Jump to content
Local
0TshEL_n1ck

mpd5

Recommended Posts

ipfw show - при запущеном фаере.

06010  466  25525 nat 1 ip from table(2) to not table(9) via ng0
12000  470  26497 pipe tablearg ip from table(3) to any via em0 in
12001    1    328 pipe tablearg ip from any to table(4) via em0 out
65533  151  10228 deny ip from table(2) to any via em0
65534    0      0 deny ip from any to table(2) via em0
65535 1823 785668 allow ip from any to any

Получается у меня после загрузки не прописывается правило ${FwCMD} add 6011 nat 1 ip from any to ${ext_ip} via ng0

после команды

/etc/rc.d/ipfw restart
net.inet.ip.fw.enable: 1 -> 0
net.inet6.ip6.fw.enable: 1 -> 0
ipfw: getsockopt(IP_FW_ADD): Invalid argument
Firewall rules loaded.
Всё начинает работать.
06010 1916  169667 nat 1 ip from table(2) to not table(9) via ng0
06011 3744 5149447 nat 1 ip from any to тут айпишник внешний via ng0
12000 1918  169739 pipe tablearg ip from table(3) to any via em0 in
12001 3739 5149180 pipe tablearg ip from any to table(4) via em0 out
65533    0       0 deny ip from table(2) to any via em0
65534    0       0 deny ip from any to table(2) via em0
65535 1544  598517 allow ip from any to any

Edited by 0TshEL_n1ck

Share this post


Link to post
Share on other sites

ги

закоментував у фаєрі  нат

і полетіло у мене

хоча в ppp  нат не малював.

Share this post


Link to post
Share on other sites
ipfw: getsockopt(IP_FW_ADD): Invalid argument

Вот еще эта строчка меня смущает...

 

Це так Nightfly фаєр зробив, там по дефолту в феєрі правило є під номером 65535, а в конфігу воно дублюється.

Тому вилазить помилка.

Я бачите проблеми не бачу, є нат, через нього ходят пакети.

Покажіть конфіг фаєру.

Share this post


Link to post
Share on other sites

/etc/firewall.conf

#!/bin/sh

# firewall command
FwCMD="/sbin/ipfw -q"

${FwCMD} -f flush

# Networks define
${FwCMD} table 2 add 72.20.138.0/24
${FwCMD} table 9 add 72.20.136.26/22

#NAT
ext_ip=`ifconfig ng0 inet | grep inet | awk '{print $2}'`
${FwCMD} nat 1 config log if ng0 reset
${FwCMD} add 6010 nat 1 ip from table\(2\) to not table\(9\) via ng0
${FwCMD} add 6011 nat 1 ip from any to ${ext_ip} via ng0

#Shaper - table 4 download speed, table 3 - upload speed
${FwCMD} add 12001 pipe tablearg ip from any to table\(4\) via em0 out
${FwCMD} add 12000 pipe tablearg ip from table\(3\) to any via em0 in

# default block policy
${FwCMD} add 65533 deny all from table\(2\) to any via em0
${FwCMD} add 65534 deny all from any to table\(2\) via em0
${FwCMD} add 65535 allow all from any to any

При загрузке серва - пользователи с em0 не ходят в инет. Посмотрите предидущее сообщение, там явно видно что правило 6011 при загрузке системы не добавляется. Только после /etc/rc.d/ipfw restart

Share this post


Link to post
Share on other sites

в /etc/rc.conf

ppp_nat="YES"

 

в фаєрі  коментю правила 

#NAT
ext_ip=`ifconfig ng0 inet | grep inet | awk '{print $2}'`
${FwCMD} nat 1 config log if ng0 reset
${FwCMD} add 6010 nat 1 ip from table\(2\) to not table\(9\) via ng0
${FwCMD} add 6011 nat 1 ip from any to ${ext_ip} via ng0

все ніби взлітає

 

чомусь затинається воно з тунелем через ipwf

без тунелю ніби гут.

 

напевно нат через ppp хай собі і буде 

${FwCMD} add 6011 nat 1 ip from any to ${ext_ip} via ng0

це тіпа оце правило.

