bueno me decidi por fin a montar el sarg, pero para debian, y con los acces.log de pf genero el reporte

gracias

Ya te respondi en este post http://forum.pfsense.org/index.php/topic,7950.0.html

saludos

¡Hola!

Posible receta …

1. Guarda la configuración completa de tu pfSense en un ordenador seguro, config.xml
2. Haz una copia del archivo que has descargado, config.xml
3. Edita config.xml con un editor de texto o, mejor aún, con uno que interprete las etiquetas XML. Hacia el final verás una estructura de etiquetas como:

<cron><minute>0</minute> <hour>*</hour> <mday>*</mday> <month>*</month> <wday>*</wday> <who>root</who> <command></command>/usr/bin/nice -n20 newsyslog <minute>1,31</minute> <hour>0-5</hour> <mday>*</mday> <month>*</month> <wday>*</wday> <who>root</who> <command></command>/usr/bin/nice -n20 adjkerntz -a <minute>1</minute> <hour>*</hour> <mday>1</mday> <month>*</month> <wday>*</wday> <who>root</who> <command></command>/usr/bin/nice -n20 /etc/rc.update_bogons.sh <minute>*/60</minute> <hour>*</hour> <mday>*</mday> <month>*</month> <wday>*</wday> <who>root</who> <command></command>/usr/bin/nice -n20 /usr/local/sbin/expiretable -v -t 3600 sshlockout <minute>1</minute> <hour>1</hour> <mday>*</mday> <month>*</month> <wday>*</wday> <who>root</who> <command></command>/usr/bin/nice -n20 /etc/rc.dyndns.update <minute>*/60</minute> <hour>*</hour> <mday>*</mday> <month>*</month> <wday>*</wday> <who>root</who> <command></command>/usr/bin/nice -n20 /usr/local/sbin/expiretable -v -t 3600 virusprot <minute>*/60</minute> <hour>*</hour> <mday>*</mday> <month>*</month> <wday>*</wday> <who>root</who> <command></command>/usr/bin/nice -n20 /usr/local/sbin/expiretable -t 1800 snort2c <minute>*/5</minute> <hour>*</hour> <mday>*</mday> <month>*</month> <wday>*</wday> <who>root</who> <command></command>/usr/local/bin/checkreload.sh</cron>

4. Añade tu … dentro de la estructura <cron>...</cron>
5. Guarda tu config.xml
6. Cárgalo en tu pfSense (evidentemente esto reiniciará tu pfSense).

No sé qué pasará (con los crons) cada vez que con el configurador web toques tu config.xml. Puede que pierdas los cambios y tengas que volver a hacer "la receta". Hay que probarlo. Pero con "la receta" cada vez que tu pfSense se reinicie se reconfigurará con el último config.xml que tenga cargado.

Este "trapicheo" con config.xml puede emplearse para modificar otros comportamientos no previstos en la interfase web. Por ejemplo, para añadir más servidores DNS externos a pfSense que los que permite la interfase web.

Saludos,

Josep Pujadas

javerleo

Supongo que quieres hacer ping hacia WAN desde FUERA de tu red.

Crea una regla para WAN…

Pass, Interface: WAN, Protocol: ICMP, Source: (Restríngelo lo más posible).

Puedes activar el log para verificar e identificar el origen de los paquetes.

Cuando no requieras esta regla, deshabilítala.

Saludos.

Miguel Ángel Araujo
México

raiek,

Por favor, estas cosas en privado … sanchezluys no se merece una crítica como la que haces. Es uno de los miembros más activos de este fórum ...

Saludos,

Josep Pujadas

muchas gracias…. ya lo conseguí.... creo que lo hice de la segunda manera.... hahahaha ahora solo me falta bloquear el ares y el msn.... y kedo feliz :D

Muchas gracias

¡Hola!

Para conectarse a un VPN externo desde una máquina en la LAN basta con que el tráfico hacia la IP del servidor VPN y su puerto estén autorizados. Es como cualquier otro servicio al que vayas de Internet …

En la instalación que tengo vienen técnicos de mantenimiento y se conectan a la VPN de su empresa ...

Igual tu VPN tiene unos requisitos que no acabas de conocer. Indaