Биллинговая система Nodeny

Главная категория => Nodeny 49 => Тема начата: trio от 02 Августа 2009, 01:30:00



Название: Проблемы с шейпером
Отправлено: trio от 02 Августа 2009, 01:30:00
Немогу разобраться
обновился с 45 до 49.19
согласно докам применил простенький список ipwf только для открытия и закрытия доступа.
Все заработало.

Далее согласно тем же докам заменил список ipwf решил попробовать шейпить трафик
но не тут то было.
Доступ с мира в локалку и наоборот прекратился
отрубил 2 последних правила и №2050, доступ с мира в локалку возобновился а наоборот нету.
Где собака зарыта ?

#!/bin/sh -
f='/sbin/ipfw'

ifOut='gif0'

# Сети, в/из которых трафик блокируем
${f} table 120 flush
${f} table 120 add 224.0.0.0/4
#${f} table 120 add 192.168.0.0/16
#${f} table 120 add 172.16.0.0/12

${f} -f flush

${f} add 50 allow tcp from any to me 22
${f} add 51 allow tcp from me 22 to any

${f} add 100 deny tcp from any to any 445

${f} add 110 allow ip from any to any via lo0
${f} add 120 skipto 1000 ip from me to any
${f} add 130 deny icmp from any to any in icmptype 5,9,13,14,15,16,17
${f} add 140 deny ip from any to "table(120)"
${f} add 150 deny ip from "table(120)" to any
${f} add 160 skipto 2000 ip from any to me

${f} add 200 skipto 500 ip from any to any via ${ifOut}

${f} add 300 skipto 4500 ip from any to any in

${f} add 400 skipto 450 ip from any to any recv ${ifOut}
${f} add 420 divert 1 ip from any to any
${f} add 450 divert 2 ip from any to any
${f} add 490 allow ip from any to any

${f} add 500 skipto 32500 ip from any to any in
${f} add 510 divert 1 ip from any to any
${f} add 540 allow ip from any to any


${f} add 1000 allow udp from any 53,7723 to any
${f} add 1010 allow tcp from any to any setup keep-state
${f} add 1020 allow udp from any to any keep-state
${f} add 1100 allow ip from any to any

${f} add 2000 check-state
${f} add 2010 allow icmp from any to any
${f} add 2020 allow tcp from any to any 80,443
${f} add 2050 deny ip from any to any via ${ifOut}
${f} add 2060 allow udp from any to any 53,7723


${f} add 2100 deny ip from any to any


${f} add 32490 deny ip from any to any


Название: Re: Проблемы с шейпером
Отправлено: Efendy от 02 Августа 2009, 06:34:18
ipfw table 10 list
присутствую авторизованные клиенты, которым разрешен доступ?


Название: Re: Проблемы с шейпером
Отправлено: trio от 02 Августа 2009, 11:50:31
ipfw table 10 list
присутствую авторизованные клиенты, которым разрешен доступ?

gw2# ipfw table 10 list
10.7.7.15/32 1012
10.7.7.20/32 1024
10.7.7.25/32 1016
10.7.7.45/32 1004
10.7.7.47/32 1008
10.7.7.53/32 1028
10.7.7.55/32 1020

а также

gw2# ipfw table 1 list
10.7.7.15/32 0
10.7.7.20/32 0
10.7.7.25/32 0
10.7.7.45/32 0
10.7.7.47/32 0
10.7.7.53/32 0
10.7.7.55/32 0

gw2# ipfw table 2 list
10.7.7.15/32 0
10.7.7.20/32 0
10.7.7.22/32 0
10.7.7.25/32 0
10.7.7.31/32 0
10.7.7.33/32 0
10.7.7.35/32 0
10.7.7.37/32 0
10.7.7.39/32 0
10.7.7.41/32 0
10.7.7.43/32 0
10.7.7.45/32 0
10.7.7.47/32 0
10.7.7.49/32 0
10.7.7.51/32 0
10.7.7.53/32 0
gw2#

ipcad.conf
capture-ports enable;
#capture-ports disable;
#interface sk1;
interface divert port 1 netflow-disable;
interface divert port 2 netflow-disable;
rsh enable at 127.0.0.1;
rsh root@127.0.0.1 admin;
rsh ttl = 3;
rsh timeout = 30;
dumpfile = ipcad.dump;
chroot = /tmp;
memory_limit = 50m;

