Дано:машина с FreeBSD, rl0 - внутренний интерфейс, rl1 - внешний интерфейс. При подключении создается тунель tun0 (inet ип_адрес_rl1 --> ип_адрес_провайдера).
Вопрос:
1. какой из интерфейсов (rl1 или tun0) указывать в правилах, обрабатывающих запросы наружу и внутрь? к примеру, что правильно:
- allow tcp from any to any 443 via rl1 setup
- allow tcp from any to any 443 via tun0 setup2. при рестарте сетевых подключений (/etc/netstart), каждый раз создается новый тунель (tunN), причем неактивный. почему?
>
>1. какой из интерфейсов (rl1 или tun0) указывать в правилах, обрабатывающих запросы
>наружу и внутрь? к примеру, что правильно:у тебя tun0 через rl1 проходит? значит писать надо на rl1. потом отдельно для tun0 пропускаемые правила напишешь при желании
2. какая версии фри?
>>
>>1. какой из интерфейсов (rl1 или tun0) указывать в правилах, обрабатывающих запросы
>>наружу и внутрь? к примеру, что правильно:
>
>у тебя tun0 через rl1 проходит? значит писать надо на rl1. потом
>отдельно для tun0 пропускаемые правила напишешь при желании
>
>2. какая версии фри?если трафик через tun0 бегает, на нем и писать. он с точки зрения айпи нормальный интерфейс
"у тебя tun0 через rl1 проходит? значит писать надо на rl1. потом отдельно для tun0 пропускаемые правила напишешь при желании" - в том и дело, что если прописывать через rl1, ниче не проходит.... что очень непонятно.....версия: 5.2
>"у тебя tun0 через rl1 проходит? значит писать надо на rl1. потом
>отдельно для tun0 пропускаемые правила напишешь при желании" - в том
>и дело, что если прописывать через rl1, ниче не проходит.... что
>очень непонятно.....
>
>версия: 5.2потому что через rl идут инкапсулированные пакеты. tcpdump'ом посмотри. сравни tun и rl
alchie: объясни непутевому, что значит инкапсулированные пакеты?
и что значит для tun0 отдельно прописать пропускаемые правила?
>alchie: объясни непутевому, что значит инкапсулированные пакеты?
на морковках? пожалуйста.
у тебя есть груз - молоко (какие-либо данные). ты его разливаешь по тетрапакам (разбиваешь на пакеты). тетрапаки легко доставляются до ближайшей точки выхода с молокозавода (до шлюза), дальше они инкапсулируются в грузовик (в кадр PPPoE) и едут по дороге (туннелю) до магазина (шлюза на другой стороне туннеля). там выгребаются из грузовика (декапсулируются) ну и т.д.>и что значит для tun0 отдельно прописать пропускаемые правила?
это когда ты правила "не пропускать воду до дома №1" и "до дома №5 пропускать воду только определенного качества" прибиваешь к водопроводной трубе, а не к земле, в которой она лежит.
alchie: мда, в воображении тебе не занимать) классно объяснил. в общем смысл то я понял.... мнеб еще примерчик простенький бы. к примеру как правильно тогда дать доступ изнутри на HPPT?
>alchie: мда, в воображении тебе не занимать) классно объяснил. в общем смысл
>то я понял.... мнеб еще примерчик простенький бы. к примеру как
>правильно тогда дать доступ изнутри на HPPT?wtf HPPT?
примерчик дать не могу - нету ни одной фрюшки под рукой. если умеешь строить файрволл - то ничего сложного нету. для тебя rl и tun разные интерфейсы. на rl ваще ничего вешать не надо. там у тебя ip как таковой не бегает
если кроме этого PPPoE у тебя никаких туннелей больше нет:
ipfw add allow all from any to any via tun\*
если я все ставлю через tun0, то при выполнении /etc/netstart, появляется новый тунель (tun1), и все пытается валить через него...... ну а в правилах естественно указан tun0, и все стопорится....
или в твоем сообщении via tun\* - символы \* зарезервированы и означают через любой активный тунель?
>или в твоем сообщении via tun\* - символы \* зарезервированы и означают
>через любой активный тунель?это означает "правило применимо к любому tun интерфейсу". несколько иной смысл, по сравнению с твоим
ага. вобщем я так понял, у меня в rc.ipfw должен быть указан везде в качестве интерфейса наружу tun/*?
>ага. вобщем я так понял, у меня в rc.ipfw должен быть указан
>везде в качестве интерфейса наружу tun/*?правильнее было бы разобраться с причиной такого поведения фрюшки, но если лень - можно и так (с tun\*)
" разобраться с причиной такого поведения фрюшки" - ты имеешь в виду появление нового тунеля командой /etc/netstart?
>" разобраться с причиной такого поведения фрюшки" - ты имеешь в виду
>появление нового тунеля командой /etc/netstart?да.
вощем забудь. когда квалификации будет хватать - пороешься и поймешь причину эффекта
Ребяты, ну подскажите хоть в какую сторону копать?!
Вот мое предположение: тунель подымается в момент соединения с провайдером. Но при перезагрузке сетевых параметров (/etc/netstart) он не падает, но подымается еще один..... почему? где копать?
>Ребяты, ну подскажите хоть в какую сторону копать?!
>Вот мое предположение: тунель подымается в момент соединения с провайдером. Но при
>перезагрузке сетевых параметров (/etc/netstart) он не падает, но подымается еще один.....
>почему? где копать?в имени скрипта netSTART. ну нету скрипта netSTOP.
что ты такого меняешь в настройках, чего нельзя поменять из командной строки?
Т.е. я сначала должен руками убить тунель, а потом /netstart?
>Т.е. я сначала должен руками убить тунель, а потом /netstart?я перестану отвечать на твои мессаги, если ты будешь продолжать игнорировать мои вопросы
alchie: "что ты такого меняешь в настройках, чего нельзя поменять из командной строки?" - я не понял смысл вопроса...
>alchie: "что ты такого меняешь в настройках, чего нельзя поменять из командной
>строки?" - я не понял смысл вопроса...спрошу иначе: для чего ты перезапускаешь /etc/netstart?
спрошу иначе: для чего ты перезапускаешь /etc/netstart? -
1. после правки rc.conf
2. после правки rc.ipfw (правил)
...
alchie: ну куда ты пропал?
помогни начинающему - утопающему...
>спрошу иначе: для чего ты перезапускаешь /etc/netstart? -
>1. после правки rc.conf
>2. после правки rc.ipfw (правил)
>...
все твои правки применяются не по мановению волшебной палочки.
если поискать изменяемый rc.conf'овский параметр в /etc/netstart, то можно увидеть, что, например, ip адрес на эзернете выставляется с помощью ifconfig, а изменения в rc.ipfw можно применить с помощью скармливания этого скрипта либо шеллу (/bin/sh), либо самому ipfw, в зависимости от того, как этот самый rc.ipfw написанрезюме: rc.netstart лучше не дергать попусту. найди в нем нужные тебе команды и пользуйся ими
alchie: понял, спасибо, буду дальше копать