求助： vm中ipfw使用出现问题（现象描述得比较详细了）

ccagg

在vm中安装了freebsd-5.4-release-p7，现在想使用用ipfw防火墙，并启用防火墙的日志功能。
防火墙的规则要求简单，关键是要把所有不符合通过规则的日志记录下来。
安装步骤：
1. 打开内核选项，并重新编译，启用ipfw
   options IPFIREWALL
   options IPFIREWALL_VERBOSE
   options IPFIREWALL_VERBOSE_LIMIT=5
   options IPFIREWALL_DEFAULT_TO_ACCEPT
   
   在/etc/sysctl.conf中加入：  
   net.inet.ip.fw.verbose=1
   net.inet.ip.fw.verbose_limit=5

   该步骤成功
2. 修改/etc/rc.conf，加入：
   firewall_enable="YES"
   firewall_script="/etc/rc.firewall"
   firewall_type="/etc/ipfw.rules"
   firewall_logging_enabled="YES"
   firewall_quiet="YES"
   log_in_vain="YES"

3. 创建自定义的规则库/etc/ipfw.rules，内容如下：
   ipfw -q -f flush
   oif="lnc0"
   odns="xxx.xxx.xxx.xxx" #我的dns ip
   cmd="ipfw -q add"
   ks="keep-state"
   $cmd 00500 check-state
   $cmd 00501 deny log all from any to any frag
   $cmd 00502 deny tcp from any to any established
   $cmd 00600 allow tcp from any to any 80 out via $oif setup $ks
   $cmd 00610 allow tcp from any to $odns 53 out via $oif setup $ks
   $cmd 00611 allow udp from any to $odns 53 out via $oif $ks
   $cmd 20000 deny log ip from any to any

4. 修改/etc/syslog.conf，启用日志
   加入一行：
   !ipfw
   *.*                        /var/log/ipfw.log
   并touch  /var/log/ipfw.log创建了日志文件

问题是：
1.规则库没有加载。
   启动后,用ipfw show 查看，只看见一条规则
   65535 18 3274 allow ip from any to any
   这应该是内核选项吧。是不是意味着不仅/etc/ipfw.rules规则库没有加载，连/etc/rc.firewall都没有运行？
   为了证实这一点，运行 sh /etc/rc.firewall ，提示出错：
   Line 2 : bad command 'ipfw'，稍微看了一下rc.firewall，并没有什么错啊，里面的命令是/sbin/ipfw
   运行sh /etc/ipfw.rules ，再用ipfw show 查看，自定义规则加入
2.日志功能无法启用
   如果第一个问题没有解决，估计这个问题也不可能解决
3.在控制台频繁出现提示，如：
   Sep 15 10:43:21 john_f_1 kernel：Connection attempt to TCP xxx.xxx.xxx.xxx:135 from xxx.xxxx.xxx.xxx:3932 flags:0x02
   烦死了，是不是因为firewall_quiet="YES"又没启作用？
   通过这个提示看，又好像ipfw.rules中的某一条规则起作用了，why?

   没有使用ipfw的经验，可现在又必须使用，我参考了不少文档，还是无法解决，大虾们给点建议吧。

ccagg

查看了/etc/defaults/rc.conf，发现有一行
firewall_flags=""   #Flags passwd to ipfw when type is a file
是不是这个问题？这个参数如何设置？好像这个参数很少使用啊

ccagg

自己顶一个，各位大虾给点建议啊

剑心通明

ipfw没用过，楼主可参考本版置顶的精华收集贴

ccagg

在发贴之前偶就参考过了，也google过。
昨天又安装了一个vm，重新试验了一把。发现缺省的最小安装（安装后升级到5.4-release-p7）后，无需增加内核选项，仔细看了一下handbook发现内核选项不是ipfw必须的，除非你要使用nat。
其他的按照文章说明，配置好ipfw，reboot，dmesg|grep ipfw，发现ipfw已经启动。在启动的时候，有warnning，提示设置的sysctl变量无效，不用理会它们。
心得：在内核中打开ipfw选项估计会使得在/etc/rc.conf中的设置无效。（对于这一点，我也很疑惑，觉得不应该这样，但是又找不到别的原因，如果说错了，就当我胡说八道好了 ）