pf.conf

nat pass on gif0 from 10.7.7.0/24 to any -> gif0

ifconfig

sk0: flags=8843<UP,BROADCAST,RUNNING,SIMPLEX,MULTICAST> metric 0 mtu 1500
        options=b<RXCSUM,TXCSUM,VLAN_MTU>
        ether 00:13:d4:c9:f8:bb
        inet 192.168.180.200 netmask 0xffffff00 broadcast 192.168.180.255
        inet 192.168.10.12 netmask 0xffffff00 broadcast 192.168.10.255
        inet 192.168.1.12 netmask 0xffffff00 broadcast 192.168.1.255
        inet 172.16.104.32 netmask 0xffffff00 broadcast 172.16.104.255
        media: Ethernet autoselect (100baseTX <full-duplex>)
        status: active
vr0: flags=8802<BROADCAST,SIMPLEX,MULTICAST> metric 0 mtu 1500
        options=2808<VLAN_MTU,WOL_UCAST,WOL_MAGIC>
        ether 00:1c:f0:d5:f1:b3
        media: Ethernet autoselect (none)
        status: no carrier
sk1: flags=8843<UP,BROADCAST,RUNNING,SIMPLEX,MULTICAST> metric 0 mtu 1500
        options=b<RXCSUM,TXCSUM,VLAN_MTU>
        ether 00:1e:58:49:55:b7
        inet 10.7.7.2 netmask 0xffffff00 broadcast 10.7.7.255
        inet 10.7.77.5 netmask 0xffffff80 broadcast 10.7.77.127
        media: Ethernet autoselect (100baseTX <full-duplex,flag0,flag1>)
        status: active
lo0: flags=8049<UP,LOOPBACK,RUNNING,MULTICAST> metric 0 mtu 16384
        inet 127.0.0.1 netmask 0xff000000
gif0: flags=8051<UP,POINTOPOINT,RUNNING,MULTICAST> metric 0 mtu 1500
        tunnel inet 172.16.104.32 --> 172.16.104.1
        inet 193.108.250.70 --> 193.108.248.15 netmask 0xffffffff

gif0: - тунель с провайдером

авторизация по L2


Название: Re: Проблемы с шейпером
Отправлено: Efendy от 12 Августа 2009, 22:53:58
покажи:
sysctl net.inet.ip.fw.one_pass


Название: Re: Проблемы с шейпером
Отправлено: trio от 13 Августа 2009, 00:49:48
покажи:
sysctl net.inet.ip.fw.one_pass

net.inet.ip.fw.one_pass: 1


Повторил полностью установку нодени с нуля на виртуальной машине.
Эфект тот же, пакеты не ходят с мира, хотя в мир на ура.

Может трабл в направлениях ?


Название: Re: Проблемы с шейпером
Отправлено: Efendy от 13 Августа 2009, 08:53:02
Покажи ipfw list в момент когда кто-то авторизован


Название: Re: Проблемы с шейпером
Отправлено: trio от 13 Августа 2009, 15:12:39
Покажи ipfw list в момент когда кто-то авторизован

bill# ipfw list

00050 allow tcp from any to me dst-port 22
00051 allow tcp from me 22 to any
00110 allow ip from any to any via lo0
00120 skipto 1000 ip from me to any
00130 deny icmp from any to any in icmptypes 5,9,13,14,15,16,17
00160 skipto 2000 ip from any to me
00200 skipto 500 ip from any to any via em0
00300 skipto 4500 ip from any to any in
00400 skipto 450 ip from any to any recv em0
00420 divert 1 ip from any to any
00450 divert 2 ip from any to any
00490 allow ip from any to any
00500 skipto 32500 ip from any to any in
00510 divert 1 ip from any to any
00540 allow ip from any to any
01000 allow udp from any 53,7723 to any
01010 allow tcp from any to any setup keep-state
01020 allow udp from any to any keep-state
01100 allow ip from any to any
02000 check-state
02010 allow icmp from any to any
02020 allow tcp from any to any dst-port 80,443
02050 deny ip from any to any via em0
02060 allow udp from any to any dst-port 53,7723
02100 deny ip from any to any
05000 deny ip from not table(0) to any
05001 skipto 5010 ip from table(127) to table(126)
05002 skipto 5030 ip from any to not table(2)
05003 deny ip from any to not table(1)
05004 pipe tablearg ip from table(21) to any
05005 deny ip from any to any
05010 pipe tablearg ip from table(127) to any
05030 deny tcp from table(15) to any dst-port 25
05150 allow ip from table(51) to table(50)
05160 allow ip from table(61) to table(60)
05400 pipe tablearg ip from table(11) to any
32000 deny ip from any to any
32000 deny ip from any to any
32490 deny ip from any to any
33000 pipe tablearg ip from table(126) to table(127)
33001 skipto 33010 ip from not table(2) to any
33002 pipe tablearg ip from any to table(20)
33003 deny ip from any to any
33150 allow ip from table(50) to table(51)
33160 allow ip from table(60) to table(61)
33400 pipe tablearg ip from any to table(10)
65535 deny ip from any to any