Share this post


Link to post
Share on other sites

отак у мене через тунель паше і прямо зараз через оцей нат я вам пишу))

#NAT

${FwCMD} nat 1 config log if tun0 reset same_ports

${FwCMD} add 6000 nat 1 ip from table\(2\) to not table\(9\) via tun0

${FwCMD} add 6001 nat 1 ip from any to any via tun0

 

хоча  на іншому насі у мене затик :D

розбираю карту польотів

${FwCMD} nat 1 config log if tun0 reset same_ports

а у меня 

${FwCMD} nat 1 config log if tun0 reset 

 same_ports - может тут собака зарыта при загрузке ???

У вас статика айпиадрес внешний или динамика ??? 

У меня тоже чудненько работает, но не после загрузки.... Приходится ручками /etc/rc.d/ipfw restart делать... 

Edited by 0TshEL_n1ck

Share this post


Link to post
Share on other sites

загружає при запуску правила.

 

пакети ломляться на нат,

${FwCMD} add 6000 nat 1 ip from table\(2\) to not table\(9\) via tun0

 

але тут стовбняк їх ловить, це при 

ppp_nat="YES" і при ppp_nat="no"

 

але коли ppp_nat="YES" і  правила нату у фаєрі закоментовані то нет взлітає.

 

і ppp_nat="YES" рівноцінно 

${FwCMD} add 6011 nat 1 ip from any to ${ext_ip} via ng0

отой нат, що я приводив вище робочий то на bsd 8.2, і  паше уже так два роки

на 9,2_64 отака сама лобуда як і у вас, написав тількищо як полікував.

Share this post


Link to post
Share on other sites

Так это ppp соединение поднимать нужно ??? Или тупо закоментировать  ${FwCMD} add 6011 nat 1 ip from any to ${ext_ip} via ng0  в конфе ваерволла, и в  rc.conf добавить ppp_nat="YES" ???

Edited by 0TshEL_n1ck

Share this post


Link to post
Share on other sites

 

 

Так это ppp соединение поднимать нужно ??? 

ну я через ppp а ви погугліть як ото через мпд зробити.

хоча для одного зєднання тягнути мпд мені просто ліньки.

конфіг майже одинаковий, глючить одинаково коли сесія паде, і буває тільки аж після ребуту  машини знову піднімається))

такі то справи з пижиним аплінком  аплінком по pppoe :D

Share this post


Link to post
Share on other sites

Тогда пусть крутиться как крутиться... Бесперебойники помощнее поставлю только... Что б ребутить меньше :) Хотя интересно почему оно так происходит, и должен же быть не костыльный способ поправить... Есть у меня подозрение что в ифконфиге ng0 появляется позже чем вырисовываются правила в фаере... Из-за того правило при старте и не работает, потому как ему не прописывается айпи с скрипта.. или нужно постоянный айпи брать, или как-то отложить запуск правила.

Share this post


Link to post
Share on other sites

mpd_enable="yes" у рц.конфі поставсте вище аніж firewall_enable="yes"

тоді повинно при старті нормально запуститися.

Edited by L1ght

Share this post


Link to post
Share on other sites
sshd_enable="YES"
ntpd_enable="YES"
mpd_enable="YES"
mpd_flags="-b"
# ====== added by UBinstaller ====

#all needed services
mysql_enable="YES"
apache22_enable="YES"
dhcpd_enable="YES"
dhcpd_flags="-q"
dhcpd_conf="/usr/local/etc/multinet/dhcpd.conf"
dhcpd_ifaces="em0"

# ==========
#access/shape/nat
firewall_enable="YES"
firewall_nat_enable="YES"
dummynet_enable="YES"
firewall_script="/etc/firewall.conf"

оно намного выше... Поднял в самый верх, всёравно фаер жеж вродь один с первых запускает и проверяет...

Edited by 0TshEL_n1ck

Share this post


Link to post
Share on other sites

Нетграф в ядрі або модулями?

Фаєрвол в ядрі чи модулями?

Чи може воно не встигає підіймати сессію тому і не відпрацьовує як треба.

Тре щось на зразок sleep 5, але не знаю як його правильно у рц.конф запхати.

Ща подивлюсь, та точніше скажу.

