Как перенаправить трафик через ifpw во FreeBSD?

Question

[Rad1us]

Есть шлюз на FreeBSD, два сетевых интерфейса(em0 10.1.1.1/24 - внешний, em1 192.168.1.1/24 - внутренний), настроен NAT.

ipfw настроен минимально, пока что так:

#!/bin/sh

cmd="ipfw -q add"		
oif="em0"			
iif="em1"
skip="skipto 800"
ks="keep-state"

ipfw -q -f flush

# LOCAL
$cmd 010 allow all from any to any via $iif
$cmd 011 allow all from any to any via lo0

# NAT IN
$cmd 100 divert natd ip from any to any in via $oif
$cmd 101 check-state

# OUT
$cmd 200 $skip icmp from any to any out via $oif $ks
$cmd 210 $skip udp from any to any 53 out via $oif $ks
$cmd 220 $skip tcp from any to any 80 out via $oif setup $ks
$cmd 230 $skip tcp from any to any 443 out via $oif setup $ks
$cmd 240 $skip all from me to any out via $oif setup $ks

# IN
$cmd 300 allow tcp from any to me 22 in via $oif setup $ks	

$cmd 700 deny ip from any to any

# NAT OUT
$cmd 800 divert natd ip from any to any out via $oif
$cmd 801 allow ip from any to any

$cmd 900 deny all from any to any

Нужно написать правило которое будет перенаправлять запросы из сети 10.1.1.0/24 по 80,443 портам на адрес 192.168.1.2 на порты 80, 443 соответственно. Как это сделать?

Answer 1

[Николай]

/etc/natd.conf

redirect_port tcp 192.168.1.2:80 80
redirect_port tcp 192.168.1.2:443 443

А вообще странно использовать в 2016 году natd, если только оно в таком виде лет 10 не простояло и никто туда не лазил.

Comments

[Rad1us]

так пробовал, не работает.

[Николай]

Rad1us: из сети 10.1.1.0/24 обращаетесь на 10.1.1.1:80 и 10.1.1.1:443, соответственно?

[Rad1us]

да.

[Николай]

На 1.2 основной шлюз или маршрут через 1.1 на 10.1.1.0/24 есть?

[Николай]

Тогда остаётся только фаервол. Включите лог на deny-правилах и смотрите, что там режется.

[Rad1us]

да, есть.

[Rad1us]

nevzorofff: ок, буду копать дальше. Потом отпишусь, спасибо

[Rad1us]

проблема была как раз в настройках шлюза на 1.2, они были, но что-то работало не так и пришлось перенастроить и все заработало.

Answer 2

[lexa322]

Можно использовать rinetd. А лучше использовать ядерный нат и делать проброс портов.