🚀 go-pugleaf

Witam. 
Serwer na Freebsd 7.1, 2 lacza od ISP, ssh nasluchujace na adresach z
obydwu sieci.  


PF okrojony na maxa aby wyeliminowac przypadkowe bledy:
#interfejs dla lacza 1
ext_if1 = "sk0" 
#interfejs dla lacza 2
ext_if2 = "tl0" 

# adres GW dla lacza 1
ext_gw1 = "xxx.xxx.xxx.xxx"

# adres GW dla lacza 2 
ext_gw2 = "zzz.zzz.zzz.zzz" 

#set state-policy if-bound

pass out log (all) on $ext_if1 proto tcp from any to any
 flags S/SA keep state 

pass out log (all) on $ext_if1 proto { udp, icmp } from any to any 
 keep state 

pass out log (all) on $ext_if2 proto tcp from any to any 
 flags S/SA keep state 

pass out log (all) on $ext_if2 proto{ udp, icmp } from any to any
 keep state

pass out log (all) on $ext_if1 route-to ($ext_if2 $ext_gw2) 
 from $ext_if2 to any 

pass out log (all) on $ext_if2 route-to ($ext_if1 $ext_gw1) 
 from $ext_if1 to any

Default gw w tablicy routingu via lacze_1. Proba dostania sie na
maszyne za pomoca ssh laczem_1 bez problemu. Proba dostania sie na
maszyne po ssh laczem_2 - kaplica.

Probowalem z opcja state-policy if-bound i bez tej opcji, probowalem dla
tcp i keep state i modulate state.

Tcpdump pokazuje ze na tl0 pakiety na port 22 przychodza:

00:25:23.560682 IP 195.225.76.25.52722 > zzz.zzz.zzz.zzz.22: S
798197045:798197045(0) win 5840 <mss 1460,sackOK,timestamp 405870543
0,nop,wscale 0>

Po chwili jednak pojawia sie:
00:25:23.565682 IP 88.220.127.89 > zzz.zzz.zzz.zzz: ICMP host
195.225.76.25 unreachable - admin prohibited filter, length 36

88.220.127.89 to router brzegowy dla klasy xxx.xxx.xxx.xxx dla mojego
dostawcy lacza_1. Czyli pakiety wyjsciowe miast pojsc przez tl0
czyli laczem_2 poszly via sk0 czyli laczem_1 

Gdzie robie blad ? Moze cos w sysctlu musze wlaczyc ? 

Pozdrawiam.

-- 
vdr.