https://slinkov.ru/openforum/vsluhforumID10/3927.html Доброго всем времени суток.<br>В общем ситуация такая: есть работающий сервер на FreeBSD 6.3, в качестве фаервола используется pf. Появилась необходимость перенести систему на другое железо. При помощи dump/restore перенес все разделы, подправил fstab и сделал диск загрузочным. Система запускается, все сервисы вроде бы нормально запускаются и работают, только с pf непонятные проблемы: сам pf работает, а вот правил загруженных у него нет (то есть pfctl -e выдает что pf запущен, а pfctl -sa никаких правил не показывает). После pfctl -f /etc/pf.conf все правила загружаются без проблем. При этом на старом железе таких проблем не возникало. В rc.conf проверял запускающие строки есть:<br># firewall<br>pf_enable="YES" # Enable PF (load module if required)<br>pf_rules="/etc/pf.conf" # rules definition file for pf<br>pf_flags="" # additional flags for pfctl startup<br><br>В логах на первый взгляд ничего криминального нет. Какие есть идеи? Вариант с установкой системы с нуля просьба не пре https://slinkov.ru/openforum/vsluhforumID10/3927.html#7 Wed, 16 Dec 2009 18:18:49 GMT Еще точно такое же бывает в FreeBSD если используется OpenVPN или PPPoE, в частности интерфейс tun0..9<br>Т.е. когда начинает загружаться pf, то tun0..9 не имеют еще ip адресов, и pf выдает ошибку (которую видно по команде, как написал domas, 'dmesg -a'):<br><br>no IP address found for tun0<br>/etc/pf.conf:141: <br>could not parse host specification<br><br>pfctl: <br>Syntax error in config file: pf rules not loaded<br><br>Чтобы этого избежать нужно убрать во всех правилах из полей 'from' и 'to' имена интерфесов tun0..9, т.к. имя интерфейса в этих полях меняются на текущие ip адреса эти интерфейсов, а т.к. ip еще не присвоены, то и просходит ошибка.<br>Просто впишите вместо tun0..9 ip_адрес или маску подсети если ip выдается по dhcp.<br><br>Пример.<br> неправильно, правила не будут загружаться:<br>me = "vr0 tun0"<br>pass out quick proto udp from $me to port 33433:33626 keep state<br># 33433:33626 (UDP) - traceroute for *nix<br><br> правильно так:<br>me = "vr0 192.168.10.0/24"<br>pass out quick proto udp from $me to port 33433:33626 keep state<br> https://slinkov.ru/openforum/vsluhforumID10/3927.html#6 Wed, 27 Aug 2008 09:50:27 GMT man rcorder<br><br> https://slinkov.ru/openforum/vsluhforumID10/3927.html#5 Tue, 26 Aug 2008 08:47:50 GMT Всем спасибо за помощь. Проблема решена.<br>Дело было в следующем: новый сервер запускал не подключеннным к сети, для того чтобы предварительно убедиться в его полной работоспособности. А для некоторых правил все же требовалось DNS-преобразование. После того как сервер был нормально подключен к сети, все нормально заработало.<br><br><br> https://slinkov.ru/openforum/vsluhforumID10/3927.html#4 Mon, 25 Aug 2008 22:32:19 GMT Вывод `dmesg -a` после загрузки в студию.<br><br><br> https://slinkov.ru/openforum/vsluhforumID10/3927.html#3 Wed, 20 Aug 2008 12:57:25 GMT В рамках мозгового шторма: может, загружаться стало быстрее и чёто "недогружается" к моменту запуска pf?<br> https://slinkov.ru/openforum/vsluhforumID10/3927.html#2 Thu, 14 Aug 2008 12:35:25 GMT &gt;А названия сетевых интерфейсов не поменялись случаем? <br>&gt;Скорее всего сетевые карты ведь другого производителя. <br><br>Сетевые интерфейсы остались теже самые(что на стром что на новом железе em). Если бы это было нет так то после загрузки сервера вручную бы не получилось загрузить правила. А в реальности при ручной загрузке правил все проходит успешно. Сегодня попробовал пересобрать мири и ядро - не помогло. <br>Пробовал такую вещь: закомментировал все правила, кроме block all. - загрузка прошла нормально. Затем постепенно убирал коменты, выяснилось что есть несколько правил, из- за которых проявляется данная проблема. Но в них нет ничего особенного. Пример одного из "проблемных правил":<br>pass in on $int_if proto tcp from $Allow_FTP_FM to $Server_FM port { 20, 21, 35500:35600 } keep state<br><br>$Allow_FTP_FM и $Server_FM объявлены ранее ине требуют DNS-преобразования, тем более что такое правило при pfctl -f /etc/pf.conf нормально подгружается<br> https://slinkov.ru/openforum/vsluhforumID10/3927.html#1 Thu, 14 Aug 2008 06:56:24 GMT А названия сетевых интерфейсов не поменялись случаем? <br>Скорее всего сетевые карты ведь другого производителя.<br>