@BirBar said in Проброс портов, не хочет работать:

В общем переустановили PfSense уже начали с нуля и на тестовых интерфейсах, результат тот же

debug.txt

Поискал у себя debug.txt.
Нашел только /cf/conf/rules.debug.old
Не там искал?

@tty1 said in Обновление с версии 2.5.1 до версии 2.6.0:

Перенос VLAN
DHCP Static mapping
Правила Firewall

Если сетевые адаптеры будут те же - все настройки сети обычно переезжют без проблем.
Если другие - придется переассоциировать их по новой. Иногда это получается не с первого раза.

@tty1 said in Обновление с версии 2.5.1 до версии 2.6.0:

OpenVPN (сам сервер и клиенты)

Переносятся обычно без проблем. Возможно для сервера понадобиться заново указать интерфейс

@tty1 said in Обновление с версии 2.5.1 до версии 2.6.0:

pfBlockerNG

Как повезет. Лучше воостанавливать без пакетов.

@tty1 said in Обновление с версии 2.5.1 до версии 2.6.0:

Так же всякая мелочь есть типа apcupsd, cron, system patches - их тоже лучше удалять?

В идеале - да. Но можете прбовать не удаляя - "старый" сетап ведь останется при вас.

Наконец-то сегодня удалось захватить пакеты в момент проблемы!
Как раз приехал, говорят не открывается vk.com (на самом деле много чего, просто по нему заметили).
Судорожно ломанулся в консоль (лишь бы успеть, знаю, что проблема сама по себе проходит через время!), собрал трафик с LAN и с WAN интерфейсов.
Насколько я понимаю, сначала запрос адресуется локальному резолверу, который возвращает Server Failure (response развернул на скрине), затем судя по всему пытается запросить от корня у IANA, но почему то с добавлением суффикса home.arpa и соответственно возвращает No such name vk.com.home.arpa
lan_vk_not_resolved.png

На WAN порту во время первого запроса само собой ничего нет, далее следуют запросы во внешку (к iana.org) с просьбой подсказать адрес vk.com.home.arpa и соответственно получает ответ, что не знаю такого имени.
home_arpa.png

Ради эксперимента выключил pfBlockerNG - vk.com сразу же открылся. Я включил блокировщик обратно, ВК продолжает работать (в принципе оно и понятно, вероятнее всего адрес уже берется из локального кэша ПК). Тогда решил еще на всякий случай посмотреть трафик на ПК. Но сайт wireshark.org не открылся (так же не возвращался IP адрес). Отключил pfBlockerNG - загрузил вайршарк без проблем. Опять включил блокировщик - работают ВК и wireshark.org (очевидно, что тут локальный кэш в деле!). Далее wireshark попросил установить npcap ну и вы поняли :) npcap.com не открылся (то есть версия, что возможно включение/отключение pfBlocker приводит к перезапуску резолвера и всё начинает работать провалилась).
Из наблюдений: такое ощущение, что проблема имеет периодичность (чаще всего жалуются в первой половине дня, около 10-11-12 часов - сильно примерно!). Думал может в это время обновляются алиасы и происходит рестарт pfBlocker, в течение которого резолвер не отвечает на запросы. Посмотрел в cron - обновление алиасов происходит в 12:30 (выходит мимо). Да и может ли Reload длиться минут 7-10? Вряд ли же.
В настройках заинтересовала галка Resolver Live Sync (по дефолту она выключена!). Из описания: "Enable When enabled, updates to the DNS Resolver DNSBL database will be performed Live without reloading the Resolver. This will allow for more frequent DNSBL Updates (ie: Hourly) without losing DNS Resolution." - чушутся руки её установить, однако решил уточнить, правильно ли я понимаю её смысл!?

PS. ну и да, в логах (системных, unbound) никаких ошибок, предупреждений по прежнему нет.

UPD: посмотрел внимательно cron, обновление алиасов это немного другая задача (update_urltables), обновление pfBlocker происходит каждые 8 часов (но по времени не совпадает - 0, 8, 16).

@tty1

По логике , да
mdns-repeater использует

#define MDNS_ADDR "224.0.0.251"
#define MDNS_PORT 5353

те , он подключается к мультикастовой группе именно с этим адресом и на этом порту (больше ничего другого он не использует)

@Tim2000
Откройте тем, кому надо. Не мучайтесь.

Нашел время для решения этой проблемы.
На путь истинный натолкнула ветка англоязычного форума https://forum.netgate.com/topic/183033/static-routes-ignored-in-2-7-0/17

Если коротко, то проблема в автоматических правилах NAT.

По настройкам:

Пятый пункт раньше шестого делаю для того чтоб авто правила перенеслись в ручное автоматом.

PS всем добра!

Всем спасибо - разобрался - некоторые записи Client Identifier были на русском языке)))

@tty1

1 ничего советовать тут не могу , и так и этак пробовал , отличий особых не нашел , как создавались дубли фазы-2 , так и создаются ( пришлось своим путем идти неформальным) . тут дело не в инициаторе соединения , а кто инициирует обновление ключей .

2 тоже не вижу проблем в том , кто первый пакет отправит (см настройки фазы-1 (responder only)

Responder Only Enable this option to never initiate this connection from this side, only respond to incoming requests.

