Date: Fri, 30 May 2003 16:20:23 +0200 From: Robert Martin-Legène <none@robert--martin-legene.dk.lh.bsd-dk.dk> To: bsd-dk@bsd-dk.dk Subject: Re: Natd/router vil ik´'
On Thu, May 29, 2003 at 02:07:17AM +0200, Morten Kjaer Nielsen wrote:
> > 300 deny ip from 172.16.0.0/16 to any via vr0 (og andet privat adresserum)
> Hvorfor den, så er det jo ikke rigtig noget som når frem?
Det har du ret i - den skal selvf efter NATen. Og du skal selvf heller ikke
nægte 192.168-adresser som du bruger mellem routeren og dig selv.
> loggen siger:
> May 29 01:48:26 gw /kernel: ipfw: 2000 Accept ICMP:8.0 172.16.0.10 212.54.64.170 in via dc0
> May 29 01:48:26 gw /kernel: ipfw: 1000 Divert 8668 ICMP:8.0 172.16.0.10 212.54.64.170 out via vr0
> May 29 01:48:26 gw /kernel: ipfw: 2000 Accept ICMP:8.0 192.168.1.250 212.54.64.170 out via vr0
> May 29 01:48:26 gw /kernel: ipfw: 1000 Divert 8668 ICMP:0.0 212.54.64.170 192.168.1.250 in via vr0
> May 29 01:48:26 gw /kernel: ipfw: 2000 Accept ICMP:0.0 212.54.64.170 172.16.0.10 in via vr0
> May 29 01:48:26 gw /kernel: ipfw: 2000 Accept ICMP:0.0 212.54.64.170 172.16.0.10 out via dc0
[...]
> der er de 2 her..
> ICMP:8.0
> ICMP:0.0
>
> hvad fortæller de egentlig?
Det er icmp echo request og echo reply (se /usr/include/netinet/ip_icmp.h)
> tcpdump´s ser stadig ok ud.
Ser du også en masse ARP i tcpdump? F.eks. noget á la:
15:12:49.253941 arp who-has 172.16.0.10 (ff:ff:ff:ff:ff:ff) tell 172.16.0.6 <-- var det dine IPere?
> >Det er ikke
> >et MAC-problem? (skud i tågen).
>
> Hvorledes kan jeg kigge efter det?
Tja.. prøv "arp -a" på Uni^H^H^HBSDen. En god linie siger:
godhost.eksempel.dk (172.16.0.1) at 00:c0:95:e5:97:bd on dc0 [ethernet]
En dårlig linie siger:
dårlighost.eksempel.dk (172.16.0.111) at (incomplete) on dc0 [ethernet]
Hvis Windowsmaskinens IP-nummer har incomplete som MAC-adresse, så er det
noget i den retning der er noget galt med. Din firewall ser ud til at
virke korrekt. Men hvis din tcpdump på BSDen ser icmp-pakkerne ryge
tilbage (og ikke blot en masse ARP), så er det heller ikke arp.
Ellers ville jeg gætte på kabler eller autonegotiation med din hub/switch
som går galt, men det stemmer ikke overens med at din BSD og Windows kan
snakke fint sammen direkte med hinanden.
-- Robert Martin-Legene
This archive was generated by hypermail 2b30 : Wed 15 Nov 2006 - 18:24:29 CET