Так, у рц конф рядок додати

sleep 5

Якщо все одно не вийде - то збільшити.

sshd_enable="YES"
ntpd_enable="YES"
mpd_enable="YES"
mpd_flags="-b"
# ====== added by UBinstaller ====

#all needed services
mysql_enable="YES"
sleep 5
apache22_enable="YES"
dhcpd_enable="YES"
dhcpd_flags="-q"
dhcpd_conf="/usr/local/etc/multinet/dhcpd.conf"
dhcpd_ifaces="em0"

# ==========
#access/shape/nat
firewall_enable="YES"
firewall_nat_enable="YES"
dummynet_enable="YES"
firewall_script="/etc/firewall.conf"

Є ще один варіант, скріпти інтерфейс ап\даун у мпд.

Просто зробити щоб при піднятті інтерфейсу рестартувати ipfw.

Другий варіант є філософскі красивіший :)

Edited by L1ght

Share this post


Link to post
Share on other sites

Читайте вище, гадаю усе діло в тому, що лінк не встигає піднятися, тому правило не відпрацьовує як треба і повертає пустий результат.

Share this post


Link to post
Share on other sites
kldstat
Id Refs Address            Size     Name
 1   34 0xffffffff80200000 15b93c0  kernel
 2    3 0xffffffff817ba000 22930    ipfw.ko
 3    2 0xffffffff817dd000 177e0    libalias.ko
 4    1 0xffffffff817f5000 7470     ipfw_nat.ko
 5    1 0xffffffff817fd000 1ad38    dummynet.ko
 6    1 0xffffffff81a12000 3a3a     ng_socket.ko
 7    8 0xffffffff81a16000 b154     netgraph.ko
 8    1 0xffffffff81a22000 2866     ng_mppc.ko
 9    1 0xffffffff81a25000 831      rc4.ko
10    1 0xffffffff81a26000 42b5     ng_iface.ko
11    1 0xffffffff81a2b000 59fc     ng_ppp.ko
12    1 0xffffffff81a31000 1a7b     ng_tee.ko
13    1 0xffffffff81a33000 4446     ng_ether.ko
14    1 0xffffffff81a38000 44ee     ng_pppoe.ko
15    1 0xffffffff81a3d000 30e5     ng_vjc.ko

Ядро не пересобирал, модули по ходу есть... Машину пустил в ребут. Появляется второй вопрос... Какой-то сбой на стороне провайдера, мпд перезапускается, и соответсвтено появляется другой внешний айпи... Как в таком случае быть ??? 

Edited by 0TshEL_n1ck

Share this post


Link to post
Share on other sites

Так усе модулямі підгружено, тоді все як я казав - некрасиво через сліп у рц.конфі, або скріпти по ап\даун нж0 інтерфейсу.

 

2 варіант додати до мпд

 set iface up-script /usr/local/etc/mpd5/link-up.sh
 set iface down-script /usr/local/etc/mpd5/link-down.sh

Створити 2 файли.

1)
touch /usr/local/etc/mpd5/link-up.sh
touch /usr/local/etc/mpd5/link-down.sh
2)
chmod +x /usr/local/etc/mpd5/link-up.sh
chmod +x /usr/local/etc/mpd5/link-down.sh

вміст файлу ап
cat /usr/local/etc/mpd5/link-up.sh
#!/bin/sh
/etc/rc.d/ipfw restart

Пане mgo, для свого пппд самі знайдете як зробити?))

Edited by L1ght

Share this post


Link to post
Share on other sites

 

 

що лінк не встигає піднятися, тому правило не відпрацьовує як треба і повертає пустий результат.
 

ага і після того як тунель піднявся і перегряжаю фаєр теж ?

 

мене влаштовує нат через ppp.

ніби  їде все.

Share this post


Link to post
Share on other sites

 

що лінк не встигає піднятися, тому правило не відпрацьовує як треба і повертає пустий результат.
 

ага і після того як тунель піднявся і перегряжаю фаєр теж ?

 

мене влаштовує нат через ppp.

ніби  їде все.

 

Я не надто зрозумів як у вас усе працює, тому отак сказав :)

Share this post


Link to post
Share on other sites

У меня первый вариант с слипом не заработал, даже указыал и 10 и сколько угодно, я вообще кста в мануале по rc.conf и упоминания не нашёл по поводу слипа, откуда инфа ??? 

Второй вариант - правило поднялось, вродь всё заработало ) Большое человеческое спасибо за помощь, и за то что еще вчера вечером не послали ) 

Share this post


Link to post
Share on other sites

У меня первый вариант с слипом не заработал, даже указыал и 10 и сколько угодно, я вообще кста в мануале по rc.conf и упоминания не нашёл по поводу слипа, откуда инфа ??? 

