*BSDでBBルータを作ろう互助会 4pps

*BSDでBBルータを作ろ ..

1:名無しさん＠お腹いっぱい。
07/02/20 13:21:31
前スレ
FreeBSDでBBルータを作ろう互助会 3Gbps
ｽﾚﾘﾝｸ(unix板)

2:名無しさん＠お腹いっぱい。
07/02/20 13:22:04
過去スレ
FreeBSDでBBルータを作ろう互助会
ｽﾚﾘﾝｸ(unix板)
FreeBSDでBBルータを作ろう互助会 2Mbps
ｽﾚﾘﾝｸ(unix板)
FreeBSDでBBルータを作ろう互助会 3Gbps
ｽﾚﾘﾝｸ(unix板)

3:名無しさん＠お腹いっぱい。
07/02/20 13:23:41
関連サイト
pf - URLﾘﾝｸ(www.openbsd.org)
bandwidthd - URLﾘﾝｸ(bandwidthd.sourceforge.net)

m0n0wall - URLﾘﾝｸ(m0n0.ch)
pfsense - URLﾘﾝｸ(www.pfsense.com)

NetBSDでpppoe - URLﾘﾝｸ(www.daemon-systems.org)
URLﾘﾝｸ(www.jp.netbsd.org)
OpenBSDでpppoe - URLﾘﾝｸ(www.ne.jp)

mpd - URLﾘﾝｸ(sourceforge.net)

freevrrpd - URLﾘﾝｸ(www.b0l.org) ( for sale ? どこいったのかしら)

4:名無しさん＠お腹いっぱい。
07/02/20 13:24:15
なんで次のスレを立てるまえに埋めるかな～

5:名無しさん＠お腹いっぱい。
07/02/20 13:42:59
次スレ立てるのが遅いだけだろ、ノロマが

6:名無しさん＠お腹いっぱい。
07/02/20 13:51:09
pps

7:名無しさん＠お腹いっぱい。
07/02/20 14:07:58
>>5
キミがスレたてすれば丸く収まったのにねえ

8:名無しさん＠お腹いっぱい。
07/02/20 18:52:34
ああ、なんか見付からんと思ったら
スレタイが*BSDに変ってた。

9:名無しさん＠お腹いっぱい。
07/02/20 23:05:45
vrrpd使ってる人いる？

10:名無しさん＠お腹いっぱい。
07/02/26 04:49:33
freevrrpdを眺め中

11:名無しさん＠お腹いっぱい。
07/02/27 21:34:18
変にスレの名前を変えるから、まだ次スレがないもんだと思って作っちまったじゃないか。

ｽﾚﾘﾝｸ(unix板)

この子を作った責任をだれか取ってくれ。

12:名無しさん＠お腹いっぱい。
07/02/27 21:43:08
>>11
削除以来をすればいいじゃない

13:名無しさん＠お腹いっぱい。
07/03/02 12:24:35
おれは *BSDでより FreeBSDでの方が良いと思うけどな。
*BSDにまたがる話題は主にルータ全般とか基礎がらみの話になるんで、それならLinuxだってWindowsだって含めていい。
*BSDという中途半端なくくりにする意味があまり感じられない。

14:名無しさん＠お腹いっぱい。
07/03/02 12:53:49
旧スレで中心の話題の一つだったmpdって他のBSDで使えるのか?

15:名無しさん＠お腹いっぱい。
07/03/02 12:54:54
ちょっと古いのはURLﾘﾝｸ(pkgsrc-wip.sourceforge.net)に既にあるのを知らずに
作っちゃったんだけど、linuxigd-1.0(upnpd)をFreeBSD上のpfで動かすように
したportsって需要ありますか？

16:名無しさん＠お腹いっぱい。
07/03/02 13:20:24
らしくなってきました

17:名無しさん＠お腹いっぱい。
07/03/02 14:10:29
>>15
あるんじゃない？

18:名無しさん＠お腹いっぱい。
07/03/02 15:01:00
>>13
どっちでもいいんじゃない？
スレ数の節約としては*BSDでいいだろうし、
そいういう趣旨とていはFreeBSD限定でもいいし、
スレ数の節約という意味ではUNIXでBBルータを作ろう互助会でもいいかもしれないし。

19:名無しさん＠お腹いっぱい。
07/03/03 13:34:58
*BSDになるとNASとかのアプライアンス機器の話題もできそうで良いかも。

20:名無しさん＠お腹いっぱい。
07/03/03 17:57:05
ていうか、いっそ "*BSD" も外せよ。
Linux以外なんでも可でいいだろ。

21:名無しさん＠お腹いっぱい。
07/03/03 18:18:06
UNIXでBBルータを作ろう互助会説か
それでもいいかもね

22:名無しさん＠お腹いっぱい。
07/03/04 01:05:08
んじゃ次スレでな。

23:名無しさん＠お腹いっぱい。
07/03/04 01:11:29
このスレが900を超えたら思い出してください

24:名無しさん＠お腹いっぱい。
07/03/04 19:29:53
お勧め

ｽﾚﾘﾝｸ(unix板)

こちらへ移動。

25:名無しさん＠お腹いっぱい。
07/03/04 21:27:29
■ このスレッドは過去ログ倉庫に格納されています

26:名無しさん＠お腹いっぱい。
07/03/04 23:33:07
Linuxでいうbondデバイスをng_etherとng_one2manyをなんとか入れたけど、、、
でかいファイルをupとかdownすると落ちる。。。。
たぶんメモリの割り当てが小さいと思うんだけど、、そのあたりをカーネルに指示する方法、ありませんか？

27:名無しさん＠お腹いっぱい。
07/03/06 12:56:19
>>26
どういう構成でどういう設定をしたの？
いや、適切なアドバイスとか出来るかどうかわからないけど。

28:名無しさん＠お腹いっぱい。
07/03/06 23:21:59
>>27
最初はここを参考にした→URLﾘﾝｸ(blog.milkcup.jp)
でもケーブルを抜くと50%パケットロスになるからいろいろ調べて、
で、最終的にここに辿り着いた→URLﾘﾝｸ(lists.freebsd.org)