bill# ipfw -a list

00050   102    9020 allow tcp from any to me dst-port 22
00051   106   14704 allow tcp from me 22 to any
00110  1822  113066 allow ip from any to any via lo0
00120 14173 4126409 skipto 1000 ip from me to any
00130     0       0 deny icmp from any to any in icmptypes 5,9,13,14,15,16,17
00160 15298 1974789 skipto 2000 ip from any to me
00200   121   12399 skipto 500 ip from any to any via em0
00300   121   12399 skipto 4500 ip from any to any in
00400     0       0 skipto 450 ip from any to any recv em0
00420     0       0 divert 1 ip from any to any
00450     0       0 divert 2 ip from any to any
00490     0       0 allow ip from any to any
00500   121   12399 skipto 32500 ip from any to any in
00510     0       0 divert 1 ip from any to any
00540     0       0 allow ip from any to any
01000    31    1899 allow udp from any 53,7723 to any
01010     0       0 allow tcp from any to any setup keep-state
01020    18    1901 allow udp from any to any keep-state
01100 14133 4123907 allow ip from any to any
02000     0       0 check-state
02010  1462   87816 allow icmp from any to any
02020 13713 1880569 allow tcp from any to any dst-port 80,443
02050     0       0 deny ip from any to any via em0
02060   114    5106 allow udp from any to any dst-port 53,7723
02100     0       0 deny ip from any to any
05000    35    4924 deny ip from not table(0) to any
05001     0       0 skipto 5010 ip from table(127) to table(126)
05002    43    3966 skipto 5030 ip from any to not table(2)
05003     0       0 deny ip from any to not table(1)
05004     0       0 pipe tablearg ip from table(21) to any
05005     0       0 deny ip from any to any
05010     0       0 pipe tablearg ip from table(127) to any
05030     0       0 deny tcp from table(15) to any dst-port 25
05150     0       0 allow ip from table(51) to table(50)
05160     0       0 allow ip from table(61) to table(60)
05400    43    3966 pipe tablearg ip from table(11) to any
32000     0       0 deny ip from any to any
32000     0       0 deny ip from any to any
32490     3     234 deny ip from any to any
33000     0       0 pipe tablearg ip from table(126) to table(127)
33001    23    3988 skipto 33010 ip from not table(2) to any
33002     0       0 pipe tablearg ip from any to table(20)
33003    55    4902 deny ip from any to any
33150     0       0 allow ip from table(50) to table(51)
33160     0       0 allow ip from table(60) to table(61)
33400     0       0 pipe tablearg ip from any to table(10)
65535    31    5058 deny ip from any to any



Название: Re: Проблемы с шейпером
Отправлено: Efendy от 13 Августа 2009, 16:31:59
Для начала добавь в pf.conf:

set limit states 128000
set optimization aggressive



Название: Re: Проблемы с шейпером
Отправлено: trio от 13 Августа 2009, 22:46:32
добавил - изменений не заметил


Название: Re: Проблемы с шейпером
Отправлено: Efendy от 13 Августа 2009, 23:07:20
какая фря? Может там ipfw сильно старый и не корректно работает с tablearg - ведь все что отличает старый вариант от нового так это использование pipe совместно с tablearg


Название: Re: Проблемы с шейпером
Отправлено: trio от 14 Августа 2009, 08:30:37
Версия 7.2


Название: Re: Проблемы с шейпером
Отправлено: versus от 14 Августа 2009, 08:51:35
а что если это:

nat pass on gif0 from 10.7.7.0/24 to any -> gif0

заменить на это:

nat pass on gif0 from 10.7.7.0/24 to any -> 193.108.250.70




Название: Re: Проблемы с шейпером
Отправлено: trio от 14 Августа 2009, 09:11:41
побовал - никаких изменений


Название: Re: Проблемы с шейпером
Отправлено: Efendy от 14 Августа 2009, 09:26:43
Давай вычисли какое именно правило блочит трафик. Постепенно меняй правила на allow from any to any пока не вычислишь то самое, которое не пропускает. Хотя, конечно, все банально должно работать, тут какие-то бока с системой....