Второй вариант - правило поднялось, вродь всё заработало ) Большое человеческое спасибо за помощь, и за то что еще вчера вечером не послали ) 

Та нема за що.

 

Інфа така, що рц.конф звичайний шел скріпт.

Ось простий приклад такого скріпту з сліпом.

#!/bin/sh
echo "wait..."
sleep 5
"done"
Edited by L1ght

Share this post


Link to post
Share on other sites

Edited by mgo

Share this post


Link to post
Share on other sites

А в вас якась маршрутизація була, що мікротик знав про абонську мережу?

Share this post


Link to post
Share on other sites

угу

з бзді дефолт маршрут 

з тіка я прокинув роут аби стукати на бздю через putty

Share this post


Link to post
Share on other sites

Create an account or sign in to comment

You need to be a member in order to leave a comment

Create an account

Sign up for a new account in our community. It's easy!

Register a new account

Sign in

Already have an account? Sign in here.

Sign In Now

  • Recently Browsing   0 members

    No registered users viewing this page.

  • Similar Content

    • By NETOS
      Приветствую!
      Иногда бывает падает внешний канал, после того как появляется не всегда подымается PPPoE соединение. Подскажите скриптик который бы ребутал сервис каждые несколько минут, пока не появится интернет и вел лог. Спасибо. 
       