↓みたいな/etc/rc.localを置いてある
#!/bin/sh
bge0_mac="00:11:22:33:44:55"

ifconfig bge0 up
ifconfig bge1 up
kldload ng_ether
kldload ng_one2many
kldload ng_eiface
ngctl mkpeer bge0: one2many lower many0
ngctl connect bge1: bge0:lower lower many1
ngctl msg bge1: setenaddr $bge0_mac
ngctl mkpeer bge0:lower eiface one ether
ngctl msg bge0:lower.one set $bge0_mac
ngctl msg bge0:lower setconfig "{ xmitAlg=1 failAlg=2 enabledLinks=[ 1 1 ] }"
#この時点でngeth0デバイスができている
ngctl mkpeer bge0: one2many upper one
ngctl connect bge0: bge0:upper lower many0
ngctl connect bge1: bge0:upper lower many1
ngctl msg bge1: setpromisc 1
ngctl msg bge1: setautosrc 0
ngctl msg bge0:upper setconfig "{ xmitAlg=1 failAlg=1 enabledLinks =[ 1 1 ] }"
ifconfig ngeth0 inet 192.168.1.100 netmask 255.255.255.0

長いので続きます。。

29:名無しさん＠お腹いっぱい。
07/03/06 23:22:48
>>28の続き

これで中からと外からの両方からpingを打ち続けながらLANケーブルを抜いてみたんだが
0%パケットロス（つまり成功！）

で、喜んでそのままいくつかのportsを入れてる途中でinterfaceが落ちまくったんで、、、
ng_etherをやめて、bge0にip addressを振ってみたら全然落ちない。。。

というわけです。

30:名無しさん＠お腹いっぱい。
07/03/07 00:35:30
なるほど興味深い
それから
interfaceが落ちまくった時の、なにかしらメッセージとかログとかがあればおいておくのがいいかも。
それから使用しているFreeBSDのバージョンとか。参考にしているリンクからすると5.xなのかな？
さらに、あんまり関係ないとおもうけどbge0とbge1がつながっている機器が何かとか。

31:名無しさん＠お腹いっぱい。
07/03/07 12:31:00
>>30
ログには何も書かれてないですねぇ。。。
コンソールには確認できないけど、何か書いてあるかもしれないな。

↓環境周りの情報
ハード: Dell PowerEdge860

CPU: Intel(R) Pentium(R) D CPU 2.80GHz (2800.11-MHz 686-class CPU)
FreeBSD/SMP: Multiprocessor System Detected: 2 CPUs
cpu0: <ACPI CPU> on acpi0
cpu1: <ACPI CPU> on acpi0
SMP: AP CPU #1 Launched!

本当は4GB積んであるけど、500MBはなぜか認識せず。(これは放置w)
real memory = 3757834240 (3583 MB)
avail memory = 3678466048 (3508 MB)

#uname -a
FreeBSD myhostname 6.1-RELEASE FreeBSD 6.1-RELEASE #0: Sun May 7 04:42:56 UTC 2006 root@opus.cse.buffalo.edu:/usr/obj/usr/src/sys/SMP i386

32:名無しさん＠お腹いっぱい。
07/03/07 12:47:11
ああbgeがつながっている本体もそうだけど、スイッチかなにかにつながっているとおもうので
その機器を周辺情報として分かったらなにか足しになるなかなならないかな
とか

33:名無しさん＠お腹いっぱい。
07/03/07 13:58:44
>>28
なんか、この設定だと、one2manyノードを2個作ってる気がするんだけど、正しい？
ngctl mkpeer bge0: one2many... やってるのが2行あるって意味ね。

freebsd-netのメールにある2種類の設定の、どちらとも違う設定をしている気がする。

34:名無しさん＠お腹いっぱい。
07/03/08 00:34:47
>>32
ただのsw。特に何の特徴もない。

>>33
man ng_etherするとupperとlowerがdevice layerかprotocol layerかの違うとあるからmkpeer bge0 one2many [upper|lower] しているのは問題ないと思います。

35:名無しさん＠お腹いっぱい。
07/03/08 00:51:57
>>34
ngctl listしてみなよ。one2manyが2個出来てるはず。

36:名無しさん＠お腹いっぱい。
07/03/08 01:16:14
>>35
とすると、2つめのngctl mkpeer bge0の行を削除かな。
とは逝っても、今はすでにサービスが稼働してしまっているから
テストマシンで試してみるかな。
#確かにそういわれればまずいと思いますね。。。

37:名無しさん＠お腹いっぱい。
07/03/08 17:13:31
netgraph いじりする場合には、graphics/graphviz 入れて、
ngctl dot | neato -T png -o hoge.png
で、hoge.png を見てみると、netgraph node の接続を確認できていいかも。
mpd の動いてるマシンでやると、なかなか楽しい。

ただ、graphics/graphviz は
URLﾘﾝｸ(www.freebsd.org)
にあるパッチをあてないと動かないみたいだけど。

38:名無しさん＠お腹いっぱい。
07/03/08 22:23:10
>>37
おもしろい!
fontconfig: Couldn't retrieve font family name.
がたくさん出るけど画像は出るし。

39:名無しさん＠お腹いっぱい。
07/03/08 23:55:08
urwfontsかurwfonts-ttfいれる
これ、基本。

40:名無しさん＠お腹いっぱい。
07/03/09 00:16:54
わーい！
>>38のメッセージはでなくなったよ！
でもフォント入れないほうが字は読みやすいけど

41:名無しさん＠お腹いっぱい。
07/03/21 21:04:09
>>15
miniupnpdで格闘したんだけど、udpのリダイレクトってpfではかなり厄介だった。
結局natとrdrの両方ルールを作る事にしたけど、linux-igdではどうやってる?

42:名無しさん＠お腹いっぱい。
07/03/22 08:59:02
>>41
うちは
rdr pass on <ext_if> proto <protocol> from any to (<ext_if>) port <outer_port> -> <inner_ip> port <inner_port>
でやってます。
いいかげんかもしれないけど、自分の使ってる範囲ではこれで動いてるようなので……

内→外の nat については、/etc/pf.conf で特定のポート以外 keep state で
pass させちゃってます。

43:名無しさん＠お腹いっぱい。
07/04/14 20:27:57
pfsense簡単すぎﾜﾛﾀ

44:名無しさん＠お腹いっぱい。
07/04/26 23:34:55

NetBSDでも pf が使えるようになったみたいだけど
ipfに比べてパフォーマンスはどうなんでしょう？

45:名無しさん＠お腹いっぱい。
07/05/01 07:39:25

netbsd-3.1のpppoe接続なんだけど、つながらないのでキャプチャしたところ、

PPP-LCPのネゴのConfiguration Requestの中でMRUサイズを1500bytesで
リクエストしてしまいます。
プロバイダ側がConfiguraion NakでMRUサイズを1492bytesで返してくるん
だけど、netbsd側が再びMRU：1500でリクエストをしてこれを何度も繰り返して
結局pppoeがterminateしてしまい再接続リトライを繰り返している模様・・・

pppoeってヘッダが8byteあるからJumboフレーム通せる装置じゃない限り
MTU・MRUが1500ってことはありえない気がするんですが。

netbsdのpppoeネゴでMRUを指定する方法ないですかね

46:名無しさん＠お腹いっぱい。
07/05/01 07:57:31
>>45
ちなみに接続先はどんなところ？

47:名無しさん＠お腹いっぱい。
07/05/01 09:36:01
URLﾘﾝｸ(www.pcengines.ch)

