🚀 go-pugleaf

Użytkownik "Dariusz Rubinkiewicz" <vdr@debesciak.nie.lubie.spamu.net> napisał w 
wiadomości news:20090424005853.00002856@unknown...
> Witam.
> Serwer na Freebsd 7.1, 2 lacza od ISP, ssh nasluchujace na adresach z
> obydwu sieci.
>
>
> PF okrojony na maxa aby wyeliminowac przypadkowe bledy:
> #interfejs dla lacza 1
> ext_if1 = "sk0"
> #interfejs dla lacza 2
> ext_if2 = "tl0"
>
> # adres GW dla lacza 1
> ext_gw1 = "xxx.xxx.xxx.xxx"
>
> # adres GW dla lacza 2
> ext_gw2 = "zzz.zzz.zzz.zzz"
>
> #set state-policy if-bound
>
> pass out log (all) on $ext_if1 proto tcp from any to any
> flags S/SA keep state
>
> pass out log (all) on $ext_if1 proto { udp, icmp } from any to any
> keep state
>
> pass out log (all) on $ext_if2 proto tcp from any to any
> flags S/SA keep state
>
> pass out log (all) on $ext_if2 proto{ udp, icmp } from any to any
> keep state
>
> pass out log (all) on $ext_if1 route-to ($ext_if2 $ext_gw2)
> from $ext_if2 to any
>
> pass out log (all) on $ext_if2 route-to ($ext_if1 $ext_gw1)
> from $ext_if1 to any
>
> Default gw w tablicy routingu via lacze_1. Proba dostania sie na
> maszyne za pomoca ssh laczem_1 bez problemu. Proba dostania sie na
> maszyne po ssh laczem_2 - kaplica.
>
> Probowalem z opcja state-policy if-bound i bez tej opcji, probowalem dla
> tcp i keep state i modulate state.
>
> Tcpdump pokazuje ze na tl0 pakiety na port 22 przychodza:
>
> 00:25:23.560682 IP 195.225.76.25.52722 > zzz.zzz.zzz.zzz.22: S
> 798197045:798197045(0) win 5840 <mss 1460,sackOK,timestamp 405870543
> 0,nop,wscale 0>
>
> Po chwili jednak pojawia sie:
> 00:25:23.565682 IP 88.220.127.89 > zzz.zzz.zzz.zzz: ICMP host
> 195.225.76.25 unreachable - admin prohibited filter, length 36
>
> 88.220.127.89 to router brzegowy dla klasy xxx.xxx.xxx.xxx dla mojego
> dostawcy lacza_1. Czyli pakiety wyjsciowe miast pojsc przez tl0
> czyli laczem_2 poszly via sk0 czyli laczem_1
>
> Gdzie robie blad ? Moze cos w sysctlu musze wlaczyc ?
>

tu masz przykladowe rozwiazanie i wiele ciekawych rzeczy
http://www.probsd.net/pf/index.php/Dual_ISP_Loadbalanced_Network
czyli Twoja regulka wpuszczajaca ssh to np

pass in quick log on $ext_if2 reply-to ( $ext_if2 $ext_gw2 )\
    proto tcp from any to any port 22 keep state