Отвечу сам себе. Так и есть, при активации интернета необходимо чтоб все внешние интерфейсы были отключены (disable), кроме интерфейса к которому подключен кабель провайдера. После перезагрузки (какие-то проблемы с кешем) всей техники интернет появился, правда на невероятно низкой скорости на закачку (0,25кБ/с против 32 реальных на ноутбуке), но это уже другая тема. Тема закрыта.

почитал. возможно вот это описание, подходит. Действует ли оно сейчас? Есть ли пути обхода(как указано ниже)? И можно поподробнее разжевать. Мне надо сделать так, чтобы порядка 50 VPN соединений устанавливались  на один и тот же удаленный VPN сервер. 14.4 Ограничения PPTP Код отслеживания состояния лежащий в основе брандмауэра PF для протокола GRE позволяет отслеживать только единственную сессию на публичном IP внешнего сервера. Это означает, что если вы используете соединение PPTP VPN, только одна внутренняя машина одновременно может соединиться с PPTP сервером в интернет. Тысяча машин может одновременно соединиться с тысячей различных серверов PPTP, но только одна машина может присоединяться к одному серверу одновременно. Единственная возможность - использовать множество публичных IP на вашем брандмауэре, один на клиент, или использовать множество публичных IP на внешнем PPTP сервере. С другими типами VPN соединений таких проблем нет. Это же ограничение означает, что если вы добавляете функции PPTP сервера или перенаправления PPTP, никакие клиенты подключенные через NAT к вашему WAN IP адресу не смогут соединиться с внешним PPTP сервером. Рабочее решение - доступ клиентов в интернет через NAT реализуется с различных публичных IP адресов. Оба этих ограничения позволяют работу в большинстве сред, однако их устранение имеет высокий приоритет для релиза pfSense 2.0. Во время написания этой книги, ведутся разработки позволяющие устранить эти ограничения, хотя говорить о их успехе пока ещё рано.

вопрос снят , действительно нада выбирать интерфейс для которого правило (в моем случае это ВАН так как на лан люди конектят по GRE )

goliy, спасибо. Вроде заработало. буду еще проверять. меня смутило то, что в каталоге /usr/local/etc/rc.d/ после установки isc-dhcp41-server-4.1.1 появился файл isc-dhcpd.

@ar2r: Я правильно понял если бридж то надо на обоих интерфейсах на LAN и WAN ? Или я опять не понял? Получается, что так. Сам ведь бридж у тебя как интерфейс не выведен? Можно еще Floating с опцией Quick.

WAN->LAN 1.0.0.4 qlanLoosers/qwanLoosers LAN->WAN 1.0.0.4 qwanLoosers/qlanLoosers и для трубок Loosers upperlimit 10(скоканадо)mb

А чем не подходит вариант поставить Squidguard? Там как раз и перенаправление сделать можно…

@goliy: http://forum.pfsense.org/index.php/topic,33870.0.html http://doc.pfsense.org/index.php/Traffic_Shaping_Guide Большое спасибо, тема от dvserg помогла разобраться.

Man Date http://www.opennet.ru/man.shtml?topic=date&category=1&russian=1

Кому интересно, решил данный вопрос следующим костылём - в скрипте ppp-linkup (срабатывает при поднятии PPP канала)  добавил кусок, проверяющий есть ли в данный момент default gateway, и если его нет, то назначает его равным гейтвею поднятого PPP. #!/bin/sh let the configuration system know that the ip has changed. /bin/echo $4 > /tmp/$1_router /bin/echo $3 > /tmp/$1_ip /usr/bin/touch /tmp/$1up ALLOWOVERRIDE=/usr/bin/grep dnsallowoverride /conf/config.xml | /usr/bin/wc -l if [ $ALLOWOVERRIDE -gt 0 ]; then write nameservers to file if [ $6 = "dns1" ]; then echo $7 > /var/etc/nameserver_$1 /sbin/route delete $7 /sbin/route add $7 $4 fi if [ $8 = "dns2" ]; then echo $9 >> /var/etc/nameserver_$1 /sbin/route delete $9 /sbin/route add $9 $4 fi /usr/local/sbin/pfSctl -c 'service reload dns' /bin/sleep 1 fi ### Cheking is there default gateway if netstat -nr | grep default > /dev/null; then logger Default gateway is already present; else /sbin/route add default $4;     logger $1 link changed to UP. Setting $4 as default gateway; fi ### /usr/local/sbin/pfSctl -c "interface newip $1" exit 0 Решение - не идеал - в systemlog всё равно падает ошибка, о которой я писал раньше. Зато работает. Кроме того, отписался в английской ветке - может чего скажут умного…

Че то посмотрел сколько косяков у народа всплывает))) не буду пока обновлять до 2.0

меня не из за локальных юзеров волнуют снепшоты… а из за багов ипсека (мобильные клиенты) - я из за этого обновить роутер до 2.0. не могу...

потому что репозитории с пакетами для 8.1 фри переехали в archive. ftp://ftp-archive.freebsd.org/pub/FreeBSD-Archive/old-releases/

Вот при таких правилах связь есть по локалке iptables -A FORWARD -p icmp -j ACCEPT iptables -I FORWARD 1 -i eth0 -o tun0 -j ACCEPT iptables -I FORWARD 1 -o eth0 -i tun0 -j ACCEPT а как сделать подобное еще и для ppp интерфейсов? Каждый подключенный пользователь рандомно получает ppp интерфейс (всмыле ppp1, ppp2 и тп.)

@bloodninja: Это я понимаю в правило фаервола влепить на ван интерфейс? ну да..

Проверено. Не сбрасываются :)

На b/g попробуйте. Чем меньше скорость тем стабильнее связь.