Название: Re: Проблемы с шейпером
Отправлено: trio от 17 Августа 2009, 04:35:52
проблема не в правилах, перепробовал подменивать все правила.
Помоему не натятся пакеты.
Прошу помощи знающих людей, за вознагражднение.
Доступ по ssh и веб обеспечу


Название: Re: Проблемы с шейпером
Отправлено: blackjack от 17 Августа 2009, 10:47:26
Мужики юзайте ipfw nat я вот тоже пробовал в качестве ната пф, но были косяки такие что после перезагрузки правил ipfw  пф нат срабатывал до  ipfw и в результате трафик не считался приходилось загружать еще раз нат пф. Короче перешол полностью на ipfw, так и в листинге правил видно что куда идет.


Название: Re: Проблемы с шейпером
Отправлено: Efendy от 17 Августа 2009, 15:58:07
не понял проблемы, разъясните мне поподробней почему pf nat влияет на подсчет трафика


Название: Re: Проблемы с шейпером
Отправлено: trio от 17 Августа 2009, 18:40:44
Короче перешол полностью на ipfw, так и в листинге правил видно что куда идет.

А можно конфиги в студию ?
rc.firewall
rc.conf


Название: Re: Проблемы с шейпером
Отправлено: trio от 18 Августа 2009, 19:42:55
во время старта системы заметил такую запись:

Starting ipcad.
Opening divert... [LCap] [ERSH] [!INF] Initialized as 65537
Opening divert... [LCap] [ERSH] [!INF] Initialized as 65538
Configured RSH Server listening at 127.0.0.1
No valid entries found in ipcad.dump.
Daemonized.


Хотя в ipcad.conf все впорядке:

interface divert port 1 netflow-disable;
interface divert port 2 netflow-disable;

Похоже что ipcad отркывает на 1 и 2 порт а 65537 и 65538 соответсвенно и пакеты не натятся ?


Название: Re: Проблемы с шейпером
Отправлено: versus от 19 Августа 2009, 09:48:12
причем айпикад  нату ?
айпикад всего лишь сообщил что в его дампе невалидные данные и он их игнорит


Название: Re: Проблемы с шейпером
Отправлено: blackjack от 19 Августа 2009, 13:24:16
не понял проблемы, разъясните мне поподробней почему pf nat влияет на подсчет трафика
потому что после
Код:
/etc/rc.d/ipfw restart
(иногда требуется такое выполнить)
сначала пакет попадает в пф где натится, а потом попадает в ipfw откуда попадает в ng_ipacct, тоесть в считалку трафика попадает наченый пакет который уже не может быть зачислен какому-нибудь юзеру.
Решается так
Код:
pfctl -N -f /etc/pf.conf

после этого трафик опять сначала попадает в ipfw а потом в pf.


Название: Re: Проблемы с шейпером
Отправлено: Efendy от 19 Августа 2009, 23:18:53
нешел обсуждение на одном из форумов, заканчивающееся:
Цитировать
- для входящего трафика модуль, добавивший свой хук последним, будет обрабатывать пакеты первым, и наоборот - для исходящего модуль, добавивший свой хук первым будет обрабатывать пакеты первым.
- при перезапуске фаерволов (/etc/rc.d/ipfw, /etc/rc.d/pf) т.е. (pfctl -d/-e или ipfw enable/disbale) происходит регистрирование/разрегистрирование хука, что меняет порядок прохождения пакетов.
- в связи с такой запутанной ситуацией, если вам нужно четко знать порядок прохождения пакетов, обязательно проводите эксперементальный опыт по описанной выше методике.
- поведение сетевой подсистемы имеет тенденцию меняться от релиза к релизу, на эту информацию нельзя полагать дословно, это всеголишь теортеическо-практические изыскания.

Одно радует:
Цитировать
/etc/rc.d/ipfw restart
делать не надо. Тебе зачем?


Название: Re: Проблемы с шейпером
Отправлено: blackjack от 20 Августа 2009, 11:39:33
При некоторых больших изменениях в сети чтобы проверить правильность rc.firewall, а вообщето  я и не помню когда такое последний раз делал.
Но все же факт что меняется порядок прохождения пакетов, который может изменятся от релиза к релизу что не есть хорошо.


Название: Re: Проблемы с шейпером
Отправлено: trio от 26 Августа 2009, 22:12:28
Все разобрался, добрые люди подмогли.
Тот вариант фаера что указан в доке подходит только для версии 50.* , а может и не подходит точно не уверен.
Уверен лиш в том что ниже приведенный листинг кода фаервола нормально работает и шейпит трафик на 49.* версии.

Всем огромное спасибо за советы.
Думаю эта ветка будет актуальна для новичков ))).