3 Поставьте уровень логгирования Silent и будет заказчику счастье

Добавил
Proxmox VE 7.0 : comment ajouter du stockage via NVMe/TCP
Девочка, балансирующая на NVME-over-TCP 2.0

@pigbrother на версии PF 2.7.0 - не помогло.

@Hitch
Здравствуйте

Как я уже писал ранее , проблема в том , что PF работает чуть выше уровнем , чем Вам надо (см статью в этой ветке порядок прохождения пакетов )
Если все-таки надо фильтровать на уровне канальном с анализом Ethernet заголовка и именно на PF , то я бы решал эту проблему через Netgraph ( но в лоб ее не решить , нужно приложить некие усилия )
Суть в том , что эта подсистема позволяет перехватывать и анализировать трафик именно в том момент , когда он передается от драйвера адаптера к ядру системы и наоборот
Таким образом , можно отсеивать пакеты с неразрешенными Mac- адресами и пропускать валидные пакеты
Тут есть 2 пути
1 использовать комбинацию модулей ng_ether +ng_bpf
(они уже встроены в ядро PF , и тут надо только написать грамотный скрипт и составить bpf- программу , используя tcpdump)
пример такой программы

2 использовать комбинацию модулей ng_ether + ng_macfilter
тут все несколько отличается от пути 1 и конфигурируется тоже легче , НО тк модуль ng_macfilter не интегрирован в ядро PF , то
его придется отдельно собирать под конкретную версию Freebsd
https://www.gsp.com/cgi-bin/man.cgi?section=4&topic=NG_MACFILTER

https://github.com/freebsd/freebsd-src/blob/main/sys/netgraph/ng_macfilter.c

посмотреть , с какими модулями собрано ядро можно командой
kldstat -v | grep ng_

Добрый
@GOOFY
ПРОКИДЫВАТЬ сетевую в ВМ НЕ НАДО.
Надо создать на ней БРИДЖ в гипере и после ОТДАТЬ этот бридж в ВМ.

@max5775
Через впн можно.

Добрый.
@MIXAIL57

Написал Вам в ТС.

@Vasilev

да , посмотрел внимательно ,, речь идет только о порте источника в настройках NAT , никак не о порте назначения

Тогда Ваш путь верен , пробрасывать с нужным портом на PF назначения

@rnduser
вот сегодняшняя история.
триггер хайлос и латенси.

d0b142a3-fee9-4a74-8585-9640d4ab0fa2-изображение.png

@bazyak Спасибо мил человек, я так же сделал, все получилось.

Сделал это уже через Apach guacamole
Но интересно через PfSense возможно так пробросить ?

@Timotheos Спасибо этой юридической фирме https://edmansco.com/tier-2-visa-general/ за помощь с визой. Они сделали все возможное, чтобы ускорить процесс и упростить его для меня.Я благодарен этой фирме за их отличную работу в получении моей визы в Великобританию. Они были профессиональными и внимательными ко всем моим запросам.

@garald50 said in Кто грузит интерфейс?:

Получается Trafic Shapper Limitter не шейпит udp

должен шейпить, настройки надо по ману от pfSense проверить.

@hwit said in openvpn нет доступа к сети lan но не у всех:

Добрый день стандартная настройка сервера OpenVPN
Lan 10.0.100.0/24
Туннель 10.100.0.0.24
внутри 2 машинки собственно сам pfsense 2.6.0 10.0.100.1 lan
и win2016 10.0.100.10 забит статикой.

какой NAT у провайдера??
2de98e96-4464-47ee-ad65-268bdb2c68ee-image.png

и у клиентов провайдер и у вас один?

@werter said in pfsense + Antizapret (VPN) full tunnel wireguard/tailscale:

Крутите правила firewall и nat.

отвечу (задам вопрос) вместо автора этой темы...
Подключён к AntiZapret TCP4
1c8a46d3-fd75-4a27-b3de-f67f0132f399-image.png
175976b7-f6de-4df1-9dd3-22c7dcda5ceb-image.png

7efcf0d5-c7b4-4edd-9156-213ba45ae7a0-image.png
a5cafaec-fc94-4952-98a0-e1ae637c45c5-image.png

мой мудапровайдер использует из диапазона 10/8
8c1ca684-7eda-48bb-8779-7d9b93edc913-image.png
b9f90d0d-bb3a-47d2-8979-952647b3f338-image.png

смотрим пинг не идёт через WAN - значит мудапровайдер не занял именно этот адрес для тестов

Далее я делал:
381d54a6-61ae-4576-901f-e8ac7fd09a23-image.png
867d976f-2e2a-414d-933a-fbfaba228add-image.png

И ЭТО НЕХРЕНА И НЕ РАБОТАЕТ!!!!!!!! знаешь почему??
bef470bd-6091-4fca-8349-a2121b61103e-image.png

а потому что pfSEnse 2.7.0 кусок кривой прошивки!!!!!!!!!!!!!!!

@werter, спасибо, попробую

Добрый.
@kamazik971
Скрины firewall. nat.

Добрый.
@Mahad
Указывайте ip, а не имя в Authentication server.

@Stef93 Корень зла надет! По умолчанию CRL создается на 9999 дней, похоже дата перескакивала на 19... какой то. Поставил срок жизни листа 5 лет и все ОК.

@TR Столкнулся с проблемой по отзыву сертификатов описал здесь, может есть решение?