Newsgroup: it.comp.os.openbsd
Titolo: Problemi con pf dopo reboot

Ciao a tutti,
Sistemati i problemi di NAT e aggiunti e testati un po' di
redirect ho deciso di riavviare la macchina per vedere se fosse tutto a
posto. Una volta riapartita i client della LAN hanno smesso di uscire su
internet e non viene loggato nessun errore sulla pflog0.
L'unica cosa che vedo è lo stato del ping fallito che lancio dal client
che pare venga nattato, ma di cui non ricevo la risposta. Che stao è 0:0?
L'ip forwarding è attivo.
# sysctl net.inet.ip.forwarding
net.inet.ip.forwarding=1
E il ruleset è questo, che comunque non ho cambiato.
# pfctl -sa
TRANSLATION RULES:
nat pass on fxp1 inet from 
172.16.1.0/24
 to any -> (fxp1) round-robin
rdr on fxp1 inet proto tcp from any to $IP_PUBBLICO port = 20000 -> 172.16.1.110 port 22
rdr on fxp1 inet proto icmp from any to $IP_PUBBLICO -> 172.16.1.11
rdr on fxp1 inet proto tcp from any to $IP_PUBBLICO port = smtp -> 172.16.1.11
rdr on fxp1 inet proto tcp from any to $IP_PUBBLICO port = imap -> 172.16.1.11
rdr on fxp1 inet proto tcp from any to $IP_PUBBLICO port = https -> 172.16.1.11
FILTER RULES:
scrub in all fragment reassemble
block drop log all
pass quick on lo0 all
pass in on vlan11 inet from 
172.16.1.0/24
 to ! 172.16.1.171 keep state
pass in on vlan11 inet proto tcp from 
172.16.1.0/24
 to 172.16.1.171 port = ssh keep state
pass in on fxp1 inet proto tcp from any to 172.16.1.110 port = ssh keep state
pass in on fxp1 inet proto icmp from any to 172.16.1.11 keep state
pass in on fxp1 inet proto tcp from any to 172.16.1.11 port = smtp keep state
pass in on fxp1 inet proto tcp from any to 172.16.1.11 port = imap keep state
pass in on fxp1 inet proto tcp from any to 172.16.1.11 port = https keep state
pass out on vlan11 inet proto tcp from any to 172.16.1.110 port = ssh keep state
pass out on vlan11 inet proto icmp from any to 172.16.1.11 keep state
pass out on vlan11 inet proto tcp from any to 172.16.1.11 port = smtp keep state
pass out on vlan11 inet proto tcp from any to 172.16.1.11 port = imap keep state
pass out on vlan11 inet proto tcp from any to 172.16.1.11 port = https keep state
STATES:
self icmp 
172.16.1.50:47128
 -> $IP_PUBBLICO:47128 -> 
151.1.1.1:47128
       0:0
self icmp 
151.1.1.1:47128
 <- 
172.16.1.50:47128
       0:0
self tcp 
172.16.1.171:22
 <- 
172.16.1.54:45121
       ESTABLISHED:ESTABLISHED
INFO:
Status: Enabled for 0 days 00:58:13             Debug: Loud
Hostid: 0x22a9f773
State Table                          Total             Rate
  current entries                       10
  searches                           20239            5.8/s
  inserts                              490            0.1/s
  removals                             480            0.1/s
Counters
  match                                804            0.2/s
  bad-offset                             0            0.0/s
  fragment                               0            0.0/s
  short                                  0            0.0/s
  normalize                              0            0.0/s
  memory                                 0            0.0/s
TIMEOUTS:
tcp.first                   120s
tcp.opening                  30s
tcp.established           86400s
tcp.closing                 900s
tcp.finwait                  45s
tcp.closed                   90s
udp.first                    60s
udp.single                   30s
udp.multiple                 60s
icmp.first                   20s
icmp.error                   10s
other.first                  60s
other.single                 30s
other.multiple               60s
frag                         30s
interval                     10s
adaptive.start                0 states
adaptive.end                  0 states
src.track                     0s
LIMITS:
states     hard limit  10000
src-nodes  hard limit  10000
frags      hard limit   5000
TABLES:
OS FINGERPRINTS:
345 fingerprints loaded
ciao
Luca

Ok, non perdeteci del tempo. Per qualche motivo a me ignoto dopo il reboot
la patch non faceva contatto nella scheda di rete, assurdo :)
ciao
Luca


Beh, perdici tu un po' di tempo per vedere se la patch e' sifula, o 
magari (peggio) si e' rovinato il connettore della scheda di rete... io 
una volta sono impazzito su un firewall per poi scoprire che qualcuno 
aveva danneggiato uno dei due connettori della fibra ottica che lo 
collegava al router...
Ciao
C.
-- 
Per contattarmi, toglimi il gesso!