IPF+IPNAT+DUMMYNET

[Jaroslav Napravnik]

IPFiltr je jako stavovy paket filtr dokonalejsi, proto doporucuji 
stavajici konfiguraci, tj. ipf+ipnat. Mohou vedle sebe s ipfw pracovat 
nejlepe tak, ze do jadra zkompilujes tyto volby:

options IPFIREWALL
options IPFIREWALL_VERBOSE
options DUMMYNET
options IPFIREWALL_DEFAULT_TO_ACCEPT   #vse povoluje. Takze kdyz do ipfw 
neumistis zadna pravidla, jako by tam nebyl.

a kvuli bezpecnosti u IPFiltru DEFAULT_BLOCK, ale pozor na nechtene 
zablokovani jakehokoliv vzdaleneho pristupu k routeru.

IPFW nastavis takto:
nejprve pridas pravidlo, ktere bude pozadovanou komunikaci smerovat na 
dummynet a pak vytvoris toto pravidlo, ktere bude omezovat rychlost.

Prvni pravidlo ma schema:
number   pipe   pipenumber   ip   from   sourceaddr   sourceport   to   
destaddr   destport

cili: Cislo pravidla IPFW.
      Vyraz, ktery rekne, ze smerujeme na jine pravidlo.
      Cislo toho druheho pravidla.
      Popis komunikace.

Takze napr. pro omezeni rychlosti z weboveho servru 192.168.1.80 
kamkoliv, zadas:
ipfw add 10 pipe 1 ip from 192.168.1.80 80 to any
(10 je libovolne cislo pravidla ipfw a 1 je cislo propojeni)

A schema druheho pravidla bude:
pipe   pipenumber   config   bw   bandwidth

cili: Uvodni slovo pipe.
      Cislo propojeni, stejne jako jsi uvedl v prvnim pravidlu.
      config bw rika, ze chceme omezovat prenosovou rychlost.
      bandwidth nahradis konkretni povolenou rychlosti, napr. 64Kbit/s

ipfw add pipe 1 config bw 64Kbit/s

K prohlizeni pravidel IPFW napis: ipfw list
K vypisu vsech propojeni: ipfw pipe list

       Jarek

>Zdravim,,
>
>chcem sa spytat aky mate nazor na tuto kombinaciu...
>
>Nemozem najst nikde dostacujuci navod ako spojazdnit dummynet vedla
>IPF+IPNAT ,,vsade sa docitam,ze to ide v pohode,,ale nejaky
>zrozumitelny navod nikde...
>
>Hlavne mi nieje jasne,ze ked je dummynet sucastou ipfw a ja filtrujem
>pomocou ipf, ci to musi mat nejake specialne smerovanie alebo nieco
>podobne.. alebo len zapnem podporu pre dummynet a do dummynet.conf
>nahadzem pipes a bude to ficat :o)))))...
>
>pripadne by mi mohol niekto zhrnut ako zlozite bude prejst z ipf+ipnat
>na ipfw+natd ...  Totiz router uz bezi a ja nemam moznosti na
>experimentovanie...
>
>
>Dakujem...
>