FreeBSD & natd & ipfw

fedya

Есть локальная сеть(около 15 компов). Доступ организован через FreeBSD 4.9. Запущены natd, named, firewall.
Если устанавливаю в правилах ipfw allow all from any to any - все работает.
Когда начинаю прописывать правила типа: Удаляю вышеуказанное правило, добавляю:
allow ICMP from any to any
allow all from any to any via {локальный интерфейс}, - происходит следующее: пинги идут, когда по ssh захожу router с машины с windows, то после ввода логина появляется надпись username sent и висит минут пять до появления строки для ввода пароля. При этом пропадают пинги.
Когда уже залогинюсь на router, пинги появляются. Также если добавляю правило для доступа к 80 порту в инет, то при коннекте в инет пропадают пинги.
В чем может быть проблема?
По дефолту firewall стоит deny all from any to any.

romanowww

покажи правила ipfw, которые используешь, и как запущен natd

fedya

allow divert natd from any to any via {внешний итерфейс}
allow ICMP from any to any
allaw all from any to any via {локальный интерфейс}
deny all from any to any
в rc.conf natd_enable="YES"

romanowww

Насколько я помню, для natd надо указывать интерфейс на котором он будет работать.
По ssh ты заходишь из локальной сети или внешней(когда проблема возникает)?

fedya

В rc.conf также указано: natd_interface="fxp1" - внешний интерфейс.
по ssh захожу из внутренней сети.

sergey_m

Что написано на сервере в /etc/resolv.conf?

fedya

nameserver 195.34.0.1
nameserver 195.34.32.10

sergey_m

allow divert natd from any to any via {внешний итерфейс}
allow ICMP from any to any
allaw all from any to any via {локальный интерфейс}
deny all from any to any

После divert пакеты возвращаются назад в firewall, на следующее правило. Поэтому дальше они должны быть разрешены.

fedya

т.е. из-за resolve.conf все глюки?

sergey_m

Тот глюк, что долго логин проходит скорее всего. Вместо deny поставь deny log и поймешь что лишнее зарезал. Смотри в /var/log/security

Filan

sshd пытается тебя отрезолвить
открой dns во внешни мир и/или подними обратную зону для локальных IP