Код:
ipfw='/sbin/ipfw -q'

ournet='10.7.7.0/24'

ifv='sk0'
ifout='gif0'
ifuser='sk1'

${ipfw} -f flush
${ipfw} table 10 flush
${ipfw} table 11 flush

#virus
${ipfw} add 1 deny ip from any to any 135-139,445,593,1024-1030,1080,1214,1363
#${ipfw} add 2 deny ip from any to any 1373,1377,1433-1434,2745,2283,2535,2745
#${ipfw} add 3 deny ip from any to any 3410,4444,5554,8866,9898,10000,10080,12345
#${ipfw} add 4 deny ip from any to any 27374,65506,17300,3127-3128,1364,1368
${ipfw} add 10 allow tcp from any to me 22,80,443
${ipfw} add 20 allow tcp from me 22,80,443 to any
#все на локалном интерфейсе
${ipfw} add 100 check-state
${ipfw} add 150 allow ip from any to any via lo0
${ipfw} add 200 allow ip from me to any keep-state

#тут не мешает подобрать и ораничить разное оставить только для тунеля
${ipfw} add 205 allow ip from any to me via $ifv
#${ipfw} add 205 allow ip from me to any via $ifv

#нат
${ipfw} add 210 divert natd ip from any to any via $ifout
${ipfw} add 220 allow ip from any to any via $ifout out

${ipfw} add 263 allow icmp from any to me
${ipfw} add 300 allow ip from any to me 53 via $ifuser
#stats
${ipfw} add 310 allow ip from any to me 80 via $ifuser
${ipfw} add 313 allow ip from any to me https via $ifuser
#avtorize
${ipfw} add 340 allow udp from any to me 7723 via $ifuser

${ipfw} add 400 deny ip from any to me



Название: Re: Проблемы с шейпером
Отправлено: elite от 27 Августа 2009, 06:24:11
а natd неприкольно :)


Название: Re: Проблемы с шейпером
Отправлено: dorowa от 27 Августа 2009, 23:29:23
2 blackjack,вот если бы кинули содержимое rc.conf вам бы сразу сказали, что pf при запуске просит указать явно файл с конфигом, т.е. обязательно должно быть (по крайней мере FreeBSD7.2):

pf_enable="YES"
pf_rules="/etc/pf.conf"
#А дальше
firewall_enable="YES"

Логика работы фильтров пакетов такая: кто первый встал (pf) тот первый получает входящий пакет (на соотв.интерфейсе) потом ipfw получает пакет с уже преобразованным адресатом (в случае с НАТ... фактически, это единственный оправданный вариант одновременного использования двух фильтров), в обратном направлении сначала пакет обрабатывает ipfw, а потом pf.
А вот команда: pfctl -N -f /etc/pf.conf - на самом деле означает всего лишь "загрузить pf только правила для НАТа из файла /etc/pf.conf", что фактически включает НАТ и на порядок прохождения пакетов не влияет никак.
У такого способа НАТ масса преимуществ :-)


Название: Re: Проблемы с шейпером
Отправлено: trio от 05 Сентября 2009, 09:29:49
Все еще есть некоторые проблемки с шейпером.

В пакете пользователя стоит резать скорость на вход и выход по 2 мегабита (2048)
при проверке скорости на speedtest.net показывает что исходящая скорость в норме тоесть как и было указано 2мб, а вот входящая ровно в половину меньше тоесть 1 мб.

(http://www.speedtest.net/result/554082276.png)

и так на всех пакетах получается что входящая скорость роврно в 2 раза меньше указаной в пакете.
Кто подскажет где копать ?

Код:
gw2# ipfw pipe show
01045:   2.048 Mbit/s    0 ms   50 sl. 1 queues (1 buckets) droptail
    mask: 0x00 0x00000000/0x0000 -> 0x00000000/0x0000
BKT Prot ___Source IP/port____ ____Dest. IP/port____ Tot_pkt/bytes Pkt/Byte Drp
  0 tcp        10.7.7.57/1045    204.9.163.158/80     471   184049  0    0   0
01044:   2.048 Mbit/s    0 ms   50 sl. 1 queues (1 buckets) droptail
    mask: 0x00 0x00000000/0x0000 -> 0x00000000/0x0000
BKT Prot ___Source IP/port____ ____Dest. IP/port____ Tot_pkt/bytes Pkt/Byte Drp
  0 tcp    204.9.163.158/80          10.7.7.57/1045   612   107392  0    0   0


Название: Re: Проблемы с шейпером
Отправлено: Cell от 05 Сентября 2009, 20:07:07
спид-тест это такое глюкалово, ))) я на нем получал даунлоад 17 Мбит при том что у меня было ровно 6 )))


Название: Re: Проблемы с шейпером
Отправлено: trio от 10 Сентября 2009, 00:02:03
проблема остается открытой, на всех пакетах один и тот же результат - входящая скорость ровно в половину меньше.


Название: Re: Проблемы с шейпером
Отправлено: blackjack от 10 Сентября 2009, 13:06:10
2 blackjack,вот если бы кинули содержимое rc.conf вам бы сразу сказали, что pf при запуске просит указать явно файл с конфигом, т.е. обязательно должно быть (по крайней мере FreeBSD7.2):

pf_enable="YES"
pf_rules="/etc/pf.conf"
#А дальше
firewall_enable="YES"

Логика работы фильтров пакетов такая: кто первый встал (pf) тот первый получает входящий пакет (на соотв.интерфейсе) потом ipfw получает пакет с уже преобразованным адресатом (в случае с НАТ... фактически, это единственный оправданный вариант одновременного использования двух фильтров), в обратном направлении сначала пакет обрабатывает ipfw, а потом pf.
А вот команда: pfctl -N -f /etc/pf.conf - на самом деле означает всего лишь "загрузить pf только правила для НАТа из файла /etc/pf.conf", что фактически включает НАТ и на порядок прохождения пакетов не влияет никак.
У такого способа НАТ масса преимуществ :-)

лично я пользовался двумя фильтрами около месяца, потом перешел на один ipfw и уже более трех месяце все нормально. То что вы мне рассказываете я и так знал.


Название: Re: Проблемы с шейпером
Отправлено: trio от 10 Сентября 2009, 23:16:41
подскажите где в nofire.pl скорость указаная в пакетах умножить на 2 ?


Название: Re: Проблемы с шейпером
Отправлено: elite от 11 Сентября 2009, 21:00:35
подскажите где в nofire.pl скорость указаная в пакетах умножить на 2 ?
ммм а зачем? :)


Название: Re: Проблемы с шейпером
Отправлено: trio от 12 Сентября 2009, 15:28:23
ммм а зачем? :)
да за тем что входящая скорость ровно в 2 раза меньше чем нада.


Название: Re: Проблемы с шейпером
Отправлено: VitalVas от 12 Сентября 2009, 16:07:39
обманывать абонентов  ;D


Название: Re: Проблемы с шейпером
Отправлено: trio от 12 Сентября 2009, 16:46:24
после рестарта сервера не подымается pf.
приходится запускать в ручную pfctl -f /etc/pf.conf


Название: Re: Проблемы с шейпером
Отправлено: elite от 12 Сентября 2009, 20:12:20
после рестарта сервера не подымается pf.
приходится запускать в ручную pfctl -f /etc/pf.conf
ну значит ты не удосужился потратить 20 мин, чтобы изучить ман по pf


Название: Re: Проблемы с шейпером
Отправлено: trio от 12 Сентября 2009, 20:30:36
точнее pf стартует но не подгружает конфигурацию с файла pf.conf


ну значит ты не удосужился потратить 20 мин, чтобы изучить ман по pf

в ядре присутствуют:
device pf
device pflog

в rc.conf
pf_enable="YES"
pf_rules="/etc/pf.conf"
pflog_logfile="/var/log/pf.log"


Название: Re: Проблемы с шейпером
Отправлено: elite от 12 Сентября 2009, 22:02:51
точнее pf стартует но не подгружает конфигурацию с файла pf.conf


ну значит ты не удосужился потратить 20 мин, чтобы изучить ман по pf

в ядре присутствуют:
device pf
device pflog

в rc.conf
pf_enable="YES"
pf_rules="/etc/pf.conf"
pflog_logfile="/var/log/pf.log"

ну и??
а что у тебя в /etc/pf.conf я должен догадаться? мы что в поле чудес играем? :)


Название: Re: Проблемы с шейпером
Отправлено: trio от 13 Сентября 2009, 01:19:19
))) а то, на поле чудес не совсем похоже )
pf.conf
Код:
set limit states 128000
set optimization aggressive
nat pass on ng0 from 10.7.7.0/24 to any -> ng0


Название: Re: Проблемы с шейпером
Отправлено: elite от 13 Сентября 2009, 07:07:15
))) а то, на поле чудес не совсем похоже )
pf.conf
Код:
set limit states 128000
set optimization aggressive
nat pass on ng0 from 10.7.7.0/24 to any -> ng0
если бы ты прочитал внимательно ман по pf, то понял, что ng0 надо взять в круглые скобки - (ng0)  ;D


Название: Re: Проблемы с шейпером
Отправлено: VitalVas от 13 Сентября 2009, 12:42:43
в ядре присутствуют:
device pf
device pflog

в rc.conf
pf_enable="YES"
pf_rules="/etc/pf.conf"
pflog_logfile="/var/log/pf.log"

[/quote]
а логи ненада включить??
Код:
pflog_enable="YES"


Название: Re: Проблемы с шейпером
Отправлено: elite от 13 Сентября 2009, 12:45:20
а логи ненада включить??
Код:
pflog_enable="YES"
Ну ты же все равно их не используешь  ;D


Название: Re: Проблемы с шейпером
Отправлено: trio от 13 Сентября 2009, 13:46:04
мдааа... ниодного толкового ответа.
Зачем тогда пускать пыль в глаза ?


Название: Re: Проблемы с шейпером
Отправлено: Efendy от 13 Сентября 2009, 14:48:26
подскажите где в nofire.pl скорость указаная в пакетах умножить на 2 ?
в noserver
Код:
{  # в период времени с $t1 по $t2 удвоение скорости
       $speed*=2;
       $speed_out*=2;
    }


Название: Re: Проблемы с шейпером
Отправлено: trio от 01 Октября 2009, 00:56:56
проблема с шейпером решилась как только подменил файл rc.firewall который появился в версиях начиная с 49.26.


Название: Re: Проблемы с шейпером
Отправлено: warzoni от 04 Октября 2009, 13:24:40
Здравствуйте предполагаю проблему с шей пером тоже но тут другое, пакеты исходят но не входят...прошу помочь,с альтернативным трафиком...здача такая впустить в локлаьную сеть на адрес 192.168.1.10 дополнительную  локальную сеть 10.0.0.0 я придержался авторсих настроек и зделал альтернативное направление...но по каким то причинам оно не проходит...если для теста я делаю ipfw 1 add allow ip frim any to any то сразу наченает работать  вторая сеть, pf прекрасно справляетца ...с натом..и в интернет, и в локальную сеть 10.0.0.0, как толька убераю правела allow..пакеты как бы уходят но не в ходят...я предплагаю что то упустил помогите  разобратца в данном вопросе..привожу правела на помент не работы...

Код:
ipfw show
00050    5560     387044 allow tcp from any to me dst-port 22
00051    5312    1345225 allow tcp from me 22 to any
00110   82246   30630010 allow ip from any to any via lo0
00120   14171    2352980 skipto 1000 ip from me to any
00130       0          0 deny icmp from any to any in icmptypes 5,9,13,14,15,16,17
00160   40324    3696660 skipto 2000 ip from any to me
00200 5610932 4196794030 skipto 500 ip from any to any via tun0
00300 2694195  590577743 skipto 4500 ip from any to any in
00400 3099208 3621631086 skipto 450 ip from any to any recv tun0
00420     811      48660 divert 1 ip from any to any
00450 3100019 3621679746 divert 2 ip from any to any
00490 3100019 3621679746 allow ip from any to any
00500 3101133 3623896739 skipto 32500 ip from any to any in
00510 2509799  572897291 divert 1 ip from any to any
00540 2509799  572897291 allow ip from any to any
01000    6057    1010236 allow udp from any 53,7723 to any
01010       0          0 allow tcp from any to any setup keep-state
01020   12369    1703414 allow udp from any to any keep-state
01100    1776     868523 allow ip from any to any
02000       0          0 check-state
02010     285      29027 allow icmp from any to any
02020     795     102083 allow tcp from any to any dst-port 80,443
02050   26492    1908184 deny ip from any to any via tun0
02060    6059     384662 allow udp from any to any dst-port 53,7723
05000  179814   17091981 deny ip from not table(0) to any
05001      45       2700 skipto 5010 ip from table(127) to table(126)
05002 2514664  573395499 skipto 5030 ip from any to not table(2)
05003       0          0 deny ip from any to not table(1)
05004       0          0 pipe tablearg ip from table(21) to any
05005       0          0 deny ip from any to any
05010      45       2700 pipe tablearg ip from table(127) to any
05030       0          0 deny tcp from table(15) to any dst-port 25
05226       0          0 allow ip from table(127) to table(126)
05400 2514664  573395499 pipe tablearg ip from table(11) to any
32000       0          0 deny ip from any to any
33000       0          0 pipe tablearg ip from table(126) to table(127)
33001 3100925 3623829553 skipto 33010 ip from not table(2) to any
33002       0          0 pipe tablearg ip from any to table(20)
33003       0          0 deny ip from any to any
33226       0          0 allow ip from table(126) to table(127)
33400 3100914 3623823319 pipe tablearg ip from any to table(10)
65535      66      11461 deny ip from any to any

Код:
pfctl -sn
No ALTQ support in kernel
ALTQ related functions disabled
nat pass on tun0 inet from 192.168.0.0/16 to any -> (tun0) round-robin
nat pass on rl0 inet from 192.168.1.10 to any -> 10.1.6.226
Код:
ipfw table 126 list
10.0.0.0/8 0
Код:
 ipfw table 127 list
192.168.1.10/32 1006

Код:
uname -a
FreeBSD server.local.local 6.2-RELEASE-p12 FreeBSD 6.2-RELEASE-p12 #0: Fri Oct  2 16:23:40 UTC 2009     root@server.local.local:/usr/src/sys/i386/compile/NODENY  i386

Код:
ifconfig
ed0: flags=8843<UP,BROADCAST,RUNNING,SIMPLEX,MULTICAST> mtu 1500
        inet 192.168.1.1 netmask 0xffffff00 broadcast 192.168.1.255
        ether 00:02:44:20:3f:36
        media: Ethernet autoselect (10baseT/UTP)
rl0: flags=8843<UP,BROADCAST,RUNNING,SIMPLEX,MULTICAST> mtu 1500
        options=8<VLAN_MTU>
        inet 192.168.5.2 netmask 0xffffff00 broadcast 192.168.5.255
        inet 10.1.6.226 netmask 0xffffff00 broadcast 10.1.6.255
        ether 00:80:48:1f:f6:63
        media: Ethernet autoselect (100baseTX <full-duplex>)
        status: active
plip0: flags=108810<POINTOPOINT,SIMPLEX,MULTICAST,NEEDSGIANT> mtu 1500
lo0: flags=8049<UP,LOOPBACK,RUNNING,MULTICAST> mtu 16384
        inet6 fe80::1%lo0 prefixlen 64 scopeid 0x4
        inet6 ::1 prefixlen 128
        inet 127.0.0.1 netmask 0xff000000
pflog0: flags=141<UP,RUNNING,PROMISC> mtu 33208
tun0: flags=8051<UP,POINTOPOINT,RUNNING,MULTICAST> mtu 1492
        inet 92.112.215.67 --> 195.5.5.201 netmask 0xffffffff
        Opened by PID 376


Код:
 cat /etc/rc.firewall
#!/bin/sh -
f='/sbin/ipfw'

ifOut='tun0'

${f} -f flush

${f} add 50 allow tcp from any to me 22
${f} add 51 allow tcp from me 22 to any

${f} add 110 allow ip from any to any via lo0
${f} add 120 skipto 1000 ip from me to any
${f} add 130 deny icmp from any to any in icmptype 5,9,13,14,15,16,17
${f} add 160 skipto 2000 ip from any to me

${f} add 200 skipto 500 ip from any to any via ${ifOut}

${f} add 300 skipto 4500 ip from any to any in

${f} add 400 skipto 450 ip from any to any recv ${ifOut}
${f} add 420 divert 1 ip from any to any
${f} add 450 divert 2 ip from any to any
${f} add 490 allow ip from any to any

${f} add 500 skipto 32500 ip from any to any in
${f} add 510 divert 1 ip from any to any
${f} add 540 allow ip from any to any


${f} add 1000 allow udp from any 53,7723 to any
${f} add 1010 allow tcp from any to any setup keep-state
${f} add 1020 allow udp from any to any keep-state
${f} add 1100 allow ip from any to any

${f} add 2000 check-state
${f} add 2010 allow icmp from any to any
${f} add 2020 allow tcp from any to any 80,443
${f} add 2050 deny ip from any to any via ${ifOut}
${f} add 2060 allow udp from any to any 53,7723

#${f} add 2100 deny ip from any to any

#${f} add 32490 deny ip from any to any



Название: Re: Проблемы с шейпером
Отправлено: Essential от 24 Декабря 2009, 15:25:22
Такая же проблема... Скорость в 2 раза меньше чем указана в nodeny... А так все вроде бы шикарно работает. Документация вообще чудесная автору за такой большой труд огромное спасибо. Единственное описать бы еще использование ipfw nat.


Название: Re: Проблемы с шейпером
Отправлено: Efendy от 24 Декабря 2009, 23:52:27
Тут важно понятие "внешний интерфейс" т.к. любой пакет идущий НЕ с внешнего интерфейса, считается внутренним и проходит проверку таблицей  0 (ноль). Получается, что пакеты идущие с сети 10.1.6.хх через интерфейс rl0 считаются какбы идущими от зарегистрированных клиентов, что приводит к тому, что они блочатся. Необходимо модифицировать фаервол. Раз ты дошел до пирринга межу сетями, так может заодно изучишь как работает данный фаер?;) в будущем пригодится