Кто-то знает возможно ли в правилах ipfw делать исключения из группы адресоваля запретить всем кроме одного или всей группе кроме этой группы и т д?
Тоесть чтобы вместо 3ех правил
ipfw add allow IP from IP to any port
ipfw add allow from any to IP to any port
ipfw add deny from any to any portзаписать одно!
лол, поправлю очепятки (очень спонтанно и быстро писал):
ipfw add allow tcp from IP to any port
ipfw add allow tcp from any to IP port
ipfw add deny tcp from any to any port
>лол, поправлю очепятки (очень спонтанно и быстро писал):
>ipfw add allow tcp from IP to any port
>ipfw add allow tcp from any to IP port
>ipfw add deny tcp from any to any portнет
>>лол, поправлю очепятки (очень спонтанно и быстро писал):
>>ipfw add allow tcp from IP to any port
>>ipfw add allow tcp from any to IP port
>>ipfw add deny tcp from any to any port
>
>неттоесть только 3 правила и по другому никак :( ?
>тоесть только 3 правила и по другому никак :( ?а чем смущает то 3 правила, если не секрет? :)
>лол, поправлю очепятки (очень спонтанно и быстро писал):
>ipfw add allow tcp from IP to any port
>ipfw add allow tcp from any to IP port
>ipfw add deny tcp from any to any port
Ты пля сам понял что напИсал
>Кто-то знает возможно ли в правилах ipfw делать исключения из группы адресов
>
>
>аля запретить всем кроме одного или всей группе кроме этой группы и
>т д?
>
>Тоесть чтобы вместо 3ех правил
>
>ipfw add allow IP from IP to any port
>ipfw add allow from any to IP to any port
>ipfw add deny from any to any port
>
>записать одно!
ipfw2 помоему это разрешает делать
>ipfw2 помоему это разрешает делатьipfw2 позволяет определять в одном правиле группы адресов, так что это не из той оперы.
объеденить три правила в одном нельзя, потому что какой в этом смысл? все равно это будут три правила а не одно
отвечаю всем сразу:насчет "пля понял" :) я же исправился сразу, :) просто пальцы набирали быстрее чем голова думала (шучу конечно же).
чем смущают три правила: хочется чтобы в одной строке было исключение.
Так как если таких вот исключений много, то количество правил увеличивается!
Ес-но несмертельно, но все-таки из разряда "хочется комфортности"
>отвечаю всем сразу:
>
>насчет "пля понял" :) я же исправился сразу, :) просто пальцы
>набирали быстрее чем голова думала (шучу конечно же).
>
>чем смущают три правила: хочется чтобы в одной строке было исключение.
>Так как если таких вот исключений много, то количество правил увеличивается!
>Ес-но несмертельно, но все-таки из разряда "хочется комфортности"
deny from any to any и так только один раз достаточно написать в конце всего списка, а записать типа
allow ip from IP or to IP нельзя, нет такого в синтаксисе
>>отвечаю всем сразу:
>>
>>насчет "пля понял" :) я же исправился сразу, :) просто пальцы
>>набирали быстрее чем голова думала (шучу конечно же).
>>
>>чем смущают три правила: хочется чтобы в одной строке было исключение.
>>Так как если таких вот исключений много, то количество правил увеличивается!
>>Ес-но несмертельно, но все-таки из разряда "хочется комфортности"
>
>
>deny from any to any и так только один раз достаточно написать
>в конце всего списка, а записать типа
>allow ip from IP or to IP нельзя, нет такого в синтаксисе
>Кто нить убейте первое сообщение! (я не могу его убить)
про правила - чиать следует ниже исправленный вариант (там написано):"лол, поправлю очепятки (очень спонтанно и быстро писал):
ipfw add allow tcp from IP to any port
ipfw add allow tcp from any to IP port
ipfw add deny tcp from any to any port
"тоесть протокол + порт (отсюда и отдельный дени)
идея такова - заменить 3 правила одним.
Но вроде как порешили, что нельзя.
Опровергнут кто-то сможет? (напоминаю смотрим ipfw, как вариант ipfw2)
${ipfw} add deny tcp from not IP to any port
>${ipfw} add deny tcp from not IP to any portПАСИБ! именно то, что нужно!
кстати в мане есть про это;Я так понимаю вместо ИП можно делать подстановку стандартных для ipfw источников аля подсеть?
>>${ipfw} add deny tcp from not IP to any port
>
>ПАСИБ! именно то, что нужно!
>кстати в мане есть про это;
>
>Я так понимаю вместо ИП можно делать подстановку стандартных для ipfw источников
>аля подсеть?src && dst
можно сеть, группу адресов, оператор or для адресов тоже можно применятьman ipfw
Additionally, sets of alternative match patterns ( or-blocks ) can be
constructed by putting the patterns in lists enclosed between parentheses
( ) or braces { }, and using the or operator as follows:ipfw add 100 allow ip from { x or not y or z } to any
>>>${ipfw} add deny tcp from not IP to any port
>>
>>ПАСИБ! именно то, что нужно!
>>кстати в мане есть про это;
>>
>>Я так понимаю вместо ИП можно делать подстановку стандартных для ipfw источников
>>аля подсеть?
>
>src && dst
>можно сеть, группу адресов, оператор or для адресов тоже можно применять
>
>man ipfw
>
> Additionally, sets of alternative match patterns ( or-blocks ) can be
>
> constructed by putting the patterns in lists
>enclosed between parentheses
> ( ) or braces { }, and
>using the or operator as follows:
>
> ipfw
>add 100 allow ip from { x or not y or
>z } to any
Пасиб!
это именно оно! :) топ скилс!
Вот извращаюсь дальше.А как бы записать not через пример
addr/masklen{num,num,...}
Matches all addresses with base address addr (specified
as a dotted quad or a hostname) and whose last byte is in
the list between braces { } . Note that there must be no
spaces between braces, commas and numbers. The masklen
field is used to limit the size of the set of addresses,
and can have any value between 24 and 32.
As an example, an address specified as
1.2.3.4/24{128,35,55,89} will match the following IP
addresses:
1.2.3.128 1.2.3.35 1.2.3.55 1.2.3.89 .
This format is particularly useful to handle sparse
address sets within a single rule. Because the matching
occurs using a bitmask, it takes constant time and dra-
matically reduces the complexity of rulesets.
ipfw add 5 allow ip from not 192.168.1.0/24\{10,55\} to any 80
не прокатывает :(в рулсах пишется при выводе правил только /24 и все! все что в фигурных скобках игнорируется :( Проверил - и работает рулся именно как /24, а не конкретные хосты!
Вопрос снимаю - это фича только для ipfw2 работает!