BSDPORTAL.RU

Здраствуйте всем...
Прошу прощения, что я снова подымаю эту избитую тему.
Имеется два соединения к Интернету.
Необходимо, чтобы ответы на пакеты tcp/udp/icmp,приходящие с первого интернет-провайдера, уходили через GW первого провайдера и, чтобы ответы на пакеты tcp/udp/icmp, приходящие со второго провайдера, уходили через GW второго провайдера.

Не могу понять, читал много статей, но с синтакисом PF начал работать недавно, поэтому немного сложно понять, как люди делают это с помощью route-to и reply-to.

Помогите пожалуйста. Выложите простой конфиг, что я должен написать в pf.conf.
Для простоты не нужны никакие редиректы внутрь сети и будем предполагать, что все пакеты должны пропускаться\приниматься.

Заранее спасибо.
Тимур.

у меня на 6.1 route-to не пашет

на OpenBSD оно и пашет, а на Free - болт

if1="rl0"
if2="ed0"
gw1="195.158.18.9"
gw2="217.29.120.241"

pass in all
pass out all

pass out route-to ($if1 $gw1) from ($if1) to !(self:network) keep state
pass out route-to ($if2 $gw2) from ($if2) to !(self:network) keep state

pass in on $if1 reply-to ($if1 $gw1) proto tcp flags S/SA tagged IF1 keep state
pass in on $if2 reply-to ($if2 $gw2) proto tcp flags S/SA tagged IF2 keep state

сделал такую схему.....с пингами все нормально работает...пакеты icmp уходят туда куда надо......но tcp сессии и udp пакеты упорно лезут в default gateway....

Ну вот не надо так однозначно...

Например, у меня соединены два офиса через gif-ы по схеме из handbook.
Беру просто убиваю статический путь маршрута, во вторую сеть.
Пишу правила.

И почему-то работает.
Я что-то делаю не правильно, наверно ?

uname -r в студию и если можно pf.conf

6.2-PRERELEASE от 20 ноября.
но сам PF давно уж не менялся,

судя webcvs изменения последние исправления с route-to были в 2005г.

_________________
Я одну мечту скрывая нежу
Что я сердцем чист
Но и я кого нибудь зарежу
Под осенний свист

а на ipfw такое можно сделать?

Возможно всё, что можно представить!

_________________
Я одну мечту скрывая нежу
Что я сердцем чист
Но и я кого нибудь зарежу
Под осенний свист

%head -n 1 /usr/src/sys/contrib/pf/net/pf.c
/* $FreeBSD: src/sys/contrib/pf/net/pf.c,v 1.34.2.3 2005/12/30 00:50:18 mla
ier Exp $ */

%uname -r
6.1-RELEASE-p10

насколько давно ?

таки что-то уже меняли. Лано, подожду выхода 6.2

Меняли, но там больше подготовка к mandatory access control.
Чуть-чуть reply-to коснулось.
http://www.freebsd.org/cgi/cvsweb.cgi/s ... ev1.34.2.4
Да как-то же люди и на 5.3 работают, судя по форумам.

_________________
Я одну мечту скрывая нежу
Что я сердцем чист
Но и я кого нибудь зарежу
Под осенний свист

убил день чтобы настроить примерно то же самое на своей
фрюшке 6.1
Очень хочу чтобы если у кого встанет такая задачка сделали это быстрее.
К правилам тимура нужно добавить

pass out on $if1 route-to ($if2 $gw2) from $if2 to any
pass out on $if2 route-to ($if1 $gw1) from $if1 to any

Эти правила выглядят тавталогичными - типа и так уже отправили пакетики, но оказалось (tcpdump не даст соврать) что без них пакетики выходят через интерфейс прописанный в путях для адреса назначения, причем с не прописанном на этом интерфейсе ip(!)

Кроме того насколько я понимаю правила
pass out route-to ($if1 $gw1) from ($if1) to !(self:network) keep state
pass out route-to ($if2 $gw2) from ($if2) to !(self:network) keep state
нужны только если по умолчанию блокируем весь исходящий, в нашем случае их не нужно