unsorted ~ FreeBSD

Вопросы по FreeBSD.

C нами с 09.04.2005 Репутация: **0.1**

ipfw я не силён. Я с pf как то...

Посмотрите листинг загруженных правил. То есть в мане ipfw надо найти ключик который покажет все загруженные правила.

Насколько я помню: в фаерволе есть такая штука как политика по умолчанию. И Вы её обязанны задать. Тут же я не вижу задания этой политики, а добавление только лишь разрешающего правила, и насколько я помню, что если Вы не зададите эту политику по умолчанию, действие по умолчинаю будет drop, и оно будет выполняться последним, следовательно Ваше:

${f} add 100 allow ip from any to any

будет игнорироваться.

Или попробуйте ключевое слово quick.

Примерно так см. мануал:

${f} add 100 allow quick ip from any to any

или как то так. Я НЕ ПОМНЮ как оно точно в ipfw. Но смысл примерно в этом.

В общем покажите листинг цепочек ipfw и состояние счётчиков после пингов с сервера.

По VPN вот чего:

1) Смотрите опять же firewall.
2) Убедитесь, что у Вас открыты требуемые порты наружу, а так же что бы на пути от Вас к этому серверу не блокировался GRE трафик.
3) Включите уже логирование для vpn на стороне сервера, я могу сказать, что логи там ОЧЕНЬ хорошие, и будет сразу очевидно что к чему.
4) mpd не любит пробелы в конфигах.
5) mpd не очень любит когда клиенты и сама VPN подсеть из одного диапазона, т.е. для VPN лучше завести одну приватную подсеть.

Добавлено спустя 2 минуты 40 секунд:

И ещё:

ЕЙ Уважаемый, что за амлет, а где же яйца?

${f} add 100 allow quick ip from any to any

Это правило разрешает протокол ip!

ping использует протокол icmp. dns насколько я помню использует udp.

Будте уже добры разрешить и эти протоколы.

C нами с 27.02.2010 Репутация: **64.7**

вечером время будет отпишу

Возраст: 37 C нами с 20.08.2006 Репутация: **133.3**

А чем squid не устраивает? Зачем ipfw юзать?

C нами с 27.02.2010 Репутация: **64.7**

эм, а FreeDom знает собственно зачем одно и другое?, если бы знал, таких вопросов бы не задавал

Добавлено спустя 50 секунд:

это что то вроде хотел выделиться, а не получилось

Возраст: 37 C нами с 20.08.2006 Репутация: **133.3**

Liner, я и не думал выделяться! Может я не профи в этом, но разве это не в одной ветке? Squid он же прокси и фаервол, ipfw штатный фаервол на фрюхе. Может я не прав???

C нами с 27.02.2010 Репутация: **64.7**

FreeDom, откройте яндекс, прежде чем писать...
посмотрим вики:
ipfirewall — межсетевой экран, который встроен во FreeBSD......
Squid — программный пакет, реализующий функцию кэширующего прокси-сервера........
хоть поищите в поисковиках, прежде чем писать....
DALDON, если не силён, зачем тогда советовать?
могу вывалить полный список правил, но от этого будет больше путаницы, я приведу как делал, чтобы проверить Ваши варианты:

bash> /sbin/ipfw -f -q flush

- очищаем все правила, без подтверждения и т.д.

bash> ipfw add 1 allow all from any to any

всё, мы всё разрешили
тестируем:

[root@test /home/start]# ping ya.ru
PING ya.ru (77.88.21.3): 56 data bytes
^C
--- ya.ru ping statistics ---
7 packets transmitted, 0 packets received, 100.0% packet loss
[root@test /home/start]# ping 10.110.0.3
PING 10.110.0.3 (10.110.0.3): 56 data bytes
64 bytes from 10.110.0.3: icmp_seq=0 ttl=61 time=2.232 ms
64 bytes from 10.110.0.3: icmp_seq=1 ttl=61 time=1.664 ms
^C
--- 10.110.0.3 ping statistics ---
2 packets transmitted, 2 packets received, 0.0% packet loss
round-trip min/avg/max/stddev = 1.664/1.948/2.232/0.284 ms

ситуация не поменялась Улыбочка

, ещё варианты?

C нами с 09.04.2005 Репутация: **0.1**

FreeDom писал(а):

Squid он же прокси и фаервол, ipfw штатный фаервол на фрюхе.

Правы, но squid это уровень ВЫШЕ. Что то около 7-го. Тогда как firewall это 3.

http://ru.wikipedia.org/wiki/%D0%9C%D0%BE%D0%B4%D0%B5%D0%BB%D1%8C_OSI

C нами с 27.02.2010 Репутация: **64.7**

DALDON, по VPN вы мне новостей не открыли, это я всё знаю я спрашивал про туннель в туннеле, и поддержку ядром фри, с каким компонентом надо собирать, и фишки с MTU, там по сути больше копать нечем(, хотя надо будет протестировать напрямую через внешку с ноута соединится, тогда отпадёт вероятность про MTU

C нами с 09.04.2005 Репутация: **0.1**

Liner писал(а):

имеется фря 8.0 на виртуалке

Смотреть как сама фря получает Интернет.

Насколько я знаю в VirtualBOX имеются некоторые проблемы если это NAT.
Смотреть маршрутизацию на хостовой ОС.
Смотреть маршрутизацию на гостевой ОС. т.е. FreeBSD. - у вас там в Авиэле насколько я знаю всё через попу.
Вообще в целом не понятно, какой ip имеет сама гостевая FreeBSD? Если оно в Авиэл, какой адрес имет тогда хост ОС?
Пинговать тот же Яндекс по ip
Трайсроут до Яндекс с гостя и с хоста и с ОС находящейся за NAT. -

Кстати ОС та, что за NAT, она точно за ним? А то может напутали чего? Ибо чудеса какие то.. Трайсрут в общем с неё.

-
Всё же смотреть листинг счётчика файрвола.

Про VPN, не могу сказать точно. Опять же надо смотреть логи. В целом у меня работает mpd хорошо. Но в некоторых случаях не очень. Поэтому и настроил OpenVPN - вполне себе адекватное решение.

Liner писал(а):

DALDON, если не силён, зачем тогда советовать?

В общем глупостей то я не советую, в прочем если не нравится, не буду советовать ничего. Ставите себе задачу на выходные? - Ну тогда и решайте сами, без хамства.

Возраст: 36 C нами с 08.01.2006 Репутация: **128.1**

Liner писал(а):

стоит серв далеко, тоже фри 8, решил на нём поднять ppptp сервер, чтобы извне подключаться и иметь все фишки сети, как пользователь, однако внутри сети vpn создаётся, а вот с снаружи подключиться не получается, пробовал mtu снизить не вариант, кто с таким сталкивался?, если надо конфиги выложу

Советую заюзать OpenVPN...а уже поверх него пускать что угодно. С mpd действительно есть проблемы при работе с NAT. Это касается PPTP и связано с непрохождением LCP-ответов сквозь NAT. L2TP не проверял.
_______
Касательно NAT, проблема может быть в виртуалке. Для верности интерфейс хостовой машины должен быть в бридже. И там не должно быть IP-адреса. Точнее сходу не скажу, не так глубоко работал с виртуалками и надо читать что люди делают и получается ли оно у них Улыбочка

Цитата:

ping использует протокол icmp. dns насколько я помню использует udp.

ICMP- это отдельный протокол, который ходит поверх IP.
http://www.faqs.org/rfcs/rfc792.html

Цитата:

А чем squid не устраивает? Зачем ipfw юзать?

Сквид для других целей и у него производительность ниже.

C нами с 09.04.2005 Репутация: **0.1**

MinDeR писал(а):

ICMP- это отдельный протокол, который ходит поверх IP.

Цитата:

ICMP, uses the basic support of IP as if it were a higher
level protocol, however, ICMP is actually an integral part of IP, and
must be implemented by every IP module.

Интересно. Видимо по этому файерволы рулят им отдельно.

MinDeR писал(а):

Для верности интерфейс хостовой машины должен быть в бридже.

Да, у меня в бридже всё ок.

MinDeR писал(а):

И там не должно быть IP-адреса.

