Re: Bug in IPFW+Bridge?

On Fri, 2 May 2003 19:14:20 +0200
Ulrich Spoerlein <q(at)uni.de> wrote:

> Hallo,
>
> aufgrund eines "defekten" Switches musste ich flugs eine Bridge
> aufsetzen und habe das mit einem FreeBSD 4.7-p2 und zwei 3Com Karten
> erledigt. Soweit klappt auch alles, aber ich moechte den Traffic der
> ueber die Switch geht genauer analysieren und hier wird es merkwuerdig.
>
> Auf Port xl1 haengen ca. 200 User und an xl0 ist ein 10MBit Uplink zum
> RZ.
> xl0: <3Com 3c900B-COMBO Etherlink XL> port 0xe000-0xe07f mem 0xeb000000-0xeb00007f irq 12 at device 17.0 on pci0
> xl1: <3Com 3c905B-TX Fast Etherlink XL> port 0xe400-0xe47f mem 0xeb002000-0xeb00207f irq 10 at device 19.0 on pci0
>
> xl0: flags=8943<UP,BROADCAST,RUNNING,PROMISC,SIMPLEX,MULTICAST> mtu 1500
> options=3<rxcsum,txcsum>
> ether foo
> media: Ethernet 10baseT/UTP <full-duplex>
> xl1: flags=8943<UP,BROADCAST,RUNNING,PROMISC,SIMPLEX,MULTICAST> mtu 1500
> options=3<rxcsum,txcsum>
> inet 172.16.23.2 netmask 0xfffff800 broadcast 172.16.23.255
> ether bar
> media: Ethernet autoselect (100baseTX)
> status: active
>
> net.link.ether.bridge=1
> net.link.ether.bridge_ipfw=1
> net.link.ether.bridge_cfg=xl0,xl1
>
> Hier mal ein paar Counter:
>
> (19:20:59) root(at)gandalf: ~# ipfw show
> 01100 0 0 allow ip from any to any via lo0
> 01200 0 0 deny ip from any to 127.0.0.0/8
> 01300 0 0 deny ip from 127.0.0.0/8 to any
> 01500 425 36060 allow ip from me to any out xmit xl1
> 01600 232 12808 allow ip from any to me in recv xl1
> 02100 0 0 count ip from any to any out xmit xl0
> 02200 1404 1481621 count ip from any to any in recv xl0
> 02300 0 0 count ip from any to any out xmit xl1
> 02400 1178 566575 count ip from any to any in recv xl1
> 03100 0 0 count tcp from any to any 80,3128,8080 out xmit xl0
> 03200 15 1454 count tcp from any 80,3128,8080 to any in recv xl0
> 65001 225 24483 allow udp from any to any
> 65002 2321 1993841 allow tcp from any to any
> 65535 310 81092 allow ip from any to any
> (19:21:00) root(at)gandalf: ~# ipfw delete 1500 1600
> (19:21:05) root(at)gandalf: ~# ipfw show
> 01100 0 0 allow ip from any to any via lo0
> 01200 0 0 deny ip from any to 127.0.0.0/8
> 01300 0 0 deny ip from 127.0.0.0/8 to any
> 02100 0 0 count ip from any to any out xmit xl0
> 02200 3733 4103128 count ip from any to any in recv xl0
> 02300 17 1444 count ip from any to any out xmit xl1
> 02400 3104 1347420 count ip from any to any in recv xl1
> 03100 0 0 count tcp from any to any 80,3128,8080 out xmit xl0
> 03200 23 2019 count tcp from any 80,3128,8080 to any in recv xl0
> 65001 604 72070 allow udp from any to any
> 65002 6212 5349882 allow tcp from any to any
> 65535 312 81260 allow ip from any to any
>
> Warum funktioniert Regel 2300 nur wenn ich 1500 und 1600 entferne? Und
> warum funktionieren die Regeln 2100 und 3100 ueberhaupt nicht? Kann das
> an der Hardware liegen?
die pakete zur regel 2300 werden vorher doch schon von 1500 und 1600 abgefangen, und kommen also nicht mehr da an...
2100 und 3100 siehts wohl auch so aus.
Mögliche Abhilfe:
die "count" regeln vor die "allow" und "deny", count macht nämlich meines wissen bei der nächsten regel weiter....

gruss
Skalla

>
> --
> FreeBSD is the most powerful OS.
> NetBSD is the most portable OS.
> OpenBSD is the most secure OS.
> Linux is the most popular OS.
>
> To Unsubscribe: send mail to majordomo(at)de.FreeBSD.org
> with "unsubscribe de-bsd-questions" in the body of the message
>

-- 
                       _
ASCII ribbon campaign ( )
 - against HTML email  X
             & vCards / \
To Unsubscribe: send mail to majordomo(at)de.FreeBSD.org
with "unsubscribe de-bsd-questions" in the body of the message