OK.
Значит имеем следующее:
интерфейс dc0 смотрит наружу, для приватности скажем, что у него адрес 200.200.200.200/27
интерфейс rl0 внутренний 192.168.168.1/24
natd запускается командой вида natd -i dc0
Так как получена информация (  ), что скрипт фаера достался по наследству, то правим его нещадно, в целях облагораживания.
получаем примерно следующий основной костяк в файле /etc/rc.firewall (Хотя я бы оставил там оригинальный, тот что идет в поставке, а свой положил рядом)
| Код |
#!/bin/sh -
#
# Setup system for firewall service.
#
# Suck in the configuration variables.
if [ -z "${source_rc_confs_defined}" ]; then
if [ -r /etc/defaults/rc.conf ]; then
. /etc/defaults/rc.conf
source_rc_confs
elif [ -r /etc/rc.conf ]; then
. /etc/rc.conf
fi
fi
setup_loopback () {
############
# Only in rare cases do you want to change these rules
#
${fwcmd} add pass all from any to any via lo0
${fwcmd} add deny all from any to 127.0.0.0/8
${fwcmd} add deny ip from 127.0.0.0/8 to any
${fwcmd} add deny udp from any 137,138,139 to any via dc0
${fwcmd} add deny tcp from any 137,138,139 to any via dc0
${fwcmd} add deny tcp from any 135,369,445 to any via dc0
${fwcmd} add deny udp from any 135,369,445 to any via dc0
}
if [ -n "${1}" ]; then
firewall_type="${1}"
fi
############
# Set quiet mode if requested
#
case ${firewall_quiet} in
[Yy][Ee][Ss])
fwcmd="/sbin/ipfw -q"
;;
*)
fwcmd="/sbin/ipfw"
;;
esac
${fwcmd} -f flush
setup_loopback
${fwcmd} add reject icmp from any to me icmptype 5,9,10,13,14,17,18
#Win RPC Task Sheduler Engine
${fwcmd} add deny tcp from any 1048 to any
${fwcmd} add deny udp from any 1048 to any
# protect MySQL Database fom access outer world
${fwcmd} add deny log all from any to me 3306 via dc0
# natd NAT
case ${natd_enable} in
[Yy][Ee][Ss])
if [ -n "${natd_interface}" ]; then
${fwcmd} add divert natd all from any to any via ${natd_
fi
;;
esac
#
#disable all internal ip's on external network interface
#(i.e. stop RFC1918 nets on the outside interface)
#
#эту строку пока закомментируем (см. как работает NAT)
# ${fwcmd} add reject all from 192.168.0.0/16 to any via dc0
${fwcmd} add reject all from 172.16.0.0/12 to any via dc0
${fwcmd} add reject all from 10.0.0.0/8 to any via dc0
${fwcmd} add reject all from 0.0.0.0/8 to any via dc0
# allow connection to my services
${fwcmd} add allow tcp from any to me dst-port 20,21,22,80,443 via dc0
#${fwcmd} add allow tcp from any to me dst-port 25,110,143,443,993,995 via dc0
# close all not allowed ports
${fwcmd} add reject log tcp from any to me dst-port 0-1024 via dc0
${fwcmd} add allow all from me to any
${fwcmd} add allow all from any to me via rl0
#traf bandwidth
${fwcmd} pipe 1 config bw 256Kbit/s
${fwcmd} queue 1 config pipe 1 weight 50 mask src-ip 0x000000ff
${fwcmd} queue 2 config pipe 1 weight 50 mask src-ip 0x000000ff
${fwcmd} add queue 2 ip from 192.168.168.0/24 to not me 110 via rl0
${fwcmd} add queue 1 ip from 192.168.168.0/24 to not me not 110 via rl0
#named
${fwcmd} add allow udp from any to me dst-port 53 via rl0
${fwcmd} add allow udp from me 53 to any via rl0
${fwcmd} add deny log udp from any to me dst-port 53
${fwcmd} add deny log from any to any
|
Примерно так, хотя может чего упустил, и последнее правило забанит что-то. Посмотришь в лог, тогда подправим.
Скрипт довольно простой, он не создает динамические правила, не проверяет наличие уже идущих фрагментированных пакетов, не режет количество сессий с каждого адреса, не балансирует нагрузку от новых подключений из вне. Но судя по тому, что ваш прежний админ не сильно напрягался - вам этого за глаза хватит.
Шейпер я поставил на исходящий трафик от клиентских машин из тех соображений, что все что из интеа для них через нат прошло, можно уже и так без задержек доставить, а вот генерация нового трафика от них придерживается еще на стенке. Почтовые протоколы, уходящие во внешний мир имеют приоритет над остальными примерно на 30%.
Не забудь как следует подкрутить почтовик (какой у тебя кстати поставлен?) и bind.
Сегодня еще попробую твой ip прогнать через тесты и репорт тебе вышлю
Добавлено @ 14:50
в файл /etc/sysctl.conf обязательно надо добавить строку вида
net.inet.ip.fw.one_pass=0
и можно туда же
net.inet.ip.dummynet.hash_size=256
Для неанонсируемой сети из 8 компов и малом почтовом трафике этого хватит |