В целом да, но у меня и так работает Улыбочка

у меня eth0 как раз не имеет адреса. Улыбочка

Возраст: 36 C нами с 08.01.2006 Репутация: **128.1**

DALDON писал(а):

Интересно. Видимо по этому файерволы рулят им отдельно.

Правда я не уверен в том, что есть заблокировать IP, то будет ходить icmp. Надо по таблице OSI посмотреть.

DALDON писал(а):

В целом да, но у меня и так работает Улыбочка

у меня eth0 как раз не имеет адреса. Улыбочка

На фре есть eth? Смотри

???

C нами с 27.02.2010 Репутация: **64.7**

daldon:
Фри стоит на виртуалке, на обычной XP, всё это дело + ещё пару машин за роутером, для теста роутер убираю, подключаю напрямую к машине с XP и фри...

DALDON писал(а):

Насколько я знаю в VirtualBOX имеются некоторые проблемы если это NAT

зависит от кривизны рук

DALDON писал(а):

Смотреть маршрутизацию на хостовой ОС

смотрел

DALDON писал(а):

Вообще в целом не понятно, какой ip имеет сама гостевая FreeBSD? Если оно в Авиэл, какой адрес имет тогда хост ОС?

у меня есть дома роутер, все связки тестируются за ним, но также тестировал и без него, всё просто на внешнем интерфейсе в свойствах соединения убираем галочку TCP/IP, и всё, остаётся работать на нём только WM Bridge protokol, на котором ставим что нам надо

DALDON писал(а):

Пинговать тот же Яндекс по ip

ты видимо не смотрел что я писал выше, по пинге DNS сервер определяет ip, а вот пакеты не бегают, также пинговал просто по ip, про это тоже писал

DALDON писал(а):

Трайсроут до Яндекс с гостя и с хоста и с ОС находящейся за NAT

да пожалуйста - трасер с XP (прыжок идёт через фри)

[code]C:\Documents and Settings\Eugene>tracert ya.ru
Трассировка маршрута к ya.ru [93.158.134.3]
с максимальным числом прыжков 30:
daldon:
Фри стоит на виртуалке, на обычной XP, всё это дело + ещё пару машин за роутером, для теста роутер убираю, подключаю напрямую к машине с XP и фри...

DALDON писал(а):

Насколько я знаю в VirtualBOX имеются некоторые проблемы если это NAT

зависит от кривизны рук

DALDON писал(а):

Смотреть маршрутизацию на хостовой ОС

смотрел

DALDON писал(а):

Вообще в целом не понятно, какой ip имеет сама гостевая FreeBSD? Если оно в Авиэл, какой адрес имет тогда хост ОС?

у меня есть дома роутер, все связки тестируются за ним, но также тестировал и без него, всё просто на внешнем интерфейсе в свойствах соединения убираем галочку TCP/IP, и всё, остаётся работать на нём только WM Bridge protokol, на котором ставим что нам надо

DALDON писал(а):

Пинговать тот же Яндекс по ip

ты видимо не смотрел что я писал выше, по пинге DNS сервер определяет ip, а вот пакеты не бегают, также пинговал просто по ip, про это тоже писал

DALDON писал(а):

Трайсроут до Яндекс с гостя и с хоста и с ОС находящейся за NAT

да пожалуйста - трасер с XP (прыжок идёт через фри)

[code]
C:\Documents and Settings\Eugene>tracert ya.ru
Трассировка маршрута к ya.ru [93.158.134.3]
с максимальным числом прыжков 30:
1 16 ms <1 мс <1 мс 192.168.254.1
2 37 ms 39 ms 40 ms 10.110.63.129
3 36 ms 39 ms 40 ms 10.110.255.13
4 37 ms 39 ms 39 ms 10.110.255.17
5 35 ms 39 ms 40 ms 10.110.2.37
6 35 ms 39 ms 39 ms 80.252.156.157
7 35 ms 40 ms 39 ms 193.232.244.93
8 35 ms 39 ms 40 ms www.yandex.ru [93.158.134.3][/code]
Трассировка завершена.
с фри ни трасер, ни ping не работают, уже писал про это

DALDON писал(а):

листинг счётчика файрвола

пожалуста подробней про эти иностранные слова

Добавлено спустя 3 минуты 27 секунд:

мдя, корячился, корячился, а длинных сообщений написать не могу

Возраст: 36 C нами с 08.01.2006 Репутация: **128.1**

Цитата:

May 26 22:20:10 router mpd: [L-1] LCP: parameter negotiation failed
May 26 22:20:10 router mpd: [L-1] LCP: state change Req-Sent —> Stopped

После 10-ти запросов...так быть не должно.

