Hola
Podrías instalar otro computador con Linux y DNSMasq (También podría ser otro pfsense o un router con DD-WRT). Este equipo tendría que quedar conectado también a la WAN de respaldo con una segunda IP, en paralelo a tu PFSense.
Luego configuras DNSMasq para que use los DNS que usa tu PFSense en la WAN de respaldo pero le sobrescribes los dominios de Facebook y Youtube para que apunten a un servidor DNS falso.
Lo último sería usar la IP de este nuevo computador como servidor DNS de la WAN de respaldo en tu PFSense.
Ejemplo de configuración de dnsmasq.conf (127.0.4.1 es nuestra IP falsa):
listen-address=127.0.0.1
resolv-file=/etc/resolv.dnsmasq.conf
server=/youtube.com/127.0.4.1
server=/facebook.com/127.0.4.1
El archivo /etc/resolv.dnsmasq.conf tendría que contener tus DNS originales (Acá uso los de Google):
nameserver 8.8.8.8
nameserver 8.8.2.2
Creo que es lo más simple. Otras alternativas serían poner 2 servidores proxy con SquidGuard o crear sendas reglas en la WAN de respaldo bloqueando todas las IPs de Youtube y Facebook, esto último no es muy practico porque esas IPs van cambiando.
@ridley Hola, perdóname por mi español pero intentaré ayudarte
Mi idea es muy simple . Tienes qué dividir la red 192.168.25.0/24 en dos partes
192.68.25.0/25 (por ejemplo , dmz , direcciones ip desde 1 hasta 127) y 192.168.25.128/25 (la red 26.0, direcciones ip desde 129 hasta 254) . En este caso puedes utilizar el tunnel para ambas redes
@konstanti Incialmente tenia en "Network" como "LAN Subnet" que es donde pasaba el problema, luego cambie a "Network" y coloque mi "Red Lan" donde igual pasaba, hasta que cambie de versión de PfSense 2.3.5 -> PfSense 2.4.4 donde ahora funciona aparentemente todo, les adjunto las capturas de mi configuración:
PfSense-01:
Phase-1
Phase-2
Rules lan:
Rules IPsec:
Estatus VPN IPsec:
Es tema es del Año 2014 !
pfSense cambió desde esa fecha....
Revisa / Lee:
https://www.netgate.com/docs/pfsense/routing/directing-traffic-with-policy-routing.html
https://www.netgate.com/docs/pfsense/firewall/index.html
Y si te quedan dudas, Por Favor, abre/crea un Nuevo Tema, y las planteas allí.
No justo ese ese el problema. Creo que no me exprese bien:
Lado A:
Firewall (192.168.1.1) 192.168.1.0/24
Equipo X (192.168.1.23)
Lado B:
Cliente VPN (ES OpenWRT - linux con acceso a consola)
Red: 192.168.8.0/24
Equipo Z (10.11.220.61)
Pero en el mismo switch (no es administrable ni nada) de la red esta conectado el equipo con la ip 10.11.220.61
EL problema:
La unica forma que equipo Z me responda o permita comunicacion con el es si la informacion viene de la ip 10.11.220.62
Pero como NO estan en la misma red fisicamente es mi gran problema.
Si estuvieran en la misma red, solo configuro un equipo con la IP .62 y el gateway la .61 t listo
Este equipo el .61 lo que me permite es acceder a otro host que es el 10.11.0.2 (PEro esto ya es otro tema, me interesa solo ver el .61 en este momento)
@Esquirla @fabo81
La última regla nunca "aplicará" (aunque cambie "This Firewall" por "LAN Address")
Aquí pueden Leer por qué : https://www.netgate.com/docs/pfsense/firewall/firewall-rule-processing-order.html
que tal si en las reglas de firewall pones permitir ALL to ANY from ANY... si da Internet, la bronca es por tus reglas, el ping, no va a salir porque debes tener habilitado en el firewall las reglas al protocolo ICMP
@gersonofstone gracias por la respuesta. Decidí poner un router para no tocar tanto mi pfSense, ya que tengo otros enlaces y de esa maner lo tengo la configuración más limpia.
