>с ipnat как раз проще всего будет, не нужно следить за правильностью
>написания правил относительно divert natd, пакеты в ipnat попадут после прохождения
>правил ipfw, вначале вашего конфига rc.firewall впишите подобное
>${fwcmd} add 50 divert 199 all from any to any via ${внешний_интерфейс}
>in
>${fwcmd} add 60 divert 199 all from any to any via ${внешний_интерфейс}
>out
>а вот с natd как раз нужно четкое понимание прохождения пакетов по
>правилам фаервола Отлично! значит я на верном пути в своём понимании =) Вы как раз подтверждаете мои мысли. И теперь уже мои пробы и ошибки.
В любом случае я опробую обе связки, хотя бы ради знаний. Тем более полигон в 2 шлюза мне это позволяет :-)
>${fwcmd} add 50 divert 199 all from any to any via ${внешний_интерфейс}
>in
>${fwcmd} add 60 divert 199 all from any to any via ${внешний_интерфейс}
>out
Такое есть, уже давно, только не для внешнего интерфейса, а для внутреннего. Как я понял из статей посвящённых netams и курению доков на их сайте именно на внутренний интерфейс надо сажать амску. Что я и сделал, сейчас всё работает, всё считается.
Разбираюсь с ipfw, мощная штука, с мастдайными фаерами не сравнить даже.
Загвоздка имеется в понимании работы keep-state и established правил, т.к. виндовые приложения обычно всё делали за меня =) например АСС в нетворкшилде.
Думаю завтра уже сам разберусь в какой последовательности и при каких обстоятельствах использовать динамику. Ну или не разберусь и попрошу немного помощи в этом топике)
Кст. если есть ссылки на большие и прокомментированные конфиги, буду за них признателен, т.к. разбираться на готовом примере для меня куда проще.
Я честно говоря пропустил мимо глаз правила насчёт размещения ссылок на сторонние ресурсы в топиках, но на свой страх и риск...
_http://groups.google.com/group/fido7.ru.unix.bsd/browse_thread/thread/292c739d0eed494a/22edb3b5da53efb8?pli=1
Вот что нашёл,там в середине страницы, тов Vadim Guchenko выкладывает очень интересную концепцию конфига для ipfw, нигде подобного подхода в примерах я ещё не встречал видимо так я и буду делать. Если есть что то подобное, было бы здорово на это поглядеть.
