Есть машина с OpenBSD 3.2 на ней 3-и сетевухи(локалка, инет и DMZ)
не могу разобратся почему keep state не работает вот например хочу открыть доступ к почтовику который в DMZ, и доступ к ssh. Пишу след. конфиг:

local_i="xl0"
dmz_i="xl1"
$mail="x.x.x.x"

block in log all
block out log all

pass out quick on lo0 all
pass in quick on lo0 all

pass in proto tcp from any to $mail port = 25 flags S/SA keep state
pass in on $local_i proto tcp from any to $local_i port = 22 flags S/SA keep state

На саму OpenBSD по ssh захожу без проблем. На на почтовик не пускает.
в логах rule 4/0: pass in on xl0: ............
rule 1/0: block out on xl1: ...........
Почему ??????? по идее т.к. keep state стоит out должен проходить
Че я не так понимаю ???

Нужно на $dmz_i сделать pass out по нужным портам.

Anton Obidin:
Не в этом дело, я пробовал делать pass out all
тогда блокируются на xl1 in, можно и pass xl1 in сделать но тогда какой смысл в keep state. К тому же для ssh я pass out xl0 не делаю keep state отрабытывает нормально и исходяшие пакеты уходят нормально. А вот если пакет с интрефейса на интерфейс перебрасывается то почему то keep state не работает, почему ????????

Добавление от 07.04.2003 13:32:

Все разобрался.

Решение изложишь?
Неужто из строки $mail="x.x.x.x" убрал "$"?

BSW
$ это очепятка )))

видимо keep state как то привязывается к конкретному интерфейсу. Нужно было сделать
pass out on $dmz_i proto tcp from any to $mail port = 25 flags S/SA keep state

в данном случае он создает 2-е цепочки одну на in и соответственно out на входном интерф. и 2-ю на на out и in на вых. интерф. Без keep state потребовалось бы 4-е правила.

Хотя так и не пойму почему именно так реализованно, проще бы было не привязывать keep state к интерфейсам.

По-моему вполне справедливо. Keep state разрешает out на том же интерфейсе, на котором сработало правило in, т.е. поддерживает часть канала () удаленному хосту. Вторая часть, которая уже в DMZ, должна быть описана правилом out. С какого перепугу он должен выпускать пакеты сразу на всех интерфейсах? Раз пакет вошел, то он должен и выйти , будь добр явно разрешить ему это.