🚀 go-pugleaf

In article <c5us5b$f3k$1@nemesis.news.tpi.pl>, koncio@plusnet.pl says...
> Witam
> Freebsd 4.9 - ipf , ipfw , dhcp + dsl
> rl0 - lan (nat)
> rl2  - dsl
> 
> cat (nie caly) /etc/ipf.rules
> pass in quick on rl0 proto tcp from 10.0.0.7 to any keep state
> pass in quick on rl0 proto tcp from 10.0.0.8 to any keep state
> pass in quick on rl0 proto tcp from 10.0.0.9 to any keep state
> pass in quick on rl0 proto tcp from 10.0.0.11 to any keep state
> pass in quick on rl0 proto tcp from 10.0.0.12 to any keep state
> ... itd.
> block in quick on rl0 all
> 
> cat /usr/local/etc/dhcpd.conf
> host komp0 { hardware ethernet 00:50:fc:d1:42:d0; fixed-address 10.0.0.7; }
> host komp1 { hardware ethernet 00:30:4f:17:07:e0; fixed-address 10.0.0.8; }
> host komp2 { hardware ethernet 00:10:60:74:3d:c5; fixed-address 10.0.0.9; }
> host komp3 { hardware ethernet 00:d0:09:e8:2a:f3; fixed-address 10.0.0.11; }
> host komp4 { hardware ethernet 00:02:44:53:d6:c3; fixed-address 10.0.0.12; }
> host komp5 { hardware ethernet 00:40:f4:87:92:ed; fixed-address 10.0.0.13; }
> ...itd.
> 
> w DHCP przydzialana pula jest za # wiec (wg. mnie) przydziela tylko IP
> powyzszym MAC'om
> 
> Czy taka konfiguracja z grubsza nie pozwala na lewe wpiecie sie w server -
> nat ?
> czy przydalo by sie np. arp ?

Niestety pozwala gdy ktos sobie wpisze recznie IP i oczywiscie inny komp
z tym IP nie bedzie dzialal.
Jak masz ipfw v2 to bedzie proste :

allow ip from X.X.X.X/32 to any bridged mac any 00:FF:OO:FF:00:FF limit 
src-addr 60

W tym przypadku ipfw v2 dziala na bridge ; sprawdzajac poprawnosc pary 
MAC-IP i limitujac ilosc polaczen do 60.

Ewentualnie proxy-arp :

arp -f /gdzies-tam/nazwa-pliku 
a w pliku para mac-ip

> Poza tym mam pytanko, moze ktos robil na dwuch łączach rozproszenie ruchu na
> takiej zasadzie zeby na np. rl1 (dsl1) poszlo www/mail a reszta
> (default_route) na rl2 (dsl2) ? jesli tak to prosze o podpowiedziec w jaki
> sposob mozna zrobic takie przekierowanie danych uslug na okreslone
> łącze(inne niz defaul_route w /etc/rc.conf ) czy da sie to zrobic przy
> pomocy ipf lub ipfw ?

Load balancing na ipf v3 nie istnieje w klasycznym znaczeniu natomiast
przekierowanie wyjscia danych portow (uslug) tak :

pass out quick on fxp0 to fxp1:addr-IP-rutera-2lacza proto tcp/udp from 
X.X.X.X/24 to any port = 22 # ssh
pass out quick on fxp0 to fxp1:addr-IP-rutera-2lacza proto tcp/udp from 
X.X.X.X/24  to any port = 23 # telnet
pass out quick on fxp0 to fxp1:addr-IP-rutera-2lacza proto tcp/udp from 
X.X.X.X/24 to any port = 25 # smtp