Тестируйте на прямых соединениях.

C нами с 27.02.2010 Репутация: **64.7**

ну напишите кто нибудь, я конфиги выложу Mpd, а то глюки начинаются с сообщением

Добавлено спустя 19 секунд:

DALDON писал(а):

Опять же надо смотреть логи

хотите? пожалуйста Улыбочка

сервер удалённый:
логи одного подключения:

May 26 22:19:50 router mpd: [L-1] Accepting PPTP connection
May 26 22:19:50 router mpd: [L-1] Link: OPEN event
May 26 22:19:50 router mpd: [L-1] LCP: Open event
May 26 22:19:50 router mpd: [L-1] LCP: state change Initial --> Starting
May 26 22:19:50 router mpd: [L-1] LCP: LayerStart
May 26 22:19:50 router mpd: [L-1] PPTP: attaching to peer's outgoing call
May 26 22:19:50 router mpd: [L-1] Link: UP event
May 26 22:19:50 router mpd: [L-1] LCP: Up event
May 26 22:19:50 router mpd: [L-1] LCP: state change Starting --> Req-Sent
May 26 22:19:50 router mpd: [L-1] LCP: SendConfigReq #1
May 26 22:19:50 router mpd: [L-1]   ACFCOMP
May 26 22:19:50 router mpd: [L-1]   PROTOCOMP
May 26 22:19:50 router mpd: [L-1]   MRU 1500
May 26 22:19:50 router mpd: [L-1]   MAGICNUM d9243896
May 26 22:19:50 router mpd: [L-1]   AUTHPROTO CHAP MSOFTv2
May 26 22:19:50 router mpd: [L-1]   MP MRRU 2048
May 26 22:19:50 router mpd: [L-1]   MP SHORTSEQ
May 26 22:19:50 router mpd: [L-1]   ENDPOINTDISC [802.1] 01 13 d4 5b 1c 4c
May 26 22:19:52 router mpd: [L-1] LCP: SendConfigReq #2
May 26 22:19:52 router mpd: [L-1]   ACFCOMP
May 26 22:19:52 router mpd: [L-1]   PROTOCOMP
May 26 22:19:52 router mpd: [L-1]   MRU 1500
May 26 22:19:52 router mpd: [L-1]   MAGICNUM d9243896
May 26 22:19:52 router mpd: [L-1]   AUTHPROTO CHAP MSOFTv2
May 26 22:19:52 router mpd: [L-1]   MP MRRU 2048
May 26 22:19:52 router mpd: [L-1]   MP SHORTSEQ
May 26 22:19:52 router mpd: [L-1]   ENDPOINTDISC [802.1] 01 13 d4 5b 1c 4c
May 26 22:19:54 router mpd: [L-1] LCP: SendConfigReq #3
May 26 22:19:54 router mpd: [L-1]   ACFCOMP
May 26 22:19:54 router mpd: [L-1]   PROTOCOMP
May 26 22:19:54 router mpd: [L-1]   MRU 1500
May 26 22:19:54 router mpd: [L-1]   MAGICNUM d9243896
May 26 22:19:54 router mpd: [L-1]   AUTHPROTO CHAP MSOFTv2
May 26 22:19:54 router mpd: [L-1]   MP MRRU 2048
May 26 22:19:54 router mpd: [L-1]   MP SHORTSEQ
May 26 22:19:54 router mpd: [L-1]   ENDPOINTDISC [802.1] 01 13 d4 5b 1c 4c
May 26 22:19:56 router mpd: [L-1] LCP: SendConfigReq #4
May 26 22:19:56 router mpd: [L-1]   ACFCOMP
May 26 22:19:56 router mpd: [L-1]   PROTOCOMP
May 26 22:19:56 router mpd: [L-1]   MRU 1500
May 26 22:19:56 router mpd: [L-1]   MAGICNUM d9243896
May 26 22:19:56 router mpd: [L-1]   AUTHPROTO CHAP MSOFTv2
May 26 22:19:56 router mpd: [L-1]   MP MRRU 2048
May 26 22:19:56 router mpd: [L-1]   MP SHORTSEQ
May 26 22:19:56 router mpd: [L-1]   ENDPOINTDISC [802.1] 01 13 d4 5b 1c 4c
May 26 22:19:58 router mpd: [L-1] LCP: SendConfigReq #5
May 26 22:19:58 router mpd: [L-1]   ACFCOMP
May 26 22:19:58 router mpd: [L-1]   PROTOCOMP
May 26 22:19:58 router mpd: [L-1]   MRU 1500
May 26 22:19:58 router mpd: [L-1]   MAGICNUM d9243896
May 26 22:19:58 router mpd: [L-1]   AUTHPROTO CHAP MSOFTv2
May 26 22:19:58 router mpd: [L-1]   MP MRRU 2048
May 26 22:19:58 router mpd: [L-1]   MP SHORTSEQ
