regra firewall 65535

[doidoht]

Galera... já revirei tudo conté lugar... num tá dando... já até recompilei o kernel e nada... se dou /sbin/ipfw show lista minhas regras e tem uma safada 65535 que dá um deny pra minha rede... como que faço pra mudar pra allow!?

olha a regra

65535 xxx xxx deny ip from any to any

O caramba é que logo acima dela tem uma que libera todo mundo

65000 xxx xxx allow ip from any to any

Já tentei mudar a regra de allow pra um valor superior a 65535 pra ser lida depois aí num funfa...
Dentro so rc.conf tenho

firewall_enable="YES"
firewall_type="OPEN"
firewall_quiet="YES"

Me ajudem por favor galera...

T+

[irado]

Já tentei mudar a regra de allow pra um valor superior a 65535 pra ser lida depois aí num funfa...
T+

:twisted:

respondi no outro trédi.. de qualquer forma, a última regra jamais será lida, porque o ipfw é FIFO (o ipfilter e o pf não são).

O que vc procura está no seu kernel-fonte (grep -i firewall nome_dêle)

contudo.. sugiro não alterar

:twisted:

[Soilwork-]

quando vc define
firewall_type="OPEN"

vc define que a ultima regra vai funcionar como aberta, ou seja libera tudo
eu aconselho que tire essa opção assim a ultima regra será NEGAR TUDO

exemplo basico:

suponhamos que voce tem a regra

1000 allow icmp from any to any out icmptypes 8
1100 allow icmp from any to any in icmptypes 0
1200 deny icmp from any to any in icmptypes 8
65535 deny all from any to any

essas regras fazem o seguinte: permite pingar pra fora, permite resposta, e nega se tentarem pingar de fora, e o firewall ta definido como fechado, entao tudo que nao se adequar as regras será bloqueado.

no caso de firewall aberto, tudo que nao se adequar as regras ele irá deixar passar.

as regras sao lidas de cima pra baixo
os numeros sao a ordem com que elas devem ser lidas pelo sistema

[doidoht]

quando vc define
firewall_type="OPEN"

vc define que a ultima regra vai funcionar como aberta, ou seja libera tudo
eu aconselho que tire essa opção assim a ultima regra será NEGAR TUDO

exemplo basico:

suponhamos que voce tem a regra

1000 allow icmp from any to any out icmptypes 8
1100 allow icmp from any to any in icmptypes 0
1200 deny icmp from any to any in icmptypes 8
65535 deny all from any to any

essas regras fazem o seguinte: permite pingar pra fora, permite resposta, e nega se tentarem pingar de fora, e o firewall ta definido como fechado, entao tudo que nao se adequar as regras será bloqueado.

no caso de firewall aberto, tudo que nao se adequar as regras ele irá deixar passar.

as regras sao lidas de cima pra baixo
os numeros sao a ordem com que elas devem ser lidas pelo sistema

Ok... mas é o seguinte... tenho duas interfaces de rede... tipo que acrescentar ao kernel o ipfw e divert... até aí blz... recompilei o kernel e tudo tava as mil maravalhivas... os clientes da interface rl1 (inválida) pingando e acessando a net através da interface rl0 (válida) que está ligada ao meu swicth principal do provedor.... de repente, reiniciei meu serv e bau bau... a última regra que era allow, virou deny.,... vai entendê né... mas agora de qualquer jeito já tô no processo de formatação do meu FreeBSD...

[Soilwork-]

vc tem q fazer um arquivo com as regras, e no rc.conf firewall_type colocar
firewall_type"/endereco/do/seu/firewall.conf"

[doidoht]

vc tem q fazer um arquivo com as regras, e no rc.conf firewall_type colocar
firewall_type"/endereco/do/seu/firewall.conf"

Uai cara... o meu firewall_type tá quiet... ele execuca as regras do firewall em background... se comento esse firewall_type, ele me mostra a execução de todas as regras... agora, tentar chamar o rc.firewall!?!? estranho... vou tentar amanhã no provedor... t+

simples, coloque no kernel essa linha:

options IPFIREWALL_DEFAULT_TO_ACCEPT

ou dentro do Makefile do modulo que fica em
/usr/src/sys/modules/ipfw/

vai ter uma opção comentada, mas isso vc teria que carregar
com o kldload..

[doidoht]

simples, coloque no kernel essa linha:

options IPFIREWALL_DEFAULT_TO_ACCEPT

ou dentro do Makefile do modulo que fica em
/usr/src/sys/modules/ipfw/

vai ter uma opção comentada, mas isso vc teria que carregar
com o kldload..

Eu coloquei essa regra no meu kernel e deu tudo certo... mas mesmo assim valeu pelo help...

T+