Re: Source Routing / ipfw

Oliver Fromme schrieb:
> Ob Du 83.64.231.2 oder 212.186.57.126 von außen anpingst,
> ist völlig egal. Der Kernel such sich in seinem Routing-
> Table das Interface mit der passenden Route zu der Adresse
> heraus, wo er seine Ping-Antwort hinschicken soll (also
> eine beliebige externe IP), und das ist in diesem Fall die
> Default-Route (212.186.57.1). Die Ping-Antwort wird natür-
> lich über das zugehörige Interface herausgeschickt (xl0),
> und als Absender-IP wird die IP dieses Interfaces genommen
> (212.186.57.126). Geht ja nicht anders. Deine fwd-Regel
> spricht nie an, weil nie ein Paket mit der Source-Adresse
> 83.64.231.2 erzeugt wird.

Aha. Das ist eine Erklärung. Ich dachte, dass bei TCP und eigentlich
auch bei ICMP die Zieladresse des 1. Pakets die Quelladresse des 2. sein
sollte und der TCP/IP-Stack das auch so sieht. Wäre auch sinnvoll, oder?

> 2. Du kannst bestimmte Dienste (Daemonen) auf die Inode-
> IP binden lassen (durch Konfiguration oder durch Ein-
> sperren in ein jail). Dann gehen sie zwangsläufig mit
> der von Dir festgelegten Source-IP raus. Du würdest
> auf diese Weise also anhand des Dienstes festlegen,
> welche IP verwendet wird. Du kannst z.B. einen sshd
> auf 83.64.231.2:22 und einen auf 212.186.57.126:22
> starten. Für Ping funktioniert dies natürlich nicht.

Das wäre für mich genau ideal. Ich habe es gerade ausprobiert und einen
Apache an 83.64.231.2:80 gebunden:
tcp4 0 0 83.64.231.2.80 *.* LISTEN
Dann von außen verbunden... nichts, funktioniert nicht. Muss ich da
irgendwas Spezielles beachten?

> 3. Du kannst die Source-IP für bestimmte Pakete rewriten
> (NAT).

An das habe ich auch schon gedacht, bzw. sagen wir lieber, ich habe es
befürchtet ;)

MfG
Richard Hirner

To Unsubscribe: send mail to majordomo(at)de.FreeBSD.org
with "unsubscribe de-bsd-questions" in the body of the message
Received on Thu 25 Nov 2004 - 00:00:18 CET