Некоректно работают правила firewall

[gmn]

Теоретически все правильно.
И правило NAT у вас есть же?
Если да, тогда захидите по ssh и смотрите tcpdump-ом, доходят ли пакеты вообще на ваш шлюз от хоста с локалки.
Доходят - смотрите логи, запущенные процессы …

[muxas]

Правило nat есть, не могу найти логи FTP proxy. Ставил галку на логирование, в системных логах нет. В каталоге /var/log тоже не нашел. Подскажите где еще можно посмотреть?

[gmn]

включение лога и полученная запись в логе.
10.0.1.24 - это хост во "внешней сети" за NAT-ом по отношению к хосту в локальной сети 192.168.44.11.

[gmn]

И без правила записи в лог попадают.

[muxas]

Можете еще показать правило NAT?

[gmn]

@muxas:

Можете еще показать правило NAT?

Это тестовая сеть и хост - там одно правило :)

[werter]

На WAN отключено блокирование "серых" сетей ?

[gmn]

@werter:

На WAN отключено блокирование "серых" сетей ?

Да. Это тестовый хост. И за WAN у него тоже серые сети.

[muxas]

Что то совсем не пойму, как настроить nat. Вот скрин. Может тут проблемы? Команда tcpdump port 8021 молчит. То есть если я правильно понял, обращений на порт 8021 localhost нет. tcpdump запущен на консоли pf.

[muxas]

Вот такой ответ на tcpdump port 20

Прощу прощения за такой вид, не знаю почему все зачеркнутое.

tcpdump port 20
tcpdump: verbose output suppressed, use -v or -vv for full protocol decode
listening on re0, link-type EN10MB (Ethernet), capture size 65535 bytes
16:24:54.822835 IP mail1.yktpost.ru.ftp-data > 10.0.0.2.64675: Flags , seq 3056733364, win 65535, options [mss 1380,nop,wscale 3,sackOK,TS val 1489447615 ecr 0], length 0
16:24:57.795992 IP mail1.yktpost.ru.ftp-data > 10.0.0.2.64675: Flags , seq 3056733364, win 65535, options [mss 1380,nop,wscale 3,sackOK,TS val 1489450615 ecr 0], length 0
16:25:00.988967 IP mail1.yktpost.ru.ftp-data > 10.0.0.2.64675: Flags , seq 3056733364, win 65535, options [mss 1380,nop,wscale 3,sackOK,TS val 1489453815 ecr 0], length 0
16:25:04.140057 IP mail1.yktpost.ru.ftp-data > 10.0.0.2.64675: Flags , seq 3056733364, win 65535, options [mss 1380,sackOK,eol], length 0
16:25:07.312012 IP mail1.yktpost.ru.ftp-data > 10.0.0.2.64675: Flags , seq 3056733364, win 65535, options [mss 1380,sackOK,eol], length 0
16:25:10.484117 IP mail1.yktpost.ru.ftp-data > 10.0.0.2.64675: Flags , seq 3056733364, win 65535, options [mss 1380,sackOK,eol], length 0
16:25:16.630504 IP mail1.yktpost.ru.ftp-data > 10.0.0.2.64675: Flags , seq 1580116726, win 65535, options [mss 1380,sackOK,eol], length 0
16:25:28.859804 IP mail1.yktpost.ru.ftp-data > 10.0.0.2.64675: Flags , seq 1580116726, win 65535, options [mss 1380,sackOK,eol], length 0
16:25:52.716074 IP mail1.yktpost.ru.ftp-data > 10.0.0.2.64675: Flags , seq 2716503822, win 65535, options [mss 1380,sackOK,eol], length 0

[gmn]

Вам NAT нужен на обоих интерфейсах?
Думаю, в них проблема.
Оставьте только на WAN-е.

[muxas]

Если ставлю автоматическое создание правил NAT, то прописываются оба интерфейса. Сейчас выставил ручками, оставил только WAN. Без изменений.

[gmn]

А в логах что? (firewall-а того же)

[muxas]

в логах пусто, хотя в правиле разрешающее доступ из LAN к Localhost:8021 галка логировать стоит

[gmn]

Судя по "IP mail1.yktpost.ru.ftp-data > 10.0.0.2.64675" запросы на ftp-сервер попали.
И отправляются ответы. В случае активного фтп они идут с 20 порта на высокий порт источника запроса.
В вашем случае это должен быть WAN IP - а оно так и есть, если я правильно понял условие.
Дальше ответ должен пройти обратно через NAT и через ftp proxy.
Вот или в правилах НАТ-а напутано что-то (не тот интерфейс, не те сети), или ftp proxy не работает.
Пропишите одно правило НАТ вручную, чтобы исключить ошибку.
С какой сети в какой внешний IP натить и на каком интерфейсе.

[muxas]

Огромное спасибо за помощь, прописал правило все заработало. Скажите как его подправить что бы было более безопаснее?

[gmn]

Только правило NAT делается немного по другому.
В pf.conf на FreeBSD это выглядит так:

nat on $ext_if from $my_lan to any -> $ext_if:0 port 1024:65535

Что касается секюрности.
Это вопрос обширный …
Что именно интересует?

[muxas]

Сейчас сделал вот так. В алиасе прописал адрес ftp. Интересует это корректно?

[werter]

@muxas:

Сейчас сделал вот так. В алиасе прописал адрес ftp. Интересует это корректно?

И оно работает?
Пример выше же дан.

[muxas]

Понятно что я ни его не понимаю в nat, не знаю как но правило работало.  :) Сегодня перестало, вернул назад как на скрине. все заработало. Пошел читать по nat.