openbsd PF nat问题

black_fire

问题和这个类似　http://bbs.chinaunix.net/archiver/tid-866278.html

我的拓扑:
A为PF防火墙　Ｂ为位于内网的服务器,C为内网客户机
A上的外部网络接口捆绑了Ａ和Ｂ的外网地址

对Ｃ做nat ,Ｃ可以访问外网
对Ｂ做rdr ，外部可访问Ｂ

Ｃ可用Ｂ的内网地址访问Ｂ，但不能用Ｂ的外部地址访问Ｂ

我在Ａ的内网接口上做了对Ｂ的rdr操作，Ｃ的数据可以经Ａ转发到达Ｂ，但Ｂ直接回复数据包到Ｃ，Ｃ收到后向Ｂ发ＲＳＴ中断连接

我不知道我是不是理解下确：
C的数据包经Ａ转发到Ｂ，目的地址发生了变化
而Ｂ回应到C , C认为自己跟本没有发过到Ｂ的连接请求，所以拒绝

是不是这样的?

解决的方法是不是在Ａ的内网接口上不仅到Ｂ做目的地址rdr　还要做源地址nat ?
　

feillex

两次转换，先rdr目标地址转换，然后nat源地址转换

1. 
   
2. rdr on $int_if from $int_if:network to a.a.a.a  -> b.b.b.b
   
3. no nat on $int_if from $int_if to $int_if:network
   
4. nat on $int_if from $int_if:network to b.b.b.b -> $int_if

复制代码

freett

原帖由 feillex 于 2007-10-18 18:54 发表
两次转换，先rdr目标地址转换，然后nat源地址转换
rdr on $int_if from $int_if:network to a.a.a.a  -> b.b.b.b
no nat on $int_if from $int_if to $int_if:network
nat on $int_if from $int_if:network  ...

我也遇到同样的问题 等下我44 这样是否可行
另外我查了一下pf的手册 他提到了这个问题 说用bind的view功能来解决这个问题
即：通过bind来判断 内部地址过来的 解析成该服务器的内部地址
外部地址过来的解析成外部地址再nat到内部地址 这种做法和 策略解析网通 电信差不多
我没4过 谁4过的能说一下否？

[ 本帖最后由 freett 于 2008-3-7 09:57 编辑 ]

freett

解决了
用的bind的view功能
内部用户 访问外部域名 解析成内部地址