@juan-peña-beltre disculpa base mi respuesta bajo el esquema de proxy transparente con MIT (filtro SSL)

Tienes proxy no transparente y tiene proxy transparente sin MIT.

Son 3 escenarios en si. Voy a ojiar la doc de squid.

@fealiaga Primero, yo usaria la de 10Gb para la LAN y para el puerto TRUNK. Y para la WAN dejaria la de 1GB, al menos que el plan del ISP que tengas contratado sea sobre 1GB. del resto no. Prioridad al trafico interno.

para la parte de vlans he configurado pfsense, pero creo que es lo mismo que haz realizado, levantar las n+1 vlan mediante su tag ID y luego activar la red. Esa red que se te crear en el pfsense dale permisos any any para que no tengas nada que te bloque y te pueda hacer confundir,

La vlan en lo personal . las heconfigurado en equipos con administracion web que son sencillos, ej: un HP, tplink entre otros. Pero la logica es la misma. un puerto trunk o troncal (tagged) como lo llaman algunos equipos. ej puerto 48 troncal. el cual anexas los puertos que van a escuchar.

El resto de los puertos son vlans sin etiqueta pero le indico que si va al puerto 48, vaya con etiqueta. es decir el tag ID.

Aquí hay una buena explicación.

Como puedes ver, hablando desde el punto de vista estrictamente de Wi-Fi, en general, no necesitas un router independiente de banda triple. En algunos casos, un router de tres bandas ayuda, pero, aun así, no es imprescindible. Un buen router de banda doble siempre será suficiente.

Pero, por otro lado, tampoco veo algún escenario en el que el uso de un router de banda triple resulte perjudicial. Entonces, al final, todo se reduce a tu poder adquisitivo. Si puedes pagarlo, te diría que vayas por él. Siempre es bueno poder subir un escalón más.

@licual Te está resumiendo todo lo que se ha charlado, con la excepción que si realmente CanTV tuviera un servicio de calidad, ellos podrían ayudarte con lo que te dije de la comunicación para que ambas interfaces de red, se comuniquen adecuadamente y es lo que te mencioné en un par de ocasiones hice eso con 2 ISP diferentes cuando estaba en Costa Rica en la época de los 90 y se me presentó esa situación.

O sea, SI ES POSIBLE, pero con lo que has comentado, NO te van a ayudar. Es muy cierto que está como puente (bridge) lo cual te confirmé cuando me dijiste la IP que le daba al equipo conectado, es muy cierto que la IP va a cambiar constantemente y cuando eso pase vas a perder conexión en el pfSense teniendo que reiniciar la interfaz WAN o todo el pfSense y otra serie de situaciones ajenas, monopolizadas y controladas por CanTV o el control de las comunicaciones en tu país.

Lo bueno de todo esto, es que si estabas y estás haciendo bien tus configuraciones de pfSense hasta ahora.

Saludos.

@robr1983
Hola.
Si haces un reinicio ordenado de pfsense, ¿también se pierde la configuración?

En caso de crash del equipo, ¿se pierde sólo la configuración de squid o también otras configuraciones de pfsense?

¿Has probado a desinstalar e instalar de nuevo squid?

@hersuvall

Una pregunta. ¿Los nombres de la red remota (la que está conectada por ipsec) son nombres válidos en internet? Lo pregunto, porque si he entendido bien, si usa los dns de Google (8.8.8.8) entonces sí le funciona?

@edgar-0

---> https://forum.netgate.com/topic/21817/recomendaciones-al-postear

Aquí tienes material de Lectura, respecto al tema "Firewall / Reglas" https://docs.netgate.com/pfsense/en/latest/firewall/index.html

@julioaeb Muy bien dia a todos, entiendo que esta respuesta es ya bastante antigua pero espero que alguien pueda ver esto y sacarme al final de la duda.

Tengo el mismo problema y la unica forma de solucionarlo fue colocar un switch entre el modem de cantv y la interfaz wan del pfsense. Si alguien sabe por que pasa esto y pueda arrojar un poco de luz sobre el asunto seria excelente. muchisimas gracias a todos. este foro es invaluable.

@periko Hola esto solucionó tu problema?

@lucasll Buen día amigo lo probé y si carga mas rápido hasta el momento va funcionando correctamente te agradezco mucho la ayuda 👏

https://forum.netgate.com/topic/163140/problema-2-wan-update-2-5-1/3

https://forum.netgate.com/topic/163081/after-upgrading-to-2-5-1-port-forwards-only-works-for-active-wan

https://forum.netgate.com/topic/162880/2-5-1-rc-port-forwarding-not-working-on-wan2

--> https://forum.netgate.com/topic/21817/recomendaciones-al-postear

Aadjunta un Diagrama/Esquema, Claro, Completo y Detallado de tu Red.