どうしてこう VT6105Mばかりかねえ

48:名無しさん＠お腹いっぱい。
07/05/01 21:36:14
>>47
値段が安くて低消費電力、実装面積もまあまあ小さくてPQFPだから実装も楽。
負荷がかかるような使い方をしない組み込みの世界では人気あるからだろうね。

49:45
07/05/02 00:09:53

>>46

マンション向けの共用インターネットです

50:名無しさん＠お腹いっぱい。
07/05/03 18:22:34
>48
82550も十分条件を満たしていると思うが。

51:名無しさん＠お腹いっぱい。
07/05/04 08:02:13
>>50
価格の差が結構あるんじゃない？

52:名無しさん＠お腹いっぱい。
07/05/10 00:07:02

*BSDにスレ名が変わったので。

UNIXでルータ作るならどのプラットフォームが一番パフォーマンスいいですかね

FreeBSD とか NetBSD とか OpenBSD とか ***Linux とか比較して

53:名無しさん＠お腹いっぱい。
07/05/10 02:56:59
>>52
ﾏｼﾞﾚｽするとLinux2.6

54:名無しさん＠お腹いっぱい。
07/05/10 05:20:05
>>53
何かソースとなるデータがあればURLきぼん

55:名無しさん＠お腹いっぱい。
07/05/10 07:25:55
>>52
BSD三兄弟の中ではおそらくFreeBSDだと思う。

56:名無しさん＠お腹いっぱい。
07/05/10 13:58:24
しょぼいCPU限定でならFreeBSD4系がいちばん速いと思う。
6系はカーネル自体がちと重い。
ただ4系はディスコンなのでそのあたりが痛し痒し。

57:名無しさん＠お腹いっぱい。
07/05/10 14:32:54
やはりここは2.2.9で

58:名無しさん＠お腹いっぱい。
07/05/11 20:51:34
>>56
ルータースレなのでアレだけど、ボトルネックになりがちなファイルシステム
が6系は軽いので4系が一番速いとは言えない場合も多くなった。

59:名無しさん＠お腹いっぱい。
07/05/11 22:33:11
まあそこはしょぼいCPUそ前提に話をした56の意を汲むってことで

60:名無しさん＠お腹いっぱい。
07/05/11 22:33:44
もとの52はそういう前提がないからアレだけど

61:名無しさん＠お腹いっぱい。
07/05/15 01:36:07
5.5でpf+mpdにした僕は論外ですか・・・

62:名無しさん＠お腹いっぱい。
07/05/18 01:32:43
>>61
ナニをいっているのですか？
しょぼくないCPUを使っているならそれでもいいんじゃない？

63:名無しさん＠お腹いっぱい。
07/05/25 03:45:10
備えあれば憂いなし - pfSense/pfSyncでネットワーク管理を容易に
URLﾘﾝｸ(journal.mycom.co.jp)

64:名無しさん＠お腹いっぱい。
07/05/25 10:24:05
>>63
アウトカミング？

65:名無しさん＠お腹いっぱい。
07/05/29 18:54:55
アウトカミングいいねえ

66:名無しさん＠お腹いっぱい。
07/06/26 09:51:03
君のアウトカミングを受け止めたい

67:名無しさん＠お腹いっぱい。
07/06/28 01:18:13

FreeBSDのports、 mpd-4.1 → mpd-4.2 にあがってたので

portupgradeしたら・・・

PPPoE張る旅に defaultルートが設定されなくなった。

mpd.conf には
set iface route default
はもちろん書いてるのだが。

4.1からmpd.confはな～にもいぢってない。

いちいち手打ちでデフォルトルート打ってる。

めんどう。

68:名無しさん＠お腹いっぱい。
07/06/29 01:11:48
俺のmpdはいまだに3.18だぜ
FreBSD-7.0だと4.xじゃないとだめだけどな！（だっけ？

69:名無しさん＠お腹いっぱい。
07/06/29 18:08:44
>>67
もう気づいてるかもだけど、mpd-4.2.1で直したってさ。
portsも更新済みだそうで。

70:名無しさん＠お腹いっぱい。
07/07/05 18:59:36
1.2-BETA-2 released!
URLﾘﾝｸ(pfsense.blogspot.com)

71:名無しさん＠お腹いっぱい。
07/07/06 17:33:14
pfsenseの1.2はいいね！

72:名無しさん＠お腹いっぱい。
07/07/10 18:28:39
PPPoEマルチセッションはできるようになってないのか・・・

73:名無しさん＠お腹いっぱい。
07/07/12 00:18:54
>>68
そなのか? いつ頃から???
うちじゃ -current + 3.18 で元気に動いてるんだが???

# っても, 2月ほど前の -current だが...

74:名無しさん＠お腹いっぱい。
07/07/12 04:48:20
>>73
単なる勘違いであることは想定しておいてね！

75:名無しさん＠お腹いっぱい。
07/07/17 16:18:08
FreeBSD 6.2-STABLE + mpd-4.2.2 なんだけど、手で open しないと繋がらない。
set iface disable on-demand はしてあるんだけど、何を忘れてるんだろう？

76:名無しさん＠お腹いっぱい。
07/07/17 17:52:42
mpd_enable="YES"を/etc/rc.confに書き忘れ？

77:名無しさん＠お腹いっぱい。
07/07/17 17:59:11
まだmpd-4.xを使ったことがないエスパー参上。

mpd.confにopen iface
mpd.linksにset pppoe enable originate

があるかどうか。

78:75
07/07/17 23:10:17
>>76
えと、書いてあるし、ps すると動いてるし、ng0 とかも出来てる。
localhost 5005 に telnet して、手で open すると繋がる。

>>77
その辺は大丈夫。
つか、mpd-3.x から持ってきたのを mpd-4 用に一部直して使ってる。
最初、Label 'startup' not found とか言われて、なんじゃこりゃ、と。
で、mpd-3 の時には普通に繋がってたのよ。

79:名無しさん＠お腹いっぱい。
07/07/18 04:15:06
>>78
startup: 以外にもいろいろmpd.confなんかの記法が変わっているけど
そのへんは書き換えた？ mpd.conf.sampleなら PPPoE:の項と比較してみるとか

