FreeBSD

wp2 · Отправлено: **23:47, 17-03-2009** | #2

ты правила лучше покажи)))

Aidaho · Отправлено: **05:55, 18-03-2009** | #3

Да ни какие правила не работают.... обычно такие пишу:

# ipfw show
00100 0 0 deny ip from 192.168.20.2 to any
65535 682649 143563263 allow ip from any to any

WhitePangolin · Отправлено: **08:18, 18-03-2009** | #4

Эм... я, конечно дико извиняюсь, а чего вы хотели то? При Вашей конфигурации под правило:

Цитата Aidaho:

00100 0 0 deny ip from 192.168.20.2 to any »

попадет только машина 192.168.20.2 которая осуществит обращение к 192.168.20.3, любой другой пакет доблестно подпадет под правило:

Цитата Aidaho:

65535 682649 143563263 allow ip from any to any »

Aidaho · Отправлено: **08:23, 18-03-2009** | #5

2 WhitePangolin
хм.... а как же тогда сделать, что бы ему вообще любой доступ закрывался?

и почему оно так странно отрабатывает? если написано any?

но даже когда я указываю ему конкретный запрет:

00200 deny ip from 192.168.20.2 to 192.168.20.1

ходит...

WhitePangolin · Отправлено: **08:37, 18-03-2009** | #6

Ничего странного в этом нет. Когда у вас 192.168.20.2 обращается к 192.168.20.1 то обращение идет минуя 192.168.20.3. Соответственно ничего и не блокируется. Вот если бы у вас 192.168.20.2 и 192.168.20.1 находились в разных сетях подключенных к разным интерфейсам машины 192.168.20.3, тогда трафик бежал бы сквозь машину и соответственно рулился бы.

Цитата Aidaho:

хм.... а как же тогда сделать, что бы ему вообще любой доступ закрывался? »

Идеальный вариант - выдернуть кабель из свича, но можно обойтись менее радикальными мерами, установив на "плохой" машине фаервол и дать ему правило deny ip from any to any

Aidaho · Отправлено: **08:48, 18-03-2009** | #7

2 WhitePangolin
так 20,2 и 20,1 как раз присоединены к разным сетевым интерфейсам. Даже если на fxp0 нет ip это ничего не меняет...

WhitePangolin · Отправлено: **09:31, 18-03-2009** | #8

/me устал телепатировать и перешел в режим пассивного наблюдения за веткой

Aidaho · Отправлено: **09:41, 18-03-2009** | #9

схема такая:
catalyst<----fxp0--->bridge<---fxp1--->router.

на роутере весит сабинтерфейс с айпи 192,168,20,1
на каталисте в порт воткнут комп с айпи 192,168,20,2

весь трафик идет через бридж, tcpdump его видит. ipfw не блокирует и вообще ни как на него не реагирует. кроме как deny any any.

на интерфейсах бриджа айпи адреса не прописаны, кроме, как на управляющей карте, который в бридж не входит.