Antes de hacer sus updates, sacan respaldos y los prueban o se lanzan asi nada mas a la aventura?
Por que si tuvieran un backup no tendrian que instalar nada de 0.

En lo personal squid no te servira mucho, carece de mecanismos para las paginas dinamicas, muchos sitios ya trabajan en https y aunque su modulo de man-in-the-middle funciona en tu caso no aplica por que tienes que hacer unos cambios en los navegadores de cada usuario y los tuyos traen telefonos, tablets, laptops.

Se te complicara al punto de estresarte, se presta mas cuando al operacion esta mas controlada como una empresa, tus usuarios son gente de todas partes del mundo por asi decirlo es red publica.

Squid aun le des 200TB no hara uso ni del 1%.

No te ayudara mucho en tu problema, tienes hw para abastecer mucha gente.

En tu caso estas bajo CP, que planes ofreces?

Tu enlace es simetrico o asimetrico?

Con que cantidad de usuarios simultaneos empieza a caer?

Has pensado en agregar otro enlace y balancear la carga que es lo mas comun?

Como es tu red y cuantos AP(marca/,odelo) tienes y cuantos usuarios se conectan a cada uno?

Si alguien quiere aportar su experiencia en estos caso adelante.

Saludos.

Hola ZAC gracias x responder. No amigo mio no quiero hacer una doble autenticación, lo q quiero es q los clientes de la LAN se autentiquen con usuario y clave como hasta ahora. Mientras que los clientes de la WIFI se autentiquen a través del portal cautivo pero usen el squid para saber los sitios donde entran, algo así como un squid transparente. No se si el squid se podrá configurar que autentiquen en una red y en la otra sea transparente recuerda q especifique que mi squid estaba en debían el pfsense sólo lo uso como router, cortafuego y dhcp
Saludos y espero tu ayuda si la tienes

A mi lo que me funciona coló dice brujo nick es hacerme entornos virtuales de prueba, navegar en los foros y ver que retos tienen los demás e intentar solucionarlos, así aprendes, apoyas y vez cosas que tal vez te sirvan para tus entornos

Compañeros de foro

La vlan nativa del switch es la vlan 1 que es la LAN del pfsense

Al no borrar la configuracion LAN del pfsense que es 100.100.100.1 los puertos del switch que no tenian configurada ninguna Vlan
tomaban por defecto IP del rango configurado en el DHCP de la LAN.

Para efectos de prueba borre todo lo concerniente a la LAN (asignacion, activacion, rangos y el dhcp server).

Una vez borrado todo esto los puertos del switch que no pertenecen a ninguna Vlan (y que pertenecen a la vlan nativa) no obtienen ninguna IP.

Por lo que cada puerto del switch se tiene que asignar a una Vlan o en su defecto cambiar la vlan nativa por cualquiera de las vlan en uso, para
obtener IP del rango activo.

Espero esto sirva de ayuda a alquien mas, si no esta claro agradezco comentarios.

Gracias por la ayuda y el interés.

@acriollo:

si los Access points son meraki , me imagino que si soportan vlans.

entonces los que deberás hacer es crear un ESSID y asignarle la vlan13 ya que no puedes tener dos DHCPs en el mismo dominio por que eso te va a dar problemas.

Aqui podria ser una opción

La otra opcion es que pegues la vlan12 con la 13 o la vuelvas solo 13, la verdad es que no le veo mucho la logica a eso.

Pero este es un tema más de meraki y de cisco que de pfsense.

la idea es tener segmentos separados , y el wifi es uno que lo quiero tener aislado de mi red local o cableada.