      FreeBSD base.server 11.1-RELEASE FreeBSD 11.1-RELEASE #0 r321309: Fri Jul 21 02:08:28 UTC 2017 root@releng2.nyi.freebsd.org:/usr/obj/usr/src/sys/GENERIC amd64  
      startup: set user userfkjrhgwr 4598347tgh5r98 admin set console self 127.0.0.1 5005 default: load pppoe_client load pptp_server pppoe_client: create bundle static B1 set iface route default set iface enable tcpmssfix set ipcp ranges 0.0.0.0/0 0.0.0.0/0 set ipcp enable req-pri-dns set ipcp enable req-sec-dns create link static L1 pppoe set link action bundle B1 set auth authname dniprodrsz set auth password 1597538246 set link max-redial 0 set link mtu 1480 set link keep-alive 10 60 set pppoe iface em0 set pppoe service "" open pptp_server: set ippool add PPTPSRV 172.16.1.201 172.16.1.205 create bundle template B set iface enable proxy-arp set iface idle 1800 set iface enable tcpmssfix set ipcp yes vjcomp set ipcp ranges 172.16.1.1/24 ippool PPTPSRV set ipcp dns 172.16.254.1 set ipcp nbns 172.16.1.1 set bundle enable compression set ccp yes mppc set mppc yes e40 set mppc yes e128 set mppc yes stateless create link template L pptp set link action bundle B set link enable multilink set link yes acfcomp protocomp set link no pap chap eap set link enable chap set link keep-alive 10 60 set link mtu 1460 set pptp self 5.161.8.3 set link enable incoming  
    • By veca16
      Есть сервер под Freebsd 10.0 и  Nodeny+  клиенты подключаются по pppoe через mpd5. Недавно начали жаловаться клиенты, что иногда обрываются сессии только как то хаотично, то могут через каждый час, то два раза в день. Проверил логи, только в mpd5 нашел странность но не могу разобраться почему. Вот часть лога как раз во время обрыва связи:
      Oct  7 20:00:04 server mpd: [em1-261] LCP: no reply to 7 echo request(s)
      Oct  7 20:00:04 server mpd: [em1-261] LCP: peer not responding to echo requests
      Oct  7 20:00:04 server mpd: [em1-261] LCP: state change Opened --> Stopping
      Oct  7 20:00:04 server mpd: [em1-261] Link: Leave bundle "B-72"
      Oct  7 20:00:04 server mpd: [em1-261] RADIUS: Accounting user 'login' (Type: 2)
      Oct  7 20:00:04 server mpd: [b-72] Bundle: Status update: up 0 links, total bandwidth 9600 bps
      Oct  7 20:00:04 server mpd: [b-72] IPCP: Close event
      Oct  7 20:00:04 server mpd: [b-72] IPCP: state change Opened --> Closing
      Oct  7 20:00:04 server mpd: [b-72] IPCP: SendTerminateReq #3
      Oct  7 20:00:04 server mpd: [b-72] IPCP: LayerDown
      Oct  7 20:00:04 server mpd: [b-72] IFACE: Down event
      Oct  7 20:00:04 server mpd: [b-72] IPCP: Down event
      Oct  7 20:00:04 server mpd: [b-72] IPCP: LayerFinish
      Oct  7 20:00:04 server mpd: [b-72] Bundle: No NCPs left. Closing links...
      Oct  7 20:00:04 server mpd: [b-72] IPCP: state change Closing --> Initial
      Oct  7 20:00:04 server mpd: [b-72] Bundle: Shutdown
      Oct  7 20:00:04 server mpd: [em1-261] RADIUS: Rec'd RAD_ACCOUNTING_RESPONSE for user 'login'
      Oct  7 20:00:04 server mpd: [em1-261] LCP: SendTerminateReq #4
      Oct  7 20:00:04 server mpd: [em1-261] LCP: LayerDown
      Oct  7 20:00:05 server mpd: Incoming PPPoE connection request via vlan0: for service "" from 04:18:d6:2c:f2:d3
      Oct  7 20:00:05 server mpd: [vlan0-151] Accepting PPPoE connection
      Oct  7 20:00:05 server mpd: [vlan0-151] Link: OPEN event
      Oct  7 20:00:05 server mpd: [vlan0-151] LCP: Open event
      Oct  7 20:00:05 server mpd: [vlan0-151] LCP: state change Initial --> Starting
      Oct  7 20:00:05 server mpd: [vlan0-151] LCP: LayerStart
      Oct  7 20:00:05 server mpd: [vlan0-151] PPPoE: connection successful
      Oct  7 20:00:05 server mpd: [vlan0-151] Link: UP event
      Oct  7 20:00:05 server mpd: [vlan0-151] LCP: Up event
      Oct  7 20:00:05 server mpd: [vlan0-151] LCP: state change Starting --> Req-Sent
      Oct  7 20:00:05 server mpd: [vlan0-151] LCP: SendConfigReq #1
      Oct  7 20:00:05 server mpd: [vlan0-151]   PROTOCOMP
      Oct  7 20:00:05 server mpd: [vlan0-151]   MRU 1492
      Oct  7 20:00:05 server mpd: [vlan0-151]   MAGICNUM ec170e67
      Oct  7 20:00:05 server mpd: [vlan0-151]   AUTHPROTO PAP
      Oct  7 20:00:05 server mpd: [vlan0-151]   MP MRRU 2048
      Oct  7 20:00:05 server mpd: [vlan0-151]   MP SHORTSEQ
      Oct  7 20:00:05 server mpd: [vlan0-151]   ENDPOINTDISC [802.1] 00 26 55 d0 d7 4c
      Oct  7 20:00:05 server mpd: [vlan0-151] LCP: rec'd Configure Request #134 (Req-Sent)
      Oct  7 20:00:05 server mpd: [vlan0-151]   MRU 1492
      Oct  7 20:00:05 server mpd: [vlan0-151]   MAGICNUM 70a7dde2
      Oct  7 20:00:05 server mpd: [vlan0-151] LCP: SendConfigAck #134
      Oct  7 20:00:05 server mpd: [vlan0-151]   MRU 1492
      Oct  7 20:00:05 server mpd: [vlan0-151]   MAGICNUM 70a7dde2
      Oct  7 20:00:05 server mpd: [vlan0-151] LCP: state change Req-Sent --> Ack-Sent
       
      Может кто сталкивался? Подскажите что это может быть? Заранее спасибо!
    • By North76Storm
      Уважаемые Гуру, помогите с проблемой!
      Имеется сервер с mpd5 и абоненты с роутерами TP-Link. До определенного момента все работало без нареканий, но в один прекрасный день посыпались хаотические постоянные обрывы сессий.
      В логах по биллингу пишет: ACCT_TERMINATE_CAUSE 1 : User-Request.
      В логах роутера в момент разрыва: 
      49 Oct 23 06:26:04 PPP ПРИМЕЧАНИЕ Standard authentication... и далее успешное подключение.
      48 Oct 23 06:25:45 PPP ИНФО rcvd [LCP TermAck] 47 Oct 23 06:25:45 PPP ИНФО sent [LCP TermReq] 46 Oct 23 06:25:45 PPP ПРЕДУПРЕЖДЕНИЕ LCP down 45 Oct 23 06:25:45 PPP ОШИБКА LCP down 44 Oct 23 06:25:45 PPP ОШИБКА User request 43 Oct 23 06:25:45 PPP ПРЕДУПРЕЖДЕНИЕ PPPoE link down 42 Oct 23 05:53:20 PPP ПРИМЕЧАНИЕ PPPoE connected
      Такая ситуация продолжается около 3-х недель, "Танкисты" разрывают уже...
      Что делать, куда копать???
      P.S. Я сам немного далек от этого, так что просьба сильно не пинать, ну или хотя бы не по голове)))
    • By l1ght
      Шановні підкажіть - є така проблемка.
      Є тачка з FreeBSD 9.3 x64 
      FreeBSD 9.3-RELEASE FreeBSD 9.3-RELEASE #0 r268512: Thu Jul 10 23:44:39 UTC 2014 root@snap.freebsd.org:/usr/obj/usr/src/sys/GENERIC amd64 На ній підняті фаєр,днс (бінд), дхцп сервер, апач, усе працює нормально, але для певної діагностики потрібно підняти пптп сервер - ну то не в перше для мене, конфіг доволі стандартний в мпд
      startup: set user admin admin # configure the console set console self 127.0.0.1 5005 set console open # configure the web server set web self 127.0.0.1 5006 set web open default: load pptp_server pptp_server: set ippool add pool1 10.10.10.5 10.10.10.250 create bundle template B1 set iface disable proxy-arp set iface idle 0 set iface enable tcpmssfix set ipcp yes vjcomp set ipcp ranges 172.16.1.1 ippool pool1 set ipcp dns 10.0.0.1 #Enable Microsoft Point-to-Point encryption (MPPE) set bundle enable compression set ccp yes mppc set mppc yes e40 set mppc yes e56 set mppc yes e128 set mppc yes stateless set mppc yes compress # Create clonable link template named L create link template L10 pptp # Set bundle template to use set link action bundle B1 # Multilink adds some overhead, but gives full 1500 MTU set link enable multilink set link yes acfcomp protocomp set link no pap chap eap set link enable pap set link enable chap set link enable chap-msv1 set link enable chap-msv2 # We reducing link mtu to avoid GRE packet fragmentation. set link mtu 1460 set link keep-alive 10 60 # Configure PPTP and open link set pptp self хх.хх.хх.хх # Allow to accept calls set link enable incoming Проблема в тому, що коли я з'єднуюсь із цим сервером - то вмирає нат, як би то дивно не було. Тобто усі сервіси працюють, маршрутизація працює, а от нат не хоче (ipfw nat). Лікується тільки ребутом системи.
      В логах чисто - ядро не перезбирав, усе модулями завантажується.
      Підкажіть, куди копати?
    • By tivi
      Обращаюсь ко всем за помощью. Идеи закончились...
       
      Имеем:
      Бордер, принимающий по bgp каналы от двух аплинков и отдающий все это дело на сервера доступа (под freebsd + mpd5).
      Отрубили питание. узел продержался на упсах порядка 12 часов, запустить генератор не успели.
      После подачи напряжения все понимается. сервера видят биллинг (через радиус).
      а вот дальше начинаются непонятности.
      более 50-55 клиентов не все три сервера доступа суммарно не садится.
      (всего порядка 4к абонентов)
      хоть на один сервер доступа (проверяли все), хоть на два...
      ваершарком слушали трафик - PADI запросы от клиентов прут, а вот ответы от серверов доступа - 1-2 в минуту.
      все чисто, ничего подозрительного нет.
       
      грешили на коммутатор, на котором все это "собрано" воедино.
      поменяли на новый из коробки - та же фигня.
      причем, если "откинуть" все сегменты "локалки" и подключиться просто ноутбуком - авторизаци проходит все время без задержек.
      как только возвращаем "все обратно" - начинаются проблемы.
      колец нет - loopdetect включен как на коммутаторе где все это "приземляется", так и на точках аггрегации районов.
       
      будем признательны (не только спасибо, а вполне готовы принять не безвозмездную помощь) за любую подсказку/помощь.
×