CenterTelecom Voronezh ISP

[mark5]

Какие правила надо добавить в фильтры (про которые написано вот тут http://isp.vsi.ru/support/ipfw.html), чтобы запретить весь трафик кроме локального? Т.е. надо чтобы остался только трафик с бесплатных ресурсов

[Konstantin V. Kuznetsov]

Ну так ты же сам ссылочку и положил. Там все и описано.

[7Sky]

[mark5]

угу, 7Sky, спасибо

[mark5]

[Oleg]

[vik]

Выложили бы пару примеров, чтоб понятнее было.
То, что одним ясно, для других полный мрак.
Да я наверное не один такой.

[LuCiFer]

я выложил http://isp.vsi.ru/forum/viewtopic.php?t=719

[vik]

[IN-DIGo]

Создал правила:

deny ip 80.82.32.10 none any none
deny ip 80.82.32.11 none any none
deny ip 80.82.32.19 none any none
deny ip 80.82.32.27 none any none
permit ip 80.82.32.0/0.0.31.255 none any none
permit ip 88.83.192.0/0.0.31.255 none any none
permit tcp 80.82.32.0/0.0.31.255 21 any none
permit tcp 80.82.32.0/0.0.31.255 21 any none
permit tcp 80.82.32.0/0.0.31.255 6881 any none
permit tcp 80.82.32.0/0.0.31.255 6881 any none
permit udp 80.82.32.0/0.0.31.255 6881 any none
permit udp 80.82.32.0/0.0.31.255 6881 any none
permit tcp any none any none established
deny tcp any none any none
deny udp any none any none
deny ip any none any none

Переконнектился, что-то вроде работает, но! В фаерволе постоянно срабатывают фильтры, например:

Запретить Назначение 88.83.200.224:10860 - Источник 88.83.201.93:24086; Получено 0 Отправлено 62; Протокол TCP; Создано: 16:59:00; Правило 122

Почему их не режет пакетный фильтр на входе?

И второй вопрос. Почему в примерах выше порт в правилах указывается как порт источника, хотя, по сути, нас интересует порт назначения.

Вопрос номер 3. Фильтруется только входящий трафик?

[LuCiFer]

1. ты такой бред написал в фильтре.....
если на то пошло то так надо:
deny ip 80.82.32.10 none any none
deny ip 80.82.32.11 none any none
deny ip 80.82.32.19 none any none
deny ip 80.82.32.27 none any none
permit tcp 80.82.32.0/0.0.31.255 21 any none
permit tcp 80.82.32.0/0.0.31.255 21 any none
permit tcp 80.82.32.0/0.0.31.255 80 any none
permit tcp 80.82.32.0/0.0.31.255 80 any none
permit tcp 80.82.32.0/0.0.31.255 6881 any none
permit tcp 80.82.32.0/0.0.31.255 6881 any none
permit udp 80.82.32.0/0.0.31.255 6881 any none
permit udp 80.82.32.0/0.0.31.255 6881 any none
permit tcp any none any none established ; !!!! вот этого я не понял, тогда строчки ниже терют смысл, воpможно эта строчка не нужна вообще
deny ip any none any none
2. нас интересует порт источника, а на назначение нам все равно

[IN-DIGo]

Вобщем, ладно. Конкретизирую задачу. Требуется:
-Разрешить входящие соединения по FTP(21) только с внутренних адресов;
-Разрешить торрент (6881) только с внутренних адрессов(так, на всякий случай);
-Разрешить все соединения, инициированные мной(чтобы не надо было каждой новой игрушке и пр. новые правила прописывать), насколько я понял, именно для этого и предусмотренна галочка established;
-Все остальное запретить.
Вроде просто, но чет я запутался блин. Подход к фильтрации незнакомый, хотелось бы конечн. разобраться. Щас таким образом работаетмой фаервол, хочется переложить фильтрацию с него на фильтры провайдера.

[LuCiFer]

а по внутреним сайтам тебе лазить не надо ??? или с торрентов *.torrent фаилы тебе будут по фтп класть???
смысла established я точно не понял, поэтому точно про соединения иницированные тока тобой ниче сказать немогу... но помоему established тут не поможет
учитывая эти две вещи получается вот, что:
deny ip 80.82.32.10 none any none
deny ip 80.82.32.11 none any none
deny ip 80.82.32.19 none any none
deny ip 80.82.32.27 none any none
permit tcp 80.82.32.0/0.0.31.255 21 any none
permit tcp 80.82.32.0/0.0.31.255 21 any none
permit tcp 80.82.32.0/0.0.31.255 80 any none
permit tcp 80.82.32.0/0.0.31.255 80 any none
permit tcp 80.82.32.0/0.0.31.255 6881 any none
permit tcp 80.82.32.0/0.0.31.255 6881 any none
deny ip any none any none

почти то что ты просил кроме, того что разрешен веб на локальных и нету твоих инициированных

[IN-DIGo]

Lucifer, ну, то что ты написал- это явно не то. Да и порт в моем случае надо, наверное, указывать все-таки не источника а назначения, потому как входящее соединение разрешаем на конкретный порт. Ладно. позже сам посижу помазгую, времени пока совсем нет...

[icefisher]

[IN-DIGo]

Проморгал я фишку, что только входящий фильтруется... Буду исправляться.

[LuCiFer]