80:名無しさん＠お腹いっぱい。
07/07/18 04:22:16
あ、FreeBSD-6.2R で mpd4.2.2で別に手でつながなくても動いているね

目立った違いは new の後に -i がないとか
set bundle authname じゃなくてset auth authnameだとか
open iface　でなくて open だとかぐらいかな？

81:75
07/07/18 13:52:53
>>80
>open iface　でなくて open だとかぐらいかな？

これだった orz
無事繋がるようになりました。

82:名無しさん＠お腹いっぱい。
07/07/18 15:17:46
めでたしめでたし

83:名無しさん＠お腹いっぱい。
07/07/18 16:02:43
で、mpd-4.xって mpd-3.x　にと比べていいことってなにかある？
管理ポートにtelnet 出来るとか？

URLﾘﾝｸ(mpd.sourceforge.net)
これでも読みやがれですぅ

84:名無しさん＠お腹いっぱい。
07/07/18 16:09:38
>>83
よく知らんけど、普通に yahoo とかに繋がるとか？

85:名無しさん＠お腹いっぱい。
07/07/18 16:12:52
>>84
mpd-3.xではだめだったの？
手元では普通につながるけど

86:名無しさん＠お腹いっぱい。
07/07/18 16:17:06
>>85
それはお前がべつのところでmax-mssや mssclampをセットしているからやー

ってことか

なるほどね

87:名無しさん＠お腹いっぱい。
07/07/18 21:54:03
mpd4はhttpdが組み込まれている。

88:名無しさん＠お腹いっぱい。
07/07/18 22:03:33
>>83
WEBインターフェイスが便利だ、
それと mpd3 は知らないが取得した dns サーバアドレスがスクリプトに渡せるのも助かる

ところで、切断からの自動接続ってどうするのがスマートなの？

89:名無しさん＠お腹いっぱい。
07/07/19 00:15:37
>>88
> ところで、切断からの自動接続ってどうするのがスマートなの？
同じく、今まさにハマっていたところ...
set link max-redial 0
と
set bundle disable noretry
を試してみたけど、ダメでした...
# とりあえず、mpd3 に戻した... orz

90:名無しさん＠お腹いっぱい。
07/07/19 00:40:43
>>89
それじゃ、ping と /usr/local/etc/rc.d/mpd4 restart 組み合わせるかなぁ～

91:89
07/07/19 03:35:08
>>90
だったら ping 打ちっぱなしの、on-demand はどーでしょう？

92:名無しさん＠お腹いっぱい。
07/07/19 04:45:42
PF のキューイングを調べていて日本語だと
URLﾘﾝｸ(72.14.253.104)
が分かりやすいのだけど、キャッシュではなくオリジナルは今どこに？

93:92
07/07/19 04:54:27
あら、有った
URLﾘﾝｸ(gd.tuwien.ac.at)
退散します。

94:名無しさん＠お腹いっぱい。
07/07/19 20:46:25
>>89
うちでは、
set link max-redial 0
set bundle no noretry
で、イーサネットケーブル抜いて切断確認→差し直して再接続ができてるけど、
切断からの自動接続ってそういう意味ではない？

95:89
07/07/19 23:35:56
>>94
そういう意味です。なりました！
ありがとー。
その2行、片方ずつしか試してなかった。。 orz
# というわけで、mpd4 に復帰 (*´Д`*)

96:名無しさん＠お腹いっぱい。
07/07/19 23:39:05
ありゃりゃ、ping テスト & リスタートのスクリプト作っちまった…orz

97:92
07/07/21 14:45:00
既出かもしれないが、PF で priq queue 4個(default 含む)を追加してオーバヘッド見るため
URLﾘﾝｸ(speed.rbbtoday.com)
でスピードテストしてみた。
queue無：下り 47Mbps、上り 27Mbps
queue有：下り 1.3Mbps、上り 61Kbps
回線：Bフレッツマンション + hi-ho
CPU：celeron 800MHz
メモリ：128MB
WinXP --- LAN --- [mdp+pf ルータBOX] --- WAN
こんなものなのか？

98:名無しさん＠お腹いっぱい。
07/07/21 15:51:29
どういうALTQの設定をしてるのか晒してない以上、何とも。
あと、オーバーヘッド見るならdefault一個でいいんでない？とか。
何のオーバーヘッド見たいのか知らないけど。

99:名無しさん＠お腹いっぱい。
07/07/21 19:25:27
どういう設定をしてそうなったのかを書いてもらえると
参考になるかもならないかも

100:92
07/07/23 11:40:39
設定と言っても単なるプライオリティキューなので以下のようなものです。

OSunam：FreeBSD 6.2-STABLE (前日にビルド)
キューは４個、テスト時はネット的にも CPU 的にも他の負荷はほとんど無し。

altq on $ext_if priq queue { vnc, webserver, dflt, ftp }
queue vnc priority 9 priq
queue webserver priority 7 priq
queue dflt priority 5 priq (default)
queue ftp priority 2 priq
rdr on $ext_if inet proto tcp from any to ($ext_if) port http -> 192.168.0.22
…
pass in quick on $ext_if proto tcp from any to 192.168.0.22 port http flags S/SA keep state queue webserver
…

101:92
07/07/23 11:41:37
すいません、ゴミが紛れ込みました。
S/OSunam/OS/

102:名無しさん＠お腹いっぱい。
07/07/23 12:55:29
>>100
スピードテスト後の pfctl -s queue -v の結果を見てみたいかも。

103:名無しさん＠お腹いっぱい。
07/07/23 14:00:04
>>102
キューを活かして再計測してみました。
// 全てのステータスクリア
# pfctl -F all && pfctl -f pf.rules

// 計測
SPEED 2.5 (speed.rbbtoday.com)
計測日時 : 2007年7月23日月曜日 13時38分34秒
下り（ISP→PC）: 1.34Mbps
上り（PC→ISP）: 63kbps

// キュー表示
# pfctl -s queue -v
queue vnc priority 9
[ pkts: 0 bytes: 0 dropped pkts: 0 bytes: 0 ]
[ qlength: 0/ 50 ]
queue webserver priority 7
[ pkts: 0 bytes: 0 dropped pkts: 0 bytes: 0 ]
[ qlength: 0/ 50 ]
queue dflt priority 5 priq( default )
[ pkts: 858 bytes: 167507 dropped pkts: 0 bytes: 0 ]
[ qlength: 0/ 50 ]
queue ftp priority 2
[ pkts: 0 bytes: 0 dropped pkts: 0 bytes: 0 ]
[ qlength: 0/ 50 ]

パケットを落として帯域を絞っているようには見えないですね。

104:名無しさん＠お腹いっぱい。
07/07/24 14:39:48
>>103
うーん、何が起きてるのかわからん……
altq on $ext_ifという設定で、上りだけでなく下りも影響を受けているということは、
TCPのACKにひどい遅延が入っているからなのか？
altqの設定あり/なしで、routerに対するpingとrouterごしのpingでRTTがどうなるか
見てみるといいかもしれない。

スピードテスト前後のnetstat -sの結果を見比べて何が起きてるのか見てみるのも
いいかも。

105:名無しさん＠お腹いっぱい。
07/07/26 09:27:18
motion

106:名無しさん＠お腹いっぱい。
07/08/02 13:58:24
Beta version 1.3b3 released!