Saludos!
@bon-jovi dale una leída a esto
https://forum.netgate.com/topic/129047/see-here-for-this-error-cannot-define-table-bogonsv6-cannot-allocate-memory/13
https://justinho.com/blog/2018/03/15/pfSense-Bogons.html
http://centosquestions.com/pfsense-error-cannot-define-table-bogonsv6-cannot-allocate-memory/
Primo tienes q descartar que los servidores de telefonía estén bien configurado, como nat, la IP pública con la que salgan y demás, después puedes habilitar las opciones avanzadas del pfsense que ayudan a los temas de nateo
@periko si estoy usando las blacklist de shallalist , he dado una revisada a los ip , y había uno que tenia una separación de mas , buen tip el de la separación.
en el common he bloqueado todo , tenia algunas sin definir , voy a estar revisando los log a ver que veo y encuentro .
gracias periko
No creo que te funcione lo de adsense, porque la ip por la que salen a internet es la misma, entonces te detectara clicks fraudulentos
en el portal cautivo, puedes dar permisos solo a 3 sitios, sin que autentiquen, solo en la pagina del portal cautivo mostrar los enlaces a los 3 sitios que quieres mostrar
WINS en una red bajo AD ya no es necesario este servicio a excepcion de ciertas situaciones con sistemas con OS viejones, pero en una red win7+ ya no es necesario.
Si vas a levantar una AD, te recomendaria tambien darle el DHCP, ya todo eso funciona de paquete, si PF protegera tu perimetro que se dedique a eso nada mas.
Saludos y suerte!!!
@gersonofstone gracias por la ayuda, tengo la duda de como proveer una ip publica en modo nat 1:1 si cuento con 2 ip publicas ya que actualmente cuento con dos proveedores de internet distintos, y quiero aprovechar lo dos proveedores para abastecer de internet a la empresa
Muchas gracias:
Efectivamente es un pool de /29. como lo sabias?
Intente hacer lo del TAG pero por alguna razon no podia navegar. Y el gateway me salia en offline... adjunto fotos
Asi que opte por borrar todo lo que habia hecho y volver a comenzar... en estos momentos no hay interface VLAN ni nada y podia navegar... asi que decidi hacer un portforward del PFSENSE para poder ingresar remotamente y todo salio excelente, a ser sincero jugue un poco con las reglas del firewall. Y cuando me disponia a seguir haciendo pruebas con VPN y mas nateo de puertos, me di con la sorpresa de que no podia navegar, pero el indicador de la pc dice que tengo ACCESO A INTERNET.
De momento seguire en mi entorno de prueba con una configuracion VPN ya que es otro de los puntos importantes. adjunto pantallazos de mis reglas nat actuales.
OJO: fuera de mi entorno de pruebas esta la red estable, que comparte el mismo router ISP... De una de esas PC tome los pantallazos
Disculpas de nuevo por lo extenso
Hola muy buenas compa,has probado en hacer el script tu mismo? en la documentacion hay mucha info para poder hacerlo y tambien en el canal de youtube de periko hay un video sobre WPAD muy bien explicado,saludos.
Pido disculpas, soy nuevo en esto de los foros, mas adelante hare un nuevo post adjuntare imagenes para que si se puede me den la mejor manera de solucionar mi incoveniente
Crear portal cautivo, para controlar por acceso a usuarios, integrarlo con un directorio activo, reponer páginas web mediante proxy reverso, crear comunicaciónes con, entre sedes, enrutamiento dinámico o estático, el límite lo pone tu imaginación
@walter-galvis Buenas noches Walter,
Pudiste solucionar esto? Yo estoy teniendo problemas configurando el E397 con Movistar en Venezuela. ¿Tienes algún dato que me puedas dar?
Bueno di con la solución, navegando encontré este post en en foro de netgear en ingles.
https://forum.netgate.com/topic/83460/wpad-setup-help-solved
bueno espero le sirva a alguien mas, saludos!
