Logo Hardware.com.br
dfpereira
dfpereira Membro Junior Registrado
143 Mensagens 0 Curtidas

[Off-topic] ipfw + proxy transparente (resolvido, mas não compreendido)

#1 Por dfpereira 01/02/2007 - 07:05
Bom dia pessoal!!
Me desculpem por estar postando minha dúvida nesse fórum, mas não obtive resposta em outro local.

O objetivo é de solicitar um maior esclarecimento sobre o ipfw e natd. Recentemente eu consegui configurar o proxy transparente pelo Squid e está funcionando bem, mas apesar de ter encontrado a solução, não ficou claro pra mim.

A solução que encontrei foi adicionar essas regras no firewall:
ipfw add allow tcp from me to any 80
ipfw add allow tcp from any to me 80
ipfw fwd 127.0.0.1,3128 tcp from 192.168.0.0/24 to any 80

e no natd:
dynamic yes
use_sockets yes
same_ports yes

A minha dúvida é: porque eu tive que liberar o tráfego de pacotes pela
porta 80 se a política do meu firewall está como OPEN, ou seja, allow
ip from any to any.

OBS: Antes de achar a dica (aqui mesmo), eu não tinha cadastrado as
regras acima no ipfw e o natd.conf estava assim:

redirect_port tcp 192.168.0.25 3128 80

Mais uma vez, desculpem por colocar essa dúvida nesse fórum, e como não encontrei nada que pudesse me esclarecer, ficarei muitro grato se alguém puder me dar uma idéia disso.

Darlei
jqueiroz
jqueiroz Cyber Highlander Registrado
104K Mensagens 5.7K Curtidas
#2 Por jqueiroz
01/02/2007 - 17:41
Interessante... ipfw, não é muito comum por aqui. É FreeBSD, não???

Apesar de não estar acostumado com isso, acho que dá pra tirar mais ou menos a idéia... acredito que as duas primeiras regras ("ipfw add allow") estão liberando o Squid para enviar e receber tráfego, da internet e da sua rede local.
"chmod 777 nunca ajudou ninguém" (c) 2002-2021 JQueiroz/FGdH
Conheça o Blog do Zekke
ffugita
ffugita Zerinho Registrado
10K Mensagens 221 Curtidas
#3 Por ffugita
01/02/2007 - 21:44
No ipfw, tudo oq não é explicitamente liberado é bloqueado por default (se a configuração default n foi alterada).

Dando "ipfw list" irá mostrar todas as regras que estão valendo no momento. Veja que elas possuem um índice. As regras com indice menor são executadas primeiro. Portanto, se vc tem uma regra de negação antes da regra que libera, isso acaba fazendo com que a regra de liberação seja anulada pela primeira.

Aqui tem um minitutorial sobre ipfw, esclarecendo os principais pontos. =)
https://freebsdbrasil.com.br/guia-ipfw.php?cap=3
Procurando algo mais descontraido?
http://www.bebuns.com.br comemorando.gif
jqueiroz
jqueiroz Cyber Highlander Registrado
104K Mensagens 5.7K Curtidas
#4 Por jqueiroz
02/02/2007 - 02:07
OBS: Antes de achar a dica (aqui mesmo), eu não tinha cadastrado as
regras acima no ipfw e o natd.conf estava assim:

redirect_port tcp 192.168.0.25 3128 80

Acho que essa regra faria um port forward (ou seja, redirecionar o tráfego de sua máquina para outro micro), e não um redirect (redirecionar de outro micro para sua máquina).
"chmod 777 nunca ajudou ninguém" (c) 2002-2021 JQueiroz/FGdH
Conheça o Blog do Zekke
dfpereira
dfpereira Membro Junior Registrado
143 Mensagens 0 Curtidas
#5 Por dfpereira
02/02/2007 - 16:20
jqueiroz disse:
Interessante... ipfw, não é muito comum por aqui. É FreeBSD, não???

Apesar de não estar acostumado com isso, acho que dá pra tirar mais ou menos a idéia... acredito que as duas primeiras regras ("ipfw add allow") estão liberando o Squid para enviar e receber tráfego, da internet e da sua rede local.


Sim jqueiroz, é FreeBSD, por isso peço desculpas por ter postado essa mensagem num fórum de servidores Linux, mas queria esclarecer isso.
Sim, essas duas primeiras regras liberam o tráfego para o Squid, mas o que não compreendi, é que porque eu tive que colocar isso explicitamente no firewall, sendo que o estado padrão do meu firewall é aberto (DEFAULT_TO_ACCEPT). smile.png
dfpereira
dfpereira Membro Junior Registrado
143 Mensagens 0 Curtidas
#6 Por dfpereira
02/02/2007 - 16:30
ffugita disse:
No ipfw, tudo oq não é explicitamente liberado é bloqueado por default (se a configuração default n foi alterada).

Dando "ipfw list" irá mostrar todas as regras que estão valendo no momento. Veja que elas possuem um índice. As regras com indice menor são executadas primeiro. Portanto, se vc tem uma regra de negação antes da regra que libera, isso acaba fazendo com que a regra de liberação seja anulada pela primeira.

Aqui tem um minitutorial sobre ipfw, esclarecendo os principais pontos. =)
https://freebsdbrasil.com.br/guia-ipfw.php?cap=3


ffugita, obrigado pelo link, mas posso te afirmar que alterei a configuração do ipfw sim, está DEFAULT_TO_ACCEPT. Por padrão meu firewall estava assim:

00050 divert 8668 ip from any to any via lnc0
00100 allow ip from any to any via lo0
00200 deny ip from any to 127.0.0.0/8
00300 deny ip from 127.0.0.0/8 to any
65000 allow ip from any to any
65535 allow ip from any to any

depois da minha alteração, ficou assim:

00050 divert 8668 ip from any to any via lnc0
00100 allow ip from any to any via lo0
00200 deny ip from any to 127.0.0.0/8
00300 deny ip from 127.0.0.0/8 to any
00400 allow tcp from me to any 80
00500 allow tcp from any to me 80
00600 127.0.0.1,3128 tcp from 192.168.0.0/24 to any 80
65000 allow ip from any to any
65535 allow ip from any to any

fora a alteração no natd.conf.

O que não entendi foi porque tive que colocar essas linhas em negrito, sendo que o default é ACCEPT!! confused.png
© 1999-2024 Hardware.com.br. Todos os direitos reservados.
Imagem do Modal