* added voucher support to captive portal (mwiget)
* wireless LAN improvements
o WPA-PSK and WPA-Enterprise (in hostap mode)
o hide SSID option
* allow dashes in alias names
* added hidden option to disable auto-generation of PPTP rules on WAN (<nofwrulegen/> in <pptpd> section)
* fixed ATA HD spin down feature (using ataidle - needs testing)
* ipfilter TCP window scaling bug fix (see here)
* synced with changes from 1.23 branch
* increased mfsroot size to 14 MB (from 13 MB)
* updated base system to FreeBSD 6.2-RELEASE-p6
* updated PHP to 4.4.7
* updated ipsec-tools to 0.6.7
* updated isc-dhcpd to 3.0.5
* updated Dnsmasq to 2.39
* added kernel patch for fragment bug in ipfilter (contributed by Frank Edwards)
* modified kernel patch to handle ipnat+dummynet in ip_input -> should fix problems with captive portal not reporting downloaded data per user properly when the traffic shaper is on, and also makes per-user bandwidth limits work again
* added ural(4) to list of recognized wireless NICs
* removed "-P" option from boot.config again (doesn't work properly with USB keyboards)
* added kbdmux to kernel config of generic-pc(-cdrom) -> should fix problems with USB keyboards
* use setkey from ipsec-tools now that we use NAT-T

URLﾘﾝｸ(m0n0.ch)

107:名無しさん＠お腹いっぱい。
07/08/19 02:30:54
pfSense 1.2 RC2 released!

New features/improvements present in 1.2-RC2:

* Automatically restarts racoon (ipsec-tools if it wedges)
* Ensure CARP status page cache is cleared before load
* Updated lighttpd to 1.4.15
* APC updated to 3.0.14
* Update to DNSMASQ 2.3.9
* Ensure that rules are cleared from UPNP when service is stopped
* Correectly show IPSEC firewall rules tab when Mobile IPSEC is enabled
* Quality graph misc alignments
* Backport show username on captive portal status screen
* Do not allow aliases named "pptp"
* TCP timeout time fixes

URLﾘﾝｸ(pfsense.blogspot.com)

108:名無しさん＠お腹いっぱい。
07/08/19 17:09:43
なるほどね

109:名無しさん＠お腹いっぱい。
07/08/27 01:55:31
m0n0wall 1.3b4 released!

* captive portal voucher fixes: idle timeout, allow voucher authentication starting with &apos-' (by mwiget)
* console speed for WRAP image is now 38400 as this has always been the default for new WRAP (and ALIX) boards anyway
* modified WRAP image kernel to also work with ALIX.2 (added vr device and USB EHCI + CPU soft reset patches to wrap kernel; tested on prototype board)
o for ALIX, interfaces need to be re-assigned (vr* instead of sis*)
* patched hostapd to support writing PID file; start hostapd with -B flag (fixes problem with wireless interfaces that have WPA enabled not being initialized properly on boot)
* recompiled MPD with current MSS/dial-on-demand patches (also fixes idle timeout bug)
* removed code that auto-selects subnet mask on LAN and OPT setup pages (it"s confusing and doesn"t necessarily get it right)
* recompiled PHP, this time with radius extension

URLﾘﾝｸ(m0n0.ch)

110:名無しさん＠お腹いっぱい。
07/09/23 01:40:57
m0n0wallでssh使えるようになって欲しい。
sshの為だけにpfsense使ってるけど、やっぱm0n0wallのほうが馴染む。

111:名無しさん＠お腹いっぱい。
07/09/23 07:32:48 BE:52837722-2BP(8044)
FreeBSDでもベースにして作っちゃえ
NetBSDにもツールはあったし

112:名無しさん＠お腹いっぱい。
07/10/01 00:14:49
pfsenseまだPPPoEマルチ対応してないのか
外国では流行ってないのかなー

113:名無しさん＠お腹いっぱい。
07/10/06 03:14:17
m0n0wallやpfsenseはFreeBSDベースだけど、NetBSDベースの1-CFルータとかない？

FreeBSDとあまりに相性が悪いNICを使ってるんで、FreeBSD以外の*BSDでルータを
作りたいんだけど、

114:名無しさん＠お腹いっぱい。
07/10/06 08:58:24 BE:396279465-2BP(8044)
fdgwとかは？
ただ1.5・1.6用なのと1FD用だから1CFに流用できるかはわからん

ちょいと使ってみるわ

115:名無しさん＠お腹いっぱい。
07/10/06 13:47:27
>>113
ちなみにどんなNIC?

116:名無しさん＠お腹いっぱい。
07/10/06 19:24:48
FreeBSDで使える11gのPCI接続の無線カード無いかにゃあ

117:名無しさん＠お腹いっぱい。
07/10/06 21:00:36
>>116
Atherosチップを積んだ奴なら大抵おk

118:名無しさん＠お腹いっぱい。
07/10/06 21:09:25
5312とかインテリジェントなチップはダメだろ。

119:113
07/10/14 01:08:27
>115
ｵﾝﾎﾞのVT6103。リンクしない事が多すぎる。繋がってもping飛ばすとパケロス
70%とかどんだけー

120:名無しさん＠お腹いっぱい。
07/10/14 15:20:58
pen2-233マシンでルータさせてたんだけど、ついに電源が逝ってしまって
ショップに行ったんだが、、AT電源売ってない。。。。
しょうがないからyamahaルータを3万で買ってきてバックアップしてあった設定から同じような設定で稼働させました。
正確には覚えてないけど、たぶん10年くらい電源入れっぱなしでがんばってくれてました。
どうもありがとうございました。。。

121:名無しさん＠お腹いっぱい。
07/10/19 09:07:26
まぁもう引退させろっていうお告げってことだね、ATXをATにするような
ケーブル類もあったような気がしたけど過渡期過ぎると無くなったりするしね。

うちは古いAT電源はパッシブで電源が入れられるので、外付けでHDDや
スピンドルドライブのテスト用として重宝してます。
ATXは山ほど余ってるけど、だいたい半分くらいは故障で現役引退以前に
現在のパーツの容量に耐えられなくなって退役って感じだったな。
ｽﾚﾁすまぬ