May 26 22:19:58 router mpd: [L-1]   ENDPOINTDISC [802.1] 01 13 d4 5b 1c 4c
May 26 22:20:00 router mpd: [L-1] LCP: SendConfigReq #6
May 26 22:20:00 router mpd: [L-1]   ACFCOMP
May 26 22:20:00 router mpd: [L-1]   PROTOCOMP
May 26 22:20:00 router mpd: [L-1]   MRU 1500
May 26 22:20:00 router mpd: [L-1]   MAGICNUM d9243896
May 26 22:20:00 router mpd: [L-1]   AUTHPROTO CHAP MSOFTv2
May 26 22:20:00 router mpd: [L-1]   MP MRRU 2048
May 26 22:20:00 router mpd: [L-1]   MP SHORTSEQ
May 26 22:20:00 router mpd: [L-1]   ENDPOINTDISC [802.1] 01 13 d4 5b 1c 4c
May 26 22:20:02 router mpd: [L-1] LCP: SendConfigReq #7
May 26 22:20:02 router mpd: [L-1]   ACFCOMP
May 26 22:20:02 router mpd: [L-1]   PROTOCOMP
May 26 22:20:02 router mpd: [L-1]   MRU 1500
May 26 22:20:02 router mpd: [L-1]   MAGICNUM d9243896
May 26 22:20:02 router mpd: [L-1]   AUTHPROTO CHAP MSOFTv2
May 26 22:20:02 router mpd: [L-1]   MP MRRU 2048
May 26 22:20:02 router mpd: [L-1]   MP SHORTSEQ
May 26 22:20:02 router mpd: [L-1]   ENDPOINTDISC [802.1] 01 13 d4 5b 1c 4c
May 26 22:20:04 router mpd: [L-1] LCP: SendConfigReq #8
May 26 22:20:04 router mpd: [L-1]   ACFCOMP
May 26 22:20:04 router mpd: [L-1]   PROTOCOMP
May 26 22:20:04 router mpd: [L-1]   MRU 1500
May 26 22:20:04 router mpd: [L-1]   MAGICNUM d9243896
May 26 22:20:04 router mpd: [L-1]   AUTHPROTO CHAP MSOFTv2
May 26 22:20:04 router mpd: [L-1]   MP MRRU 2048
May 26 22:20:04 router mpd: [L-1]   MP SHORTSEQ
May 26 22:20:04 router mpd: [L-1]   ENDPOINTDISC [802.1] 01 13 d4 5b 1c 4c
May 26 22:20:06 router mpd: [L-1] LCP: SendConfigReq #9
May 26 22:20:06 router mpd: [L-1]   ACFCOMP
May 26 22:20:06 router mpd: [L-1]   PROTOCOMP
May 26 22:20:06 router mpd: [L-1]   MRU 1500
May 26 22:20:06 router mpd: [L-1]   MAGICNUM d9243896
May 26 22:20:06 router mpd: [L-1]   AUTHPROTO CHAP MSOFTv2
May 26 22:20:06 router mpd: [L-1]   MP MRRU 2048
May 26 22:20:06 router mpd: [L-1]   MP SHORTSEQ
May 26 22:20:06 router mpd: [L-1]   ENDPOINTDISC [802.1] 01 13 d4 5b 1c 4c
May 26 22:20:08 router mpd: [L-1] LCP: SendConfigReq #10
May 26 22:20:08 router mpd: [L-1]   ACFCOMP
May 26 22:20:08 router mpd: [L-1]   PROTOCOMP
May 26 22:20:08 router mpd: [L-1]   MRU 1500
May 26 22:20:08 router mpd: [L-1]   MAGICNUM d9243896
May 26 22:20:08 router mpd: [L-1]   AUTHPROTO CHAP MSOFTv2
May 26 22:20:08 router mpd: [L-1]   MP MRRU 2048
May 26 22:20:08 router mpd: [L-1]   MP SHORTSEQ
May 26 22:20:08 router mpd: [L-1]   ENDPOINTDISC [802.1] 01 13 d4 5b 1c 4c
May 26 22:20:10 router mpd: [L-1] LCP: parameter negotiation failed
May 26 22:20:10 router mpd: [L-1] LCP: state change Req-Sent --> Stopped
May 26 22:20:10 router mpd: [L-1] LCP: LayerFinish
May 26 22:20:10 router mpd: [L-1] PPTP call terminated
May 26 22:20:10 router mpd: [L-1] Link: DOWN event
May 26 22:20:10 router mpd: [L-1] LCP: Close event
May 26 22:20:10 router mpd: [L-1] LCP: state change Stopped --> Closed
May 26 22:20:10 router mpd: [L-1] LCP: Down event
May 26 22:20:10 router mpd: [L-1] LCP: state change Closed --> Initial
May 26 22:20:10 router mpd: [L-1] Link: SHUTDOWN event
May 26 22:20:10 router mpd: [L-1] Link: Shutdown

