Openbsd 3.8 Problemas com pacotes icmp

[budairc]

Bom galera..
Foi instalado um firewall aqui na empresa com o openbsd 3.8 e atras dessa maquina existem alguns outros firewalls..
A gente tem um script de monitoracao que envia um ping para os firewall e verifica se estes estão respondendo.
antes de instalar o 3.8.. nos tinhamos o 3.4 e nao dava problema nenhum, mas agora babou.. os firewall's atras do 3.8 nao respondem mais..
ta mais ou menos assim..

192.168.100.2 /-------------------+ 192.168.0.2
(Maq. Monitora)-----------( Openbsd 3.8 ) -- |-------------------+ 192.168.0.3
\------------------+ 192.168.0.4

Lembrando que foram feitas rotas para enviar os pacotes as maquinas atras do open 3.8

Ahh.. logo que foi instalada.. a 3.8 nao respondia ao ping..
foi liberado com a regra abaixo e funcionou..

#pass out quick on bge0 inet proto icmp all icmp-type 8 code 0 keep state
#pass in quick on bge0 inet proto icmp all icmp-type 8 code 0 keep state

O que vcs me dizem sobre isso!?

[1c3m4n]

to sem open instalado pra testa mas ve se ajuda:

http://www.openbsd.org/38.html
# Countermeasures against various blind ICMP attacks have been implemented.

http://www.openbsd.org/cgi-bin/man.c...sctl&sektion=8

e as opcoes de icmp que tem no sysctl
http://www.openbsd.org/cgi-bin/man.c...sctl&sektion=8

[budairc]

Ixe.. perdi o post..
Novamente entao.. Ice.. ja tentei quase de tudo.. nao ta dando certo..
mas entao.. é meio estranho.. pq do um traceroute e ta mostrando o caminho certo..
rodei o tcpdump... os pacotes estao saindo.. mas nao retorna a partir da maquina..
o ruim é que no site da openbsd nao da especificacao daquela protecao q foi feita..

mas vou tentando enquanto isso.. obrigado..
se tiverem algo me dao uma mao..

[budairc]

Resolvido Ice..
Seguinte.. a requisicao saía pelo ip e estava sendo feito nat para outro..
entao a solicitacao era para um e voltava em outro ip.. a maquina nao entendia isso..
foi adicionado um alias na interface.. e sem nat para esse ip..

Valeu..
Pelo menos funcionou

[1c3m4n]

hmm eh uma saida, mas jah q vc sabe a causa, pq vc nao faz um redir com o pf msm, ele consegue rotear pacotes entre interfaces da msm maquina