Проблемы с шейпером

[trio]

Немогу разобраться
обновился с 45 до 49.19
согласно докам применил простенький список ipwf только для открытия и закрытия доступа.
Все заработало.

Далее согласно тем же докам заменил список ipwf решил попробовать шейпить трафик
но не тут то было.
Доступ с мира в локалку и наоборот прекратился
отрубил 2 последних правила и №2050, доступ с мира в локалку возобновился а наоборот нету.
Где собака зарыта ?

#!/bin/sh -
f='/sbin/ipfw'

ifOut='gif0'

# Сети, в/из которых трафик блокируем
${f} table 120 flush
${f} table 120 add 224.0.0.0/4
#${f} table 120 add 192.168.0.0/16
#${f} table 120 add 172.16.0.0/12

${f} -f flush

${f} add 50 allow tcp from any to me 22
${f} add 51 allow tcp from me 22 to any

${f} add 100 deny tcp from any to any 445

${f} add 110 allow ip from any to any via lo0
${f} add 120 skipto 1000 ip from me to any
${f} add 130 deny icmp from any to any in icmptype 5,9,13,14,15,16,17
${f} add 140 deny ip from any to "table(120)"
${f} add 150 deny ip from "table(120)" to any
${f} add 160 skipto 2000 ip from any to me

${f} add 200 skipto 500 ip from any to any via ${ifOut}

${f} add 300 skipto 4500 ip from any to any in

${f} add 400 skipto 450 ip from any to any recv ${ifOut}
${f} add 420 divert 1 ip from any to any
${f} add 450 divert 2 ip from any to any
${f} add 490 allow ip from any to any

${f} add 500 skipto 32500 ip from any to any in
${f} add 510 divert 1 ip from any to any
${f} add 540 allow ip from any to any


${f} add 1000 allow udp from any 53,7723 to any
${f} add 1010 allow tcp from any to any setup keep-state
${f} add 1020 allow udp from any to any keep-state
${f} add 1100 allow ip from any to any

${f} add 2000 check-state
${f} add 2010 allow icmp from any to any
${f} add 2020 allow tcp from any to any 80,443
${f} add 2050 deny ip from any to any via ${ifOut}
${f} add 2060 allow udp from any to any 53,7723


${f} add 2100 deny ip from any to any


${f} add 32490 deny ip from any to any

[Efendy]

ipfw table 10 list
присутствую авторизованные клиенты, которым разрешен доступ?

[trio]

ipfw table 10 list
присутствую авторизованные клиенты, которым разрешен доступ?

gw2# ipfw table 10 list
10.7.7.15/32 1012
10.7.7.20/32 1024
10.7.7.25/32 1016
10.7.7.45/32 1004
10.7.7.47/32 1008
10.7.7.53/32 1028
10.7.7.55/32 1020

а также

gw2# ipfw table 1 list
10.7.7.15/32 0
10.7.7.20/32 0
10.7.7.25/32 0
10.7.7.45/32 0
10.7.7.47/32 0
10.7.7.53/32 0
10.7.7.55/32 0

gw2# ipfw table 2 list
10.7.7.15/32 0
10.7.7.20/32 0
10.7.7.22/32 0
10.7.7.25/32 0
10.7.7.31/32 0
10.7.7.33/32 0
10.7.7.35/32 0
10.7.7.37/32 0
10.7.7.39/32 0
10.7.7.41/32 0
10.7.7.43/32 0
10.7.7.45/32 0
10.7.7.47/32 0
10.7.7.49/32 0
10.7.7.51/32 0
10.7.7.53/32 0
gw2#

ipcad.conf
capture-ports enable;
#capture-ports disable;
#interface sk1;
interface divert port 1 netflow-disable;
interface divert port 2 netflow-disable;
rsh enable at 127.0.0.1;
rsh root@127.0.0.1 admin;
rsh ttl = 3;
rsh timeout = 30;
dumpfile = ipcad.dump;
chroot = /tmp;
memory_limit = 50m;