конфиг
mpd.conf

default:
        load pptp_server

pptp_server:
        # Определяем диапазон выдаваемых IP удалённым клиентам
        set ippool add poolsat 192.10.20.20 172.10.20.25
        create bundle template B
        set iface enable proxy-arp
        set iface idle 0
        set iface enable tcpmssfix
        set ipcp yes vjcomp
        # IP адрес сервера,
        set ipcp ranges 192.10.20.1/32 ippool poolsat
        # свой ДНС сервер,
        set ipcp dns 192.10.20.1

        # Enable Microsoft Point-to-Point encryption (MPPE)
        set bundle enable compression
        set ccp yes mppc
        set mppc yes compress e40 e56 e128 stateless

        create link template L pptp
        set link enable multilink
        set link yes acfcomp protocomp

        set link action bundle B
        set link no pap chap
        set link enable chap
        set link enable chap-msv1
        set link enable chap-msv2
        set link mtu 1460
        set link keep-alive 10 75

        # Configure PPTP and open link
        # Тут указываем IP ИНЕТ
        #set pptp self 2.4.1.0
        set link enable incoming

в rc.firewall добавил вот это:

${f} add 10 allow tcp from any to me 1723
${f} add 11 allow gre from any to any

ну и напоследок
pf.conf

set limit states 128000
set optimization aggressive
nat pass on fxp0 from 192.10.20.0/22 to any -> fxp0
rdr on fxp0 proto tcp from any to any port 1723 -> 192.10.20.1 port 1723
rdr on fxp0 proto gre from any to any  -> 192.10.20.1

пускай дата не смущает, это просто кусок вырезал, с того времени пока забил на это, хотя проблему надо решать, ну уважаемые знатоки, Ваш ход Весело

Добавлено спустя 36 секунд:

MinDeR писал(а):

После 10-ти запросов...так быть не должно.

ДА? а как должно? Улыбочка

Добавлено спустя 3 минуты 7 секунд:

да, ещё тестил telnet тоже не коннектится к pptp серверу