Adjunta Capturas de pantalla de la Configuración del pfSense

Así será mas fácil que los compañeros te puedan ayudar/orientar

Mientras tanto, puedes ir viendo.... https://docs.netgate.com/pfsense/en/latest/troubleshooting/connectivity.html

@santi
Hola.
En menú DIAGNOSTICS - SYSTEM ACTIVITY puedes ver los procesos y el consumo de memoria, etc, de cada uno.

@periko Infinitas gracias por tus videos, son espectaculares. Una pregunta puntual, luego de implementarlo el Proxy no he podido acceder desde internet por medio de Anydesk. Si bien es cierto he hecho varios intentos no ha sido posible. Podrías indicar cómo se hace?
Gracias totales!

Gracias, el segmento de mi openvpn es 10.10.10.0/24 y debo llegar a la red 172.17.2.0/24 la ip lan de mi pfsense es la 192.168.10.1 cual seria la ruta para que se puedan ver las dos redes

Si creaste la VLAN 100 en la "em0"

Tienes que asignar/utilizar dicha interface/vlan como WAN (no como OPT3)

@santi buen día. Ya revisé el log. Dónde obtuve la ip a la cual de está conectado, la agregue a la lista blanca, además, del puerto. Pero sigue sin funcionar .

@gcaissimo Es que viendo tu esquema de red, tiende a confundir. Por ejemplo: Del lado izquierdo colocas ISP VoIP Proxy (¿Qué es exactamente?), luego pones WAN1 VoIP (¿Qué es exactamente?), esos dos apuntan al pfSense y luego a otra WAN0 internet ¿?

Si el lado izquierdo, es la parte de los servidores, a mi punto de vista, el esquema de red debería ser: WAN/Internet ISP-> PfSense-> servidor VoIP.

Ya con lo anterior y con la VPN, conectas al otro lugar y no sé si del lado derecho, el Elastix es para conectar con lo que está del lado izquierdo o qué?

Si colocaras, qué es cada cosa, uno podría orientarse mejor.

Suerte.

@santi ... el proxy que uso es transparente
Te explico... la configuración de mi firewall protege mi red cableada y a este tengo incluido un router wifi para extender mi red inalámbricamente, por decirlo de algún modo, con WAN y LAN, ahora, como seguro sabes, cada red está en segmentos distintos, la WAN posee una IP autorizada en el segmento de mi servidor, por lo que los usuarios al conectarte a la LAN del router, pfsense deja pasar el segmento por mi red, porque le agregue outboud y reglas que lo permiten. Todo eso está bien. Y funciona, siempre que en la configuración de cualquier dispositivo le incluyas la del proxy. Repito mi cuestión...

¿Cómo puedo hacer para que cuando configure una conexión WIFI en un dispositivo, no tenga que incluir la configuración del servidor proxy y que ya el hecho en si de usar esta conexión tenga incorporado la del servidor proxy?

Es decir... quiero que cuando pfsense identifique una conexión entrante desde la ip autorizada (WAN del router wifi) enrrute su tráfico sobre el servidor proxy de tal manera que no haya que especificarlo en cada dispositivo que se conecte por está vía.

En caso de que alguien aun no logro resolver el inconveniente aquí dejo el enlace con la información facebook suministra para permitir el filtro por proxy

https://developers.facebook.com/docs/whatsapp/guides/network-requirements/?locale=es_ES

Estas son las Reglas:

Cargué directamente una regla superior permitiendo todo el paso saliente.

Sin título.png

Esa regla No aplica/no es válida

Revisa/Lee:

https://docs.netgate.com/pfsense/en/latest/firewall/index.html

https://docs.netgate.com/pfsense/en/latest/troubleshooting/firewall.html

Estaos son los NAT:

Revisa/Lee:
https://docs.netgate.com/pfsense/en/latest/nat/port-forwards.html#

https://docs.netgate.com/pfsense/en/latest/troubleshooting/nat.html#port-forward-troubleshooting

@luis-dgz yo logre bloquear sitios https específicos con e2guardian desístala squidGuard despues instala system patches agrega un parche, habilitar acceso por ssh al systema posteriormente ingresa por consola agrega los repositorios reinicia, instala e2guardian aplica tus reglas de preferencia y listo, estará bloqueando https. anexo archivo en Word con los pasos si quieres has la prueba a en otro equipo no lo hagas directamente en producción[0_1620939224833_Instalar paquete E2guardian en pfsense 251.docx](Uploading 100%) .Instalar paquete E2guardian en pfsense 251.7z

@maguve said in "Limiters" no limita.:

Saludos desde Venezuela, he tratado de limitar mis clientes

no se si falta alguna opcion en los limiters, si pudieran darme una ayuda o indicio de la falla.

Imposible saber/poder decir, si No Muestras lo que estás haciendo

@fjgantes Perdón por la tardanza.. pero dejo la solución por si a alguien le sirve.

Estamos utilizando como punto de acceso los "Tenda AC23". tienen una opción de unificar la red 2.4Ghz y 5ghz, de manera que "entiendo" que los dispositivos "acuerdan" la frecuencia de la conexión que mejor les vaya. Pues bien, algunos dispositivos, sobre todos los antiguos y algunas tablets ipad, teniendo tarjeta wifi 2.4g, acordaban funcionar a 5g... lo cual hacía que no tuvieran acceso a internet.

Está la opción de no unificar las dos redes, de tal forma que cada punto wifi cree dos redes o bien sólo activar la opción de 2.4 Ghz.

Por casualidad nos dimos cuenta, ya que en el listado de dispositivos conectados según el TENDA, nos decía el tipo de conexión... No era nada de Pfsense.

En fin, espero que sirva.
Saludos.

@ptt said in Banco por un gateway:

"Policy Routing"

Documentación --> (Balanceo Forzar salida a bancos (https) por una de las WANs)

Ya pude resolver gracias a este hilo,
https://forum.netgate.com/topic/40638/resolvido-loadbalance-sticky-connections-bancos?_=1620422523373

Agradecido por su colaboracion!!!!

@bootable said in Portal Captivo con auto regístro:

https://www.youtube.com/watch?v=bFPmktc1_PU&t=2s

Prueba con eso

Gracias por el hilo, saludos desde Venezuela.

En mi caso tengo que usar por obligación los servidores DNS de mi proveedor

Debería usar DNS Resolver o DNS Forwarder?

Cualquiera de los 2

Tengo entendido que DNS Forwarder utiliza los servidores configurados en Sistema> Configuración general por lo tanto ahí pudiera poner las IP del DNS de mi proveedor.

Si

En el caso de DNS Resolver, según la documentación NO usa los servidores DNS configurados en Sistema> Configuración general. Sino que usa una Lista de Servidores Raíz (a los cuales no tengo acceso desde mi red).

Sólo cuando está en modo "Resolver"

Mi pregunta es, se puede modificar la Lista de Servidores Raíz? En el caso que si, como lo hago? Y por último, también, en el caso de que se pueda modificar, cual de los dos debería usa?

Los "Root Servers" son los 13 que tiene configurados, y no los puedes cambiar por los que se te ocurran

DNS Resolver o DNS Forwarder?

Cualquiera de los 2 (en modo Forwarder)

https://docs.netgate.com/pfsense/en/latest/services/dns/index.html

Revisa/Lee: https://docs.netgate.com/pfsense/en/latest/firewall/index.html

Muestra, lo que hiciste..... (capturas de pantalla)

te funciono lo que dijo el usuario :S no se por que dejan aveces inconcluso si se soluciono, seguramente las nuevas actualizaciones resolvieron ese problema de whatsapp pero seria bueno como lo resolviste en su momento por que al dia de hoy aveces sigue dando problemas whatsapp yo en mi caso aveces me toca descargar alguna variante como WhatsApp Plus mientras se soluciona

@jonanjose said in Pfsense sin internet en la lan:

#aca en DNS va la ip que sirve el dhcp como gateway en mi caso ya con el accedo al pfsense
DNS=192.168.2.1
#FallbacksDNS=
#aca el dominio que le asignaste al pfsense en mi caso
Domains=home.domain
#LLMR=no
#MulticastDNS=no
#DNSSEC=no
con esto solo guardan y luego ejecutan lo siguiente en la terminal :
service systemd-resolved restart

@pannegro1 Cuando pase a 2.6.0 . podia entrar por vpn pero hacia la lan no funcionada nada.

al veriquicar (netstat -rn) vi que las rutas estaticas ninguna cargó.

Pero via web si estaban, lo que hice fue entrar y aplciar cambios sin modificar y alli cargaron. fue lo unico diferente.