pf.conf

nat pass on gif0 from 10.7.7.0/24 to any -> gif0

ifconfig

sk0: flags=8843<UP,BROADCAST,RUNNING,SIMPLEX,MULTICAST> metric 0 mtu 1500
        options=b<RXCSUM,TXCSUM,VLAN_MTU>
        ether 00:13:d4:c9:f8:bb
        inet 192.168.180.200 netmask 0xffffff00 broadcast 192.168.180.255
        inet 192.168.10.12 netmask 0xffffff00 broadcast 192.168.10.255
        inet 192.168.1.12 netmask 0xffffff00 broadcast 192.168.1.255
        inet 172.16.104.32 netmask 0xffffff00 broadcast 172.16.104.255
        media: Ethernet autoselect (100baseTX <full-duplex>)
        status: active
vr0: flags=8802<BROADCAST,SIMPLEX,MULTICAST> metric 0 mtu 1500
        options=2808<VLAN_MTU,WOL_UCAST,WOL_MAGIC>
        ether 00:1c:f0:d5:f1:b3
        media: Ethernet autoselect (none)
        status: no carrier
sk1: flags=8843<UP,BROADCAST,RUNNING,SIMPLEX,MULTICAST> metric 0 mtu 1500
        options=b<RXCSUM,TXCSUM,VLAN_MTU>
        ether 00:1e:58:49:55:b7
        inet 10.7.7.2 netmask 0xffffff00 broadcast 10.7.7.255
        inet 10.7.77.5 netmask 0xffffff80 broadcast 10.7.77.127
        media: Ethernet autoselect (100baseTX <full-duplex,flag0,flag1>)
        status: active
lo0: flags=8049<UP,LOOPBACK,RUNNING,MULTICAST> metric 0 mtu 16384
        inet 127.0.0.1 netmask 0xff000000
gif0: flags=8051<UP,POINTOPOINT,RUNNING,MULTICAST> metric 0 mtu 1500
        tunnel inet 172.16.104.32 --> 172.16.104.1
        inet 193.108.250.70 --> 193.108.248.15 netmask 0xffffffff

gif0: - тунель с провайдером

авторизация по L2

[Efendy]

покажи:
sysctl net.inet.ip.fw.one_pass

[trio]

покажи:
sysctl net.inet.ip.fw.one_pass

net.inet.ip.fw.one_pass: 1


Повторил полностью установку нодени с нуля на виртуальной машине.
Эфект тот же, пакеты не ходят с мира, хотя в мир на ура.

Может трабл в направлениях ?

[Efendy]

Покажи ipfw list в момент когда кто-то авторизован

[trio]

Покажи ipfw list в момент когда кто-то авторизован

bill# ipfw list

00050 allow tcp from any to me dst-port 22
00051 allow tcp from me 22 to any
00110 allow ip from any to any via lo0
00120 skipto 1000 ip from me to any
00130 deny icmp from any to any in icmptypes 5,9,13,14,15,16,17
00160 skipto 2000 ip from any to me
00200 skipto 500 ip from any to any via em0
00300 skipto 4500 ip from any to any in
00400 skipto 450 ip from any to any recv em0
00420 divert 1 ip from any to any
00450 divert 2 ip from any to any
00490 allow ip from any to any
00500 skipto 32500 ip from any to any in
00510 divert 1 ip from any to any
00540 allow ip from any to any
01000 allow udp from any 53,7723 to any
01010 allow tcp from any to any setup keep-state
01020 allow udp from any to any keep-state
01100 allow ip from any to any
02000 check-state
02010 allow icmp from any to any
02020 allow tcp from any to any dst-port 80,443
02050 deny ip from any to any via em0
02060 allow udp from any to any dst-port 53,7723
02100 deny ip from any to any
05000 deny ip from not table(0) to any
05001 skipto 5010 ip from table(127) to table(126)
05002 skipto 5030 ip from any to not table(2)
05003 deny ip from any to not table(1)
05004 pipe tablearg ip from table(21) to any
05005 deny ip from any to any
05010 pipe tablearg ip from table(127) to any
05030 deny tcp from table(15) to any dst-port 25
05150 allow ip from table(51) to table(50)
05160 allow ip from table(61) to table(60)
05400 pipe tablearg ip from table(11) to any
32000 deny ip from any to any
32000 deny ip from any to any
32490 deny ip from any to any
33000 pipe tablearg ip from table(126) to table(127)
33001 skipto 33010 ip from not table(2) to any
33002 pipe tablearg ip from any to table(20)
33003 deny ip from any to any
33150 allow ip from table(50) to table(51)
33160 allow ip from table(60) to table(61)
33400 pipe tablearg ip from any to table(10)
65535 deny ip from any to any

bill# ipfw -a list

00050   102    9020 allow tcp from any to me dst-port 22
00051   106   14704 allow tcp from me 22 to any
00110  1822  113066 allow ip from any to any via lo0
00120 14173 4126409 skipto 1000 ip from me to any
00130     0       0 deny icmp from any to any in icmptypes 5,9,13,14,15,16,17
00160 15298 1974789 skipto 2000 ip from any to me
00200   121   12399 skipto 500 ip from any to any via em0
00300   121   12399 skipto 4500 ip from any to any in
00400     0       0 skipto 450 ip from any to any recv em0
00420     0       0 divert 1 ip from any to any
00450     0       0 divert 2 ip from any to any
00490     0       0 allow ip from any to any
00500   121   12399 skipto 32500 ip from any to any in
00510     0       0 divert 1 ip from any to any
00540     0       0 allow ip from any to any
01000    31    1899 allow udp from any 53,7723 to any
01010     0       0 allow tcp from any to any setup keep-state
01020    18    1901 allow udp from any to any keep-state
01100 14133 4123907 allow ip from any to any
02000     0       0 check-state
02010  1462   87816 allow icmp from any to any
02020 13713 1880569 allow tcp from any to any dst-port 80,443
02050     0       0 deny ip from any to any via em0
02060   114    5106 allow udp from any to any dst-port 53,7723
02100     0       0 deny ip from any to any
05000    35    4924 deny ip from not table(0) to any
05001     0       0 skipto 5010 ip from table(127) to table(126)
05002    43    3966 skipto 5030 ip from any to not table(2)
05003     0       0 deny ip from any to not table(1)
05004     0       0 pipe tablearg ip from table(21) to any
05005     0       0 deny ip from any to any
05010     0       0 pipe tablearg ip from table(127) to any
05030     0       0 deny tcp from table(15) to any dst-port 25
05150     0       0 allow ip from table(51) to table(50)
05160     0       0 allow ip from table(61) to table(60)
05400    43    3966 pipe tablearg ip from table(11) to any
32000     0       0 deny ip from any to any
32000     0       0 deny ip from any to any
32490     3     234 deny ip from any to any
33000     0       0 pipe tablearg ip from table(126) to table(127)
33001    23    3988 skipto 33010 ip from not table(2) to any
33002     0       0 pipe tablearg ip from any to table(20)
33003    55    4902 deny ip from any to any
33150     0       0 allow ip from table(50) to table(51)
33160     0       0 allow ip from table(60) to table(61)
33400     0       0 pipe tablearg ip from any to table(10)
65535    31    5058 deny ip from any to any

[Efendy]

Для начала добавь в pf.conf:

set limit states 128000
set optimization aggressive

[trio]

добавил - изменений не заметил

[Efendy]

какая фря? Может там ipfw сильно старый и не корректно работает с tablearg - ведь все что отличает старый вариант от нового так это использование pipe совместно с tablearg

[trio]

Версия 7.2

[versus]

а что если это:

nat pass on gif0 from 10.7.7.0/24 to any -> gif0

заменить на это:

nat pass on gif0 from 10.7.7.0/24 to any -> 193.108.250.70

[trio]

побовал - никаких изменений

[Efendy]

Давай вычисли какое именно правило блочит трафик. Постепенно меняй правила на allow from any to any пока не вычислишь то самое, которое не пропускает. Хотя, конечно, все банально должно работать, тут какие-то бока с системой....

[trio]

проблема не в правилах, перепробовал подменивать все правила.
Помоему не натятся пакеты.
Прошу помощи знающих людей, за вознагражднение.
Доступ по ssh и веб обеспечу