🚀 go-pugleaf

Dariusz Rubinkiewicz wrote on 2009-04-24 00:58:

> Probowalem z opcja state-policy if-bound i bez tej opcji, probowalem dla
> tcp i keep state i modulate state.

Tutaj musisz użyć reply-to/route-to, zdaje się. No i pamiętaj, że "keep 
state" dla FreeBSD7 jest domyślny - czy napiszesz explicite "keep state" 
czy nie, stan jest ustawiany (a jak nie chcesz stanu, piszesz "no state").

-- 
*   Maciej Wierzbicki * At paranoia's poison door  *
*   VOO1-RIPE   *

Użytkownik "Dariusz Rubinkiewicz" <vdr@debesciak.nie.lubie.spamu.net> napisał w 
wiadomości news:20090424005853.00002856@unknown...
> Witam.
> Serwer na Freebsd 7.1, 2 lacza od ISP, ssh nasluchujace na adresach z
> obydwu sieci.
>
>
> PF okrojony na maxa aby wyeliminowac przypadkowe bledy:
> #interfejs dla lacza 1
> ext_if1 = "sk0"
> #interfejs dla lacza 2
> ext_if2 = "tl0"
>
> # adres GW dla lacza 1
> ext_gw1 = "xxx.xxx.xxx.xxx"
>
> # adres GW dla lacza 2
> ext_gw2 = "zzz.zzz.zzz.zzz"
>
> #set state-policy if-bound
>
> pass out log (all) on $ext_if1 proto tcp from any to any
> flags S/SA keep state
>
> pass out log (all) on $ext_if1 proto { udp, icmp } from any to any
> keep state
>
> pass out log (all) on $ext_if2 proto tcp from any to any
> flags S/SA keep state
>
> pass out log (all) on $ext_if2 proto{ udp, icmp } from any to any
> keep state
>
> pass out log (all) on $ext_if1 route-to ($ext_if2 $ext_gw2)
> from $ext_if2 to any
>
> pass out log (all) on $ext_if2 route-to ($ext_if1 $ext_gw1)
> from $ext_if1 to any
>
> Default gw w tablicy routingu via lacze_1. Proba dostania sie na
> maszyne za pomoca ssh laczem_1 bez problemu. Proba dostania sie na
> maszyne po ssh laczem_2 - kaplica.
>
> Probowalem z opcja state-policy if-bound i bez tej opcji, probowalem dla
> tcp i keep state i modulate state.
>
> Tcpdump pokazuje ze na tl0 pakiety na port 22 przychodza:
>
> 00:25:23.560682 IP 195.225.76.25.52722 > zzz.zzz.zzz.zzz.22: S
> 798197045:798197045(0) win 5840 <mss 1460,sackOK,timestamp 405870543
> 0,nop,wscale 0>
>
> Po chwili jednak pojawia sie:
> 00:25:23.565682 IP 88.220.127.89 > zzz.zzz.zzz.zzz: ICMP host
> 195.225.76.25 unreachable - admin prohibited filter, length 36
>
> 88.220.127.89 to router brzegowy dla klasy xxx.xxx.xxx.xxx dla mojego
> dostawcy lacza_1. Czyli pakiety wyjsciowe miast pojsc przez tl0
> czyli laczem_2 poszly via sk0 czyli laczem_1
>
> Gdzie robie blad ? Moze cos w sysctlu musze wlaczyc ?
>

tu masz przykladowe rozwiazanie i wiele ciekawych rzeczy
http://www.probsd.net/pf/index.php/Dual_ISP_Loadbalanced_Network
czyli Twoja regulka wpuszczajaca ssh to np

pass in quick log on $ext_if2 reply-to ( $ext_if2 $ext_gw2 )\
    proto tcp from any to any port 22 keep state 

On Sat, 25 Apr 2009 11:05:01 +0200
"mlotek" <mlotek@buziaczek.pl> wrote:


> tu masz przykladowe rozwiazanie i wiele ciekawych rzeczy
> http://www.probsd.net/pf/index.php/Dual_ISP_Loadbalanced_Network
> czyli Twoja regulka wpuszczajaca ssh to np
> 
> pass in quick log on $ext_if2 reply-to ( $ext_if2 $ext_gw2 )\
>     proto tcp from any to any port 22 keep state 
> 

Dopiero dzisiaj moglem do tego przysiasc. Faktycznie reply-to
rozwiazalo problem :) 

Dzieki.

-- 
vdr.