122:名無しさん＠お腹いっぱい。
07/10/20 01:33:47
>>121
> まぁもう引退させろっていうお告げってことだね、ATXをATにするような
> ケーブル類もあったような気がしたけど過渡期過ぎると無くなったりするしね。
まだあったぞ
URLﾘﾝｸ(www.google.co.jp)

123:名無しさん＠お腹いっぱい。
07/10/22 23:20:41
あーーそういうのがあるのか。
でも今月の電気代を見てから復帰させるかどうか考えよう。
yamahaルータ、結構なんでも出来そうだし

124:名無しさん＠お腹いっぱい。
07/10/30 00:49:24
>>123
そう思って、RT107eとか入れてVPN組んだらちょい遅いんで
イラチな人に文句垂れられた。

125:名無しさん＠お腹いっぱい。
07/10/30 02:21:51
転載

835 ：名無しさん＠お腹いっぱい。：sage ：2007/10/27(土) 14:55:46
ipnat/ipfilterが動いているFreeBSDマシンの内側にIPSEC-VPN鯖を起きたいんだ
けど、外（WAN側）からVPN鯖へ繋ぐ為の設定が分かりません('A`

市販ルータなら、いわゆる VPNパススルーとかIPSECパススルーの機能な訳ですが
FreeBSDで同じことするにはどうすればいいの？

126:名無しさん＠お腹いっぱい。
07/10/30 03:26:13
>>125
packetfilter なら protocol 云々を指定すれば転送出来たはず

127:名無しさん＠お腹いっぱい。
07/11/02 00:52:32
FreeBSD5.5,mpd3.18+pfで東Ｂフレ光２ＩＳＰマルチセッション・・・
どはまりしてたが何とか抜けれそうだ･･･１週間とは長かった。
・mpdに前スレ792氏パッチを当てる
・前スレ839-844をよく読む
でＦＡ？

一つ、$ext_gw,$ext_gw2の指定方法がいまいち分からなかった。
誰かご教授願いますorz

しかし、できてるようで出来てない設定だとng0では繋がるけどng1では繋がらない不思議。
これだからng1もうまくいきそうでpfのルールで無駄に四苦八苦してた。
('A`)お陰でfreebsdとかなり仲良くなれたぜｂ

128:名無しさん＠お腹いっぱい。
07/11/02 09:57:02
>>127
おま・・環境古すぎ。6.2p8+mpd4.3 だろ。

129:名無しさん＠お腹いっぱい。
07/11/02 10:03:30
>しかし、できてるようで出来てない設定だとng0では繋がるけどng1では繋がらない不思議。

$ext_gw 変数なんて使わんで、ベタにng0,ng1 を指定して書いてみ

サンプル設定で十分だとおもう。 mpd4 あたりなんか、confの文法変わってるから
mpd(3以前）のままじゃ動かんので、書き換える。

pf.conf は、 ipf.conf/ipnat.conf　あたりを混ぜてて、好みじゃない。
だから、ipf使ってるけど、QoSやりたいんだよとか考えると、pf/ipfw2のどっちかに
なんだよね。　ipf.conf/ipnat.conf -> pf.conf 化するツールがあれば欲しいわ。

130:127
07/11/02 11:15:47
>>128,129
環境は数年前構築したのを流用しようとしたためちょっと古いです。
とりあえずバージョンアップか・・・把握した。
いっその事サクっとクリーンインストールしちゃおうかな･･･

>$ext_gw 変数なんて使わんで、ベタにng0,ng1 を指定して書いてみ
試して見ました。pfctl -s rulesで確認したらちゃんとできてました。ありがとうございます。
しかし相変わらずng1へ接続できなかったです。ng1向けに行きたいpcでnslookupすると、
# pfctl -s state
self udp 192.168.0.***:32770 -> 210.***.***.***:53 SINGLE:NO_TRAFFIC
と出ます･･･

131:名無しさん＠お腹いっぱい。
07/11/02 11:17:04
「好みじゃない」は言い訳でpf化できないだけ、と読める

132:129
07/11/02 11:46:48
>>131
pf で動かしてるルータも何台かあるよ。

133:名無しさん＠お腹いっぱい。
07/11/02 20:05:49
pfでpppoeのマルチセッションできるか？
俺できなかった。

134:名無しさん＠お腹いっぱい。
07/11/04 09:19:39
pf(4)の話してるときにpfSenseをpfと省略するクズはどっかいってください。

135:名無しさん＠お腹いっぱい。
07/11/04 23:18:11
>>119
まあそれならしょうがないな

136:名無しさん＠お腹いっぱい。
07/11/05 10:05:18
>>130
それ、natできてないね。ng1でnatする設定書いてある？

137:127
07/11/06 02:12:58
>>136
natルールは書いてあります。一応現在のpf.confの抜粋です。
rdrは省略、int_ipとかものアドレスも一例に変更してあります。
URLﾘﾝｸ(www.e-kuraberu.net)
ﾊﾟｽは名前です。

チラ裏：
6.2にアップグレードしようとしたら/usrの空き領域が足りなかった･･･
3GBのＨＤＤを使いまわさずちゃんと４０ＧＢの新品のＨＤＤ積んでおけばよかった･･･

138:名無しさん＠お腹いっぱい。
07/11/06 07:58:52
>>137
- $intt_ip を必ず $extt_if に route-to するルールがない
- pass in quick on $int_if from $int_if:network ... があるのでその下の
round-robin のルールが死んでる(直接は関係ないけど)
というあたりが問題だと思います。

139:名無しさん＠お腹いっぱい。
07/11/06 20:47:56
>>137

＞＞チラ裏

/usr/ports をあぼんするべし。
アップグレードが終わったら、/usr/src と /usr/obj を消せば良い。
その後余裕が有れば、ports を再展開するのもいい。

当方の2GBの滅入る鯖はこれで乗り切った。

140:127
07/11/07 01:34:12
>>138
確認ありがとうございます。
> - $intt_ip を必ず$extt_ifにroute-toするルールがない
pass out on $extt_if route-to ($ext_if ng0) from $int_ip to any
pass out on $ext_if route-to ($extt_if ng1) from $intt_ip to any

