Народ, подскажите, правильно ли я понял принцип работы, и достаточно ли этого для цели "можно заходить только с двух определённых IP" ?# ipfw list00100 allow ip from any to any via lo000200 deny ip from any to 127.0.0.0/800300 deny ip from 127.0.0.0/8 to any00400 deny ip from any to ::100500 deny ip from ::1 to any00600 allow ipv6-icmp from :: to ff02::/1600700 allow ipv6-icmp from fe80::/10 to fe80::/1000800 allow ipv6-icmp from fe80::/10 to ff02::/1600900 allow ipv6-icmp from any to any ip6 icmp6types 101000 allow ipv6-icmp from any to any ip6 icmp6types 2,135,13601100 deny ip from not 1X.XXX.XXX.XX,2X.XXX.XXX.XX to me65000 allow ip from any to any65535 deny ip from any to anyПравила 100-1000 - стандартные в FreeBSD, правило 1100 - отсекает все входящие соединения кроме как с IP №1 и №2 (1X.XXX.XXX.XX, 2X.XXX.XXX.XX), правило 65000 позволяет трафику свободно бегать, т.к. по IP уже филтрация прошла, а правило 65535 закрывает всё, что не открыто правилами ранее, т.е. отпределяет фаерволл закрытого типа. На практике проверял, всё норм, вопрос - я всё правильно расписал?
pump
>>1909094 (OP)правила твои полная хуйнязачем нужно разрешающее правило после того, как ты запретил хождение всего IP трафика?оно будет выполняться лишь для твоих двух IPпоследнее правило тоже бесполезно.>трафику свободно бегать, т.к. по IP уже филтрация прошлакакому-такому трафику? ты фильтруешь снова по IP.deny ip>а правило 65535 закрывает всёчто оно закрывает, лол? у тебя все открыто 65000на твоем бы месте я бы сделал правила, разрешающие хождение трафика для определенных IP а все остальное бы порезал последним правилом.ipfw pass ip ip1 to meipfw pass ip ip2 to me...а если эти IP часто меняются, то лучше все сделать через таблицы.зачем отдельные правила - чтобы можно было узреть количество пакетов, прошедших по этим правилам и понять, ходят ли они вообще.
>>1909523Сделал, в итоге потерял доступ к компу. Я 65000 для того и оставил, чтобы после того как я зайду с определённого IP и пройду отсеивание, я имел полную свободу. 65535 кстати, тоже стандартное правило в FreeBSD которое дописывается в конец. Вот все мои правила из /etc/firewall.conf (обращение к которым я прописал в rc.conf как firewall_type="/etc/firewall.conf")add deny ip from not 1X.XXX.XXX.XX,2X.XXX.XXX.XX to meadd 65000 allow ip from any to any
jump
>>1909979>Сделал, в итоге потерял доступ к компулол, потому что ты не разрешил хождение пакетов от себя к разрешенным хостам.
>>1909979>65535 кстати, тоже стандартное правило в FreeBSD которое дописывается в конецзависит от ядрая например юзаю options IPFIREWALL_DEFAULT_TO_ACCEPTокукливаться как ты смысла мало, нужно лишь прикрыть сервисы, которые у тебя работают.
>>1915562Комп раздаёт iptv наружу, нельзя чтобы все могли его тянуть.
