Re: Routing nach Quelle

On Sun, Jun 17, 2001 at 11:37:19PM +0200, Marc Santhoff wrote:
> Tag Bernd!
>
> Bernd Walter wrote:
> >
> [...]
> >
> > Natuerlich kannst du Rechnern in einem Netz unterschiedliche Routen
> > konfigurieren.
> > Etwas Erfahrung ist jedoch bezueglich redirects von Vorteil.
> > Sinnvoller ist allerdings policy routing mittels ipfw forward.
>
> Ah, das habe ich bisher in der manpage überlesen.
>
> Also etwas wie (aus dem Ärmel):
>
> ipfw add forward from <ip-Gruppe1> to any via <dyn-ip1>
Wenn ich mich nicht vertue:
ipfw add divert <natd-divertport> ip from <ip-Gruppe1> to any
ipfw add fwd <gatewayip-dyn1> ip from <dyn-if1> to any
Das Interface setzt du damit ja erst - kannst du also hier noch nicht
abfragen - das steht noch auf dem Wert der sich aus der Routingtabelle
ergeben hat.
Auf dyn-if1 kannst du hier aufbauen weil der natd den Absender bereits
geaendert hat.

>
> Wie sieht's denn mit dem Rückweg aus, da ist auch noch natd im
> Spiel?

Wenn du nat brauchst musst du den divert Kram auch eintragen.
Das muss unbedingt als erstes - also vor dem forward passieren, weil
ein forward die Suche abbricht und dem nat keine Chance mehr laesst.
Der natd selber bringt das fertig uebersetzte Packet wieder von
Anfang an in die ipfw rules.

Ein Problem bei dynamischer IP ist das der ifpw forward unbedingt eine
IP haben muss. Du kannst das zwar aus einen up Script mittels fester
Rulenummer entsprechend anassen - jedoch duerfte ein Dial-on-demand
schwierig werden wenn beide Zugaenge dynamische IPs haben und beide
on demand angewaehlt werden.
Im Prinzip kannst du mit einer dummy-ip arbeiten die dann ueber das
jeweilige Interface geroutet wird bis die richitge IP bekannt ist.
Die Packete laufen dann zwar solange vor die Wand - was aber sowieso
passieren wuerde da der natd vorher auch nicht die richtige IP hat.

Du sollstest dir erst mal richtig klarmachen was du willst und welche
Zugaenge du hast.
Dann solltest du dir klar machen wie und wann Packete im Rechner durch
die Routingtabelle, Filterliste, fwd und durch den natd gehen.
Mit dem Wissen geruestet ist dann eigendlich alles moeglich.

-- 
B.Walter              COSMO-Project         http://www.cosmo-project.de
ticso(at)cicely.de         Usergroup           info(at)cosmo-project.de
To Unsubscribe: send mail to majordomo(at)de.FreeBSD.org
with "unsubscribe de-bsd-questions" in the body of the message