> pass in quick on ... round-robinのルールが死んでいる
該当行コメントアウトしました。

以上でうまく行っている気がします。
ありがとうございました。

>>139
/usr/portsはアボン済みです。
パーティションを区切る時に配分を間違えたのかもしれない･･･
# chflags -R noschg ./*
後の状態でこれです。
# df
Filesystem 1K-blocks Used Avail Capacity Mounted on
/dev/ad0s1a 253678 50262 183122 22% /
devfs 1 1 0 100% /dev
/dev/ad0s1e 253678 26 233358 0% /tmp
/dev/ad0s1f 1296326 896642 295978 75% /usr
/dev/ad0s1d 253678 146242 87142 63% /var

とりあえずうまくいっているようなので（？）ルータのFreeBSDはこのままにしようかと思います。
遊び用をもう一台組んでそっちにそろそろ出る７とか入れて遊んで見ようかと思います。

141:ナット ◆ZUufTLOWoc
07/11/08 08:45:54
質問させていただきます。
NetBSD/sparc64-currentでルータ&NAT箱&簡易FWを作ろうとしているのですが、
行き詰まってしまいました。

具体的には、ルータにするマシンはUltra5-270MHz/320MB/40GB HDDなのですが、
それにOSを入れて、ipnatとipfilterをオンにし、ipmonとipwatchdとか
sshdとかその辺も一通り書いてみました＞/etc/rc.confに。
で、ルータから外界にはpingが名前で引けるようになり(自前でnamedを立てて
キャッシュだけのDNSを仕上げました)、これでPPPoEセッションは
確立したなと安心し、次にNATの製作に取り掛かりました。

具体的には、とりあえずオールイン・オールアウトのセキュリティもへったくれもない
NATにしようと思い、設定しました。そして、各クライアントマシンへの
IPアドレスやゲートウェイアドレスなどはDHCPですべて供給しようと思い、
/usr/shared/example/dhcp/dhcpd.confを/etc/dhcpd.confとしてコピーし、
IPアドレスのリース範囲だけを192.168.xxx.10～192.168.xxx.99までとし、
その下の部分の設定は消して再起動しました。

すると…すべてのクライアントPCの有線LANにIPが割り振れなくなり、
固定IPの無線LANアクセスポイント(192.168.xxx.210)や
コンソールサーバ(192.168.xxx.180)、レーザプリンタ(192.168.xxx.200)のみに
アクセスできる状態です。APを通しているからでしょうか、無線LANのみは
すべてのマシンでIPアドレスを動的に割り振られ、自在にネットを徘徊できます。
どのマシンでも有線LANにDHCPが作動せず、無線LANのみに正しいIP範囲のIPアドレスが
割り振られている状態です。どうすればいいですか？もちろん無線では外界に出られますが。

142:ナット ◆ZUufTLOWoc
07/11/08 09:07:11
ちなみに有線LAN(fxpが多い)には、Windows上からは
169.254.151.253、ネットマスクが255.255.255.0のはずが
255.255.0.0になっていたりします。おっかしいなあ。

143:ナット ◆ZUufTLOWoc
07/11/08 10:13:36
スイッチの位置変えたら直りましたｗ
サーセンｗｗ

144:ナット ◆ZUufTLOWoc
07/11/08 14:35:44
またまた質問ですが、一般の市販のルータに備わっている
「MACアドレス制御」は可能でしょうか？NetBSDで。

おそらくipfilterのどっかの設定にあるのかもしれませんが、
市販のものだと大体32クライアントが限界ですよね。

たくさん無線LANカードを持っている私としては、32ではちょっと
足りないないんですよ。そこで、NAT/ipfilterの機能に、
MACアドレス制御(登録してあるMACアドレス以外のクライアントの
ルータ越えを禁止する)、しかしMACアドレスとIPアドレスを固定させる
わけではなく、あくまでDHCPで割り振る、ということは可能でしょうか？

どうかご教示ください。

145:名無しさん＠お腹いっぱい。
07/11/09 00:17:40
FreeBSDならIPFWで出来る。NetBSDは知らね。

146:名無しさん＠お腹いっぱい。
07/11/09 09:34:59
ipfもpfもそんな機能はなかったと思われ。
MACアドレス制御ではないが、認証したユーザーだけ使えるようにするという目的なら、authpf
も使えるかもしれない。

やりたいことから考えると、DHCPでIPアドレスを渡す際にMACアドレスに基づいて渡すIPアドレスを変えるという手法もありだと思う。
hardware ethernet, fixed-addressの設定をするとよいよ。

147:名無しさん＠お腹いっぱい。
07/11/09 14:27:49
>>146
> やりたいことから考えると、DHCPでIPアドレスを渡す際にMACアドレスに基づいて渡すIPアドレスを変えるという手法もありだと思う。

クライアントのユーザが自分しかいないなら別だが、
一般的には144のような要求のある場所でそれはダメ。

148:名無しさん＠お腹いっぱい。
07/11/10 00:09:08
そもそもMACアドレス制限って意味あるの？
ブロードキャストをウォッチしていてMACアドレス盗んでなりすまされたら意味無いと思うけど？

149:名無しさん＠お腹いっぱい。
07/11/10 00:30:05
無線の場合は簡単に傍受できるから全く意味が無いな。

150:名無しさん＠お腹いっぱい。
07/11/10 01:06:51
誰かがそんなこと書いてたなw

151:名無しさん＠お腹いっぱい。
07/11/10 06:11:12
無線のキャプチャーツールも色々出てるしねぇ。
まぁ使ってる暗号次第だけどまだＷＥＰなんか使ってたら
10MB位データキャプチャーすれば簡単に復号出来るし。

152:名無しさん＠お腹いっぱい。
07/11/10 10:16:34
WEPでもWPAでもMACアドレスは平文。半可通は恥を書く。

153:名無しさん＠お腹いっぱい。
07/11/10 11:45:40
>152
>恥を書く

誤字で台無し。

154:名無しさん＠お腹いっぱい。
07/11/10 11:59:48
旅の恥は書き捨て

155:名無しさん＠お腹いっぱい。
07/11/10 16:11:29
半可通は恥を（かくような嘘っぱちを平気で）書く。

と言いたいんじゃﾈｰﾉ（ｹﾞﾗｹﾞﾗ

156:ナット ◆ZUufTLOWoc
07/11/15 20:22:32
いやァ、MACアドレス制御ができるのかできないのかを
訊いたのであって、それが実効性のあるものかどうかは
問題にしてない質問だったわけで…。

市販の安物ルータ(某牛とか)、無線LANのAPにも
MACアドレスで弾く仕様はあるでしょ？それを
NetBSDでできないかな～と思ったが、ダメですか。残念。

スタティックIPをMACアドレスに割り振るのじゃダメですよ。
ここで言ってるのは、MACアドレスでフィルタリングしつつ、
かつルータのローカルなDHCPサーバで動的にIPを割り振る、
という話ですから。

識者の方いらっしゃらないかな…。

157:名無しさん＠お腹いっぱい。
07/11/16 00:11:51
無線だったら、hostapdでやるのかなぁ？

158:名無しさん＠お腹いっぱい。
07/11/16 00:15:21
>>156
IPFWならできるよ
欲しいなら、pfベースで自分で作ってみれば？
需要があればマージされるかもよ

159:名無しさん＠お腹いっぱい。
07/11/16 00:54:45
IPFWはFreeBSDべったりだからL2のフィルタリングが出来てる。
pfilインターフェース(pf, ipfilter)じゃ無理。

160:名無しさん＠お腹いっぱい。
07/11/16 07:16:12
どなたかALIX手に入れたかしら？

161:名無しさん＠お腹いっぱい。
07/11/16 09:31:08
1IP当たりの同時接続数を制限するのは
どのFWソフトで出来ますか? （´=∀=｀）
1秒間に何個接続を許可するとかもやりたいです

162:名無しさん＠お腹いっぱい。
07/11/17 02:01:44
Smoothwall(Linux) vs M0n0wall(FreeBSD): A comparison
URLﾘﾝｸ(fbsd.wordpress.com)

163:名無しさん＠お腹いっぱい。
07/11/17 02:17:06
>>161
tcpならいくらでも制御できる。 xinetd でも、tcpserver(djb)でも、お手製のものでも。
udpは捨てるしかないだろ。

そんなことは判ってると思っているが、知らないと困るので。

164:名無しさん＠お腹いっぱい。
07/11/18 18:40:33
mpd4ってmpd3で発生した光プレミアムで接続しようとすると失敗するバグは直ってる？

165:名無しさん＠お腹いっぱい。
07/11/18 18:45:06
そんな事くらい、自分で試せばすぐ分かるだろ。

166:名無しさん＠お腹いっぱい。
07/11/21 03:08:38
FreeBSD-6.2R + pf + mpd でルータを作る場合、
正しいというかエレガントな起動方法はどうすればいいいんでしょうか？
最初に /etc/rc.d/pf が起動するときは ng0 がないのでエラーが出ているようです。
いちおう、今は /etc/start_if で mpd を起動させたあとに /etc/rc.d/pf start させて動いてますが・・・

ちなみに　/usr/llocal/etc/rc.d/mpd --> /usr/local/etc/mpd/mpd.linkup で /etc/rc.d/pf start も試してましたが、
そっちはなくても動きます

167:名無しさん＠お腹いっぱい。
07/11/22 01:29:03
ヲレは

rc.confで普通に
pf_enable="YES"
pflog_enable="YES"

pf.confで
anchor "interface/*" all

mpd.linkupで
pfctl -a "interface/${interface}" -Fn -Fr -f - <<EOF
nat on ${interface} from <internal_net> to any -> ${local}
EOF

168:名無しさん＠お腹いっぱい。
07/11/22 11:58:57
mpd5ってどお？

169:名無しさん＠お腹いっぱい。
07/11/24 17:49:15
しらなかった

170:名無しさん＠お腹いっぱい。
07/11/25 03:11:44
m0n0wall 1.3b5 released!
URLﾘﾝｸ(m0n0.ch)

171:名無しさん＠お腹いっぱい。
07/11/25 23:58:45
>>160
亀レスだけど。
普通にNetBSD/i386が動いてるよ。

172:名無しさん＠お腹いっぱい。
07/11/27 01:04:47
>>171
お、いくらぐらいだった？20664円とか？

173:名無しさん＠お腹いっぱい。
07/11/27 11:07:46
>>172
それ。

174:名無しさん＠お腹いっぱい。
07/11/29 23:14:10
なるほどね
そのうち買おう

175:名無しさん＠お腹いっぱい。
07/12/01 10:21:57
>>173
そしてありがとう

176:名無しさん＠お腹いっぱい。
07/12/08 11:10:18
まあFreeBSD6.xベースになるととたんに重くなるので困るわけだが

177:名無しさん＠お腹いっぱい。
07/12/14 20:32:09
>166氏と同じ感じでルーター作ってます。
FreeBSD-6.2R + pf + mpd です。192.168.1.1がPCルーターのアドレスです。
192.168.1.2でhttpdが動いてて、外向きには8080で公開しています。
フィルターの設定なんですけど、

ext_if="ng0"
int_if="em0"
int_net="192.168.1.0/24"
www_srv="192.168.1.2"
nat on $ext_if from $int_net to any -> ($ext_if)
rdr on $ext_if inet proto tcp from any to any port 8080 -> $www_srv port 80

block log all
pass quick on lo0 all
pass quick on $int_if all
pass in quick on $ext_if proto tcp from any to $www_srv port 80 flags S/SA modulate state
pass in quick on $ext_if inet proto icmp all icmp-type echoreq keep state
pass out quick on $ext_if proto { udp, tcp, icmp } from any to any keep state

と、先人サイトのほぼコピペなんですけど、ここはこうしたほうがいいよとか、突っ込むところあります？

178:名無しさん＠お腹いっぱい。
07/12/14 20:45:43 BE:528372285-2BP(8044)
とりあえずローカル環境でテスト運用してみたら？

179:名無しさん＠お腹いっぱい。
07/12/14 21:33:07
一応、（ng0にグローバル振って）テストでは問題なく動いているんですけど、
基本的なフィルターしかかけてないので、悪意のあるアクセスに対してはどうなのかと思いまして。

あと、コレ使い出してから、sipが・・・orz

180:名無しさん＠お腹いっぱい。
07/12/15 00:44:07
>15

181:名無しさん＠お腹いっぱい。
07/12/15 00:44:51
あう、ミスった。
>15
亀ですが需要あります。

182:名無しさん＠お腹いっぱい。
07/12/15 12:52:44
>>177
最近の pf では、rdr したものに対する pass はまとめられて、
rdr pass on $ext_if inet proto tcp from any to any port 8080 -> $www_srv port 80
と書ける。そうすると
pass in quick on $ext_if proto tcp from any to $www_srv port 80 flags S/SA modulate state
はいらなくなるはず。

183:名無しさん＠お腹いっぱい。
07/12/15 14:28:39
勉強になるな

184:177
07/12/17 00:38:04
＞182
勉強になりますた。即変更しました。

とりあえず、IPブロックごと拒否するルールを追加して、運用してみようと思います。

table <ng_ip_cn> const { 222.216.0.0/15 }
table <ng_ip_tw> const { 122.120.0.0/13 }
block log quick on $ext_if from { <ng_ip_cn>, <ng_ip_tw> }

いまのところ、8080へ執拗にアクセスしてくるのはこのへんなので。

次ページ