменьшение даты тема автор
Архивное /ru.unix.bsd/330089ea0a03.html, оценка из 5, голосов 10
|
|
|