антон предложил хороший вариант

А если есть былые ip за микротом?

Эммм... Не заработало. Единственное - юторрент сразу сказал, что он за брандмауэром.

Эммм... Не заработало. Единственное - юторрент сразу сказал, что он за брандмауэром.

Полностью покажите

Полностью покажите

add action=accept chain=WAN connection-state=established add action=accept chain=WAN connection-state=related add action=accept chain=WAN connection-nat-state=dstnat connection-state=new add action=drop chain=WAN connection-state=""

Где?

Где?

В концепции

Щас Антон распишет

и цепочка форвард, а у владлена WAN

Еще раз спасибо. Заработало.

и цепочка форвард, а у владлена WAN

И что?

Подскажите, для каких задачь?

Работает только при тестировании порта. Через 30 сек отваливается...

Точнее - работает 30 сек после тестирования порта

Работает только при тестировании порта. Через 30 сек отваливается...

Вопрос к клиенту кто делает upnp. Значит он убирает дстнат

Либо не обновляет его

add action=accept chain=WAN connection-state=established,related add action=accept chain=WAN connection-nat-state=dstnat connection-state="" add action=drop chain=WAN connection-state=""

И все

Так работает

И незапрошенные подключения дропаются

А что вы в wan цепочку передаете?

add action=accept chain=WAN connection-state=established,related add action=accept chain=WAN connection-nat-state=dstnat connection-state="" add action=drop chain=WAN connection-state=""

Anton смотри. Сначала разрешили потом запретили и работает. А твой вариант нет. Но странно правда.

А что вы в wan цепочку передаете?

Пакеты для инпута и форварда, падающие на белый адрес.

Ткни пожалуйста

И меня

Почему?

Ок

add action=accept chain=forward connection-state=established,related in-interface=WAN1_PPPoE add action=accept chain=forward connection-nat-state=!dstnat connection-state="" in-interface=WAN1_PPPoE add action=drop chain=forward connection-state="" in-interface=WAN1_PPPoE

Не работает

Вернее - работает

Только наоборот

Форвардятся незапрошенные подключения

За исключением портов, смапанных upnp

connection-nat-state=!dstnat

Уверены?

connection-nat-state=!dstnat

Тут дроп должен быть

И ниже правил форвард быть не должно

Точнее не обязательны

add action=drop chain=forward connection-state=new connection-nat-state=!dstnat in-interface=<WAN> Ну, понятно почему у Вас работает)

В таком случае у Вас форвардится все, что падает на интерфейс

Тогда не понимаю смысла connection-nat-state=!dstnat. Объясните?

А, у Вас действие - дроп

Настраивал после system reset-configuration no-defaults=yes add action=accept chain=WAN connection-nat-state=dstnat connection-state="" Сделал так же - только зеркально. После него - дроп.

Добрый вечер, друзья. Мой провайдер настроивает IPv6 видимо, на порт приходит около 8 Мбит трафика IPv6, как его можно заблочить?

Спасибо. Дпльше спм разберусь.

Добрый вечер, друзья. Мой провайдер настроивает IPv6 видимо, на порт приходит около 8 Мбит трафика IPv6, как его можно заблочить?

а что там внутри? если nd-ns, то это уберсочетание кривых рук у длинка и кривых рук у провайдера

Именно ))

очень известный косяк

3028 стоит там.

у клиентских длинков по дефолту стоит получать префикс по dhcp-pd

если не получают - начинают под сотню раз в секунду гадить nd-ns вперемешку с dhcpsolicit

а провайдер это бродкастит

если у проводного провайдера в домене коллизий больше одного клиента - что-то явно неправильно

даже если предположить, что речь про broadcast domain

провайдеру есть смысл на уровне коммутации резать все, что не ethertype 0x0800/0806

покуда он v6 не предоставляет

косяк, про который я говорю, работает только тогда, когда в6 не предоставляется

там входное условие для сумасшествия длинков - отсутствие живых в6 адресов у длинка

"у клиентов нет в6 адресов" = "провайдер не предоставляет в6"

А что теряю?

я это знал даже до того, как поработал в провайдере

А простым языком?

Для меня наоборот стало проще:

А то, что объединять инпут- и форвард-цепочки моветон - так это Ваше мнение, я так понял, не более.

Я даже незнаю как спросить у гугла, зачем это было сделано.

Не халеварьте

Личное мнение есть личное мнение

So a simple way. Для кого?

Но как итог - объединять цепочки ни кто не запрещает?

Если смотреть со стороны консоли - то единственное, что теряется, модель, которую предложили авторы nf?

А если это и не нужно?

Например хомячкам?

Аргументы будут?

nat выполняется до цепочки форвард или после. Так что не аргумент :)

А хотя...

Надо обдумать

Ммм...

Нет