FreeBSD+UTM5+IPFilter [local] не добавляются правила... :(

Scrooge

Всем добрый день!
Нужна помощь... Постараюсь вкратце...
Есть FreeBSD 5.5, в качестве фаервола юзаю ipf.

#cat rfw5.cfg
firewall_type=local
sudo_path=/usr/local/bin/sudo
firewall_path=/bin/echo

В биллинге прописано
(включение)
"pass in quick on fxp0 proto tcp from UIP/UBITS to 172.16.0.100 port = 3128 keep state keep frags" | /sbin/ipf -f -
(выключение)
"pass in quick on fxp0 proto tcp from UIP/UBITS to 172.16.0.100 port = 3128 keep state keep frags" | /sbin/ipf -rf -

#cat /var/log/messages
Aug 21 14:56:38 out sudo: root : TTY=unknown ; PWD=/netup/utm5 ; USER=root ; COMMAND=/bin/echo "pass in quick on fxp0 proto tcp from 10.10.0.3/29 to 172.16.0.100 port = 3128 keep state keep frags" | /sbin/ipf -rf -
Aug 21 14:56:40 out sudo: root : TTY=unknown ; PWD=/netup/utm5 ; USER=root ; COMMAND=/bin/echo "pass in quick on fxp0 proto tcp from 10.10.0.3/29 to 172.16.0.100 port = 3128 keep state keep frags" | /sbin/ipf -f -

Но правила не добавляются...

spec · Сообщение **spec** » Пн авг 21, 2006 15:06

почему бы не выполнять правила напрямую через /sbin/ipf ?

в sudoers все правильно настроено?

calculator

А зачем такие навороты с конвеером?
Что менает сделать
firewall_path=/sbin/ipf
правила вида:
-f pass in quick on fxp0 proto tcp from UIP/UBITS to 172.16.0.100 port = 3128 keep state keep frags

Попробуй еще вручную правила выполнить(те что выдает в логе). Срабатывают ли?

Scrooge

spec писал(а):почему бы не выполнять правила напрямую через /sbin/ipf ?

ipf принимает правила "на лету" только в той конструкции, которую написал либо читает из файла...(см. man ipf)

spec писал(а):в sudoers все правильно настроено?

init ALL = NOPASSWD: /bin/echo, /sbin/ipf

Scrooge

calculator писал(а):А зачем такие навороты с конвеером?
Что менает сделать
firewall_path=/sbin/ipf
правила вида:
-f pass in quick on fxp0 proto tcp from UIP/UBITS to 172.16.0.100 port = 3128 keep state keep frags

Это не правильная конструкция...
man ipf:
-f <filename>
This option specifies which files ipf should use to get input
from for modifying the packet filter rule lists.

calculator писал(а):Попробуй еще вручную правила выполнить(те что выдает в логе). Срабатывают ли?

/bin/echo "pass in quick on fxp0 proto tcp from 10.10.0.3/29 to 172.16.0.100 port = 3128 keep state keep frags" | /sbin/ipf -f -
Ессно вручную правило работает...

calculator

Все дело в конвеере. Рабочий вариант под linux:

firewall_path=/netup/utm5/bin/ipf.sh

/netup/utm5/bin/ipf.sh:

Код: Выделить всё

#!/bin/bash
#
#

case $1 in
        -rf&#41;    shift 1
                while &#91; 1 &#93;; do
                        /bin/echo $* | /sbin/ipf -rf - 2>/dev/null|| exit
                done ;;
        -f&#41;     shift 1 
                /bin/echo $* | /sbin/ipf -f - 2>/dev/null ;;
        *&#41;     /bin/echo $* | /sbin/ipf - 2>/dev/null ;;
esac

while удаляет дублирущиеся правила...
остальные команды обрабатываются в *)

(включение)
-f pass in quick on fxp0 proto tcp from UIP/UBITS to 172.16.0.100 port = 3128 keep state keep frags
(выключение)
-rf pass in quick on fxp0 proto tcp from UIP/UBITS to 172.16.0.100 port = 3128 keep state keep frags

Scrooge

Хм...
Не силён я в шелле...
Но...
#!/bin/bash
case $1 in
-f) /bin/echo $* | /sbin/ipf -f -;;
esac

# /netup/utm5/bin/ipf.sh -f pass in quick on fxp1 proto tcp from 10.10.0.3/29 to 172.16.0.100 port = 3128 keep state keep frags

получаем:
1: unknown keyword (-f)
/sbin/ipf: -: parse error (-1), quitting

С какого это перепугу он о ключах ничего не знает???

calculator

Предидущий пост поправил.

Scrooge

calculator писал(а):Предидущий пост поправил.

YES!!!
Заработала!!!
Премного благодарен за уделенное внимание и помощь!!!