https://www.itwriting.com/blog/9592-publishing-exchange-with-pfsense.html

На сегодня все работает. Все соединения установлены и работаю. Из мобильного тоннеля 10.0.200.0 можно получить доступ к ресурсам локальной сети 192.168.6.0.
Осталось решить вопрос маршрутизации между самими тоннелями....
Тема тут: https://forum.netgate.com/topic/142347/%D0%BA%D0%B0%D0%BA-%D1%80%D0%B0%D0%B7%D1%80%D0%B5%D1%88%D0%B8%D1%82%D1%8C-%D1%82%D1%80%D0%B0%D1%84%D0%B8%D0%BA-%D1%82%D1%80%D0%B0%D1%84%D0%B8%D0%BA-%D0%BC%D0%B5%D0%B6%D0%B4%D1%83-%D0%BD%D0%B5%D1%81%D0%BA%D0%BE%D0%BB%D1%8C%D0%BA%D0%B8%D0%BC%D0%B8-%D1%82%D0%BE%D0%BD%D0%BD%D0%B5%D0%BB%D1%8F%D0%BC%D0%B8-ipsec

По дефолту все разрешено только на LAN.

@lucas1

Никакой.
Отберите админские права у обычных учеток на машинах. Это решит 90% проблем. И далее уже развертывайте AV локально на местах.

@lucas1
Suricata лучше. Т.к. умеет мультипоточность (как минимум).

@pigbrother
Спасибо за подсказку про udp на rdp )

Здравствуйте,

Да, есть ряд правил по умолчанию, которые не отображаются в граф. интерфейсе. Вы можете в Diag > Command Prompt (shell) ввести cat /tmp/rules.debug | grep IPsec вы увидите разрешающие правила для ISAKMP, ESP и NAT-T, сгенерированные автоматически после настройки IPSec, что-нибудь вроде:

pass out route-to ( mvneta2 <шлюз> ) proto udp from (self) to <удаленный пир> port = 500 tracker 1000108441 keep state label "IPsec: <имя туннеля> - outbound isakmp"
pass in on $WAN reply-to ( mvneta2 <шлюз>) proto udp from <удаленный пир> to (self) port = 500 tracker 1000108442 keep state label "IPsec: <имя туннеля> - inbound isakmp"
pass out route-to ( mvneta2 <шлюз> ) proto udp from (self) to <удаленный пир> port = 4500 tracker 1000108443 keep state label "IPsec: <имя туннеля> - outbound nat-t"
pass in on $WAN reply-to ( mvneta2 <шлюз> ) proto udp from <удаленный пир> to (self) port = 4500 tracker 1000108444 keep state label "IPsec: <имя туннеля> - inbound nat-t"
pass out route-to ( mvneta2 <шлюз> ) proto esp from (self) to <удаленный пир> tracker 1000108445 keep state label "IPsec:<имя туннеля> - outbound esp proto"
pass in on $WAN reply-to ( mvneta2 <шлюз> ) proto esp from <удаленный пир> to (self) tracker 1000108446 keep state label "IPsec: <имя туннеля>- inbound esp proto"

у меня натсроено уже так и все работало, вот сегодня вывалилась эта ошибка, хотя ничего не меняли

@wezen said in Pfsense 2.4.4 не работают пробросы портов:

Автоматом они не появляются ручками все вбивается.

Да. Стандартно выдаются IP, маска, шлюз, DNS.

@oleg1969

У меня этого нет dns-запросы не завернуты поэтому и работает

У вас и домена-то нет )

Большое спасибо за помощь.
Удалось подключиться. Надо было в Кинетике в настройках подключения IPSEC включить параметр "Автоподключение". Вручную, почему-то, не подключалось.

@ALFi
swanctl --list-sas
ipsec statusall
или через WEBGUI /STATUS/IPSEC
IPsec туннель не является туннелем , в который маршрутизируется трафик. Весь "интересный трафик" Вы загоняете туда принудительно . Со стороны Cisco с помощью ACL , со стороны Freebsd настройками демона Strongswan. Так что в таблицах маршрутизации он отсутствует по этой причине. Нечего маршрутизировать.

@Tolpa мало того что не помогаете и в прямом смысле перекручиваете описание проблемы, так ещё й разводите оффтоп на форуме по firewall об voip так ещё и критикуете то что по делу сказано. Не знаю что на ваш взляд смещного в "линиях" и непонятного в специфике каждого SIP провайдера, ну вы посмейтесь поживете дольше. А я вот посижу и поржу с вас. Видите всем хорошо). Если всё-таки вы увидите в гугле не баннер Роскомнадзора - просто напишите "мультиканальность sip" и поймете о чем я говорю, в основном это раздел прайс листа. У парня 1 акк (логг:пасс) - он им ломится на сип сервер провайдера с 2 разных устройств с разных сетей - конечно ничего не будет работать...

@Konstanti

1180e006-2e15-444c-a835-7d1fa55baea8-image.png

можно еще почитать про связку корбины и mikrotik - суть в том что dns сервера корбины находятся в другой сети и без стат.маршрута в эту сеть pfsense не может разрешить имя l2tp сервера в ip адрес, для каждого региона грабли свои

@samax2207 тогда опять же вилка
1 не внесён Ваш ip в список разрешенных, тут все вопросы к техподдержке.
2 попробуйте поменять udp на tcp.

Явно видно , что Вы не получаете ответ на SIP REGISTER по какой-то причине.

@werter said in pfSense на SSD:

P.s. Зачем нужен SSD для пф ?

@ToXaNSK said in pfSense на SSD:

П.С. Ограничен местом для накопителя в корпусе, только 2.5". Мать только USB 2.0.

Почему бы и нет?

Если имеется минимум 2 WAN-а с белой статикой\динамикой - можно.