@pepe0505:

por que no pruebas poniendo en tu alias las ips publicas que redireccionan a facebook.com en lugar de poner como tal el dominio??
si tienes linux ejecuta en una terminal
host facebook.com
o con un ping
ping facebook.com
y agrega la o las ips que aparezcan apuntando al dominio
Imagino que Facebook debe tener mas de 1 ip publica, es cuestion de que vayas agregando todas las que te aparezcan, la regla igual en la LAN | ipv4 | * | any source | any port | facebook alias | any port
Saludos

Así esta hecho, no solo por DNS si no tambien por IP una larga lista de IP. Y no hay caso.

me respondo a mi mismo, el problema era que tenia pfsense asignado por http al puerto 8443 y no al 80 por defecto, por lo tanto los pc no lograban bajar la configuracion WPAD ya que apuntaba a http://192.168.1.1/wpad.da(y wpad.dat y proxy.pac) y con el cambio de puerto quedaba http://192.168.1.1:8443/wpad.da, el cual nunca iban a resolver el resto de los equipos… ahora esta funcioanando bien (lo deje en 80) y la cpu esta a 20% de uso (paquetes instalados mailreport, RRD_summary, squid, squidguard, lightsquid, ntopng). espero a alguien le sirva esta informacion

Me imagino que tienes Master/Slave en tus fws con HA (CARP),  estan en el mismo segmento ambos?
Creo que debes enmascarar el trafico en firewall -> NAT> outbound
Por ejemplo yo tengo
fw1: 10.2.0.2
fw2: 10.2.0.3
Y me pasaba lo mismo, alcanzaba toda mi LAN con la VPN excepto a mi FW2 (Slave)

La regla es algo asi….

Realmente no recuerdo si con esto pude llegar a mi fw esclavo atraves de una vpn configurada en mi fw1, nada pierdes con probar…. Igual si puedes explicar un poco mejor en lo que trato de recordar jeje

Te dejo por aqui unos links que puedes visitar.

http://www.geronet.com.ar/wp-content/uploads/2012/04/PFSense-MultiWan-redundacia-y-balanceo-de-cargas.pdf

http://www.bellera.cat/josep/pfsense2/Redundancia_y_Balanceo_de_Carga_con_MultiWAN.pdf

En ambos casos se plantean escenerios de "dual wan" pero si los intrepretas no deberias tener problemas para agregar mas gateways de salida.. Como no brindas suficiente informacion sobre el problema (como funciona tu proveedor, las configuraciones actuales, etc) es dificil ayudarte.  Lo que puede estar sucediendo es que al ser el mismo proveedor para todas las salidas tengas un conflicto con el monitoreo de las mismas. Intenta cambiar las ips de monitoreo por algunas publicas tipo OpenDns y Google Dns.

Saludos

Han, puede saber los equipos que están conectados en sus LAN, en sus WAN, solo podría ver los estados, y ver que equipos están saliendo por cual WAN, pero habitualmente salen por todas, es todos contra todos en el balanceo, según yo, también puede ver el tráfico que tiene cada WAN, pero yo creo que en los estados de cada WAN puede ver de dónde viene, y ahí ver que equipo sale porque WAN.

Saludos amigos gracias por la respuesta, primero win_bar en los log no aparece nada es como si no hubiera hecho un ping, telnet ni acceder desde la LAN al tunel OVPN no tengo ningun registro. pepe0505 en efecto el tráfico esta siendo unidireccional desde el cliente hacia el servidor, pero no desde un cliente del segmento interno o el mismo pfsense al cliente, te entiendo que lo que se debe de hacer es establecer un Site-2-Site pero esto implicaría instalar un server en el cliente a fin de tener interconectividad, cual seria la salida más tipo cliente/servidor

Buenísimo, hice lo que dijeron y ahora ya funciona.
Muchas gracias!!!!  Saludos!

Gracias  el dato, juanka20g  funciona en mi pfsense 2.4.1 :D

Seguro que es asi? yo lo tengo configurado igual que las imágenes y el limite me lo hace para todas las ip, osea no es un limite por cada ip.

Gracias klausneil  por la respuesta lo reviso…  saludos..

Los celulares no se conectan por cable, eso lo sabemos todos, entonces ¿Porque no aprovechar eso?
Usa las caracteristicas de filtrado MAC de los AP para restringir la entrada de los celulares, ya sea negando las direcciones de los telefonos, o permitiendo la de los equipos de computo. Si la red es muy grande, entonces segurammente tendrán los AP funciones para usar RADIUS, podrias hecharle un ojo a eso tambien.