00100 5768 3317579 allow ip from any to any via rl0
00300 3264 2808585 divert 8668 ip from any to any in via fxp0
00400 2228 473770 divert 8668 ip from 172.16.154.0/24 to any out via fxp0
00500 66 4133 allow udp from any to any dst-port 53
00600 5104 3250296 allow ip from any to any established
00700 322 27926 allow ip from any to any diverted
这样写的好处：
1、省略掉from any to any in via fxp0和allow from any to any out via fxp0。
这两句主要是：从Lan的数据包经过divert以后，变为“outIP->网站”的方式，要允许通过才行。反之，也要允许回来的包进入。
2、用established，可以缩短防火墙规则的搜索。
注意：
1、established一定要放在divert之后，否则，进入的数据包就被established截住，应该divert的数据包就不会再改包的头。
2、udp要单独divert
阅读(2079) | 评论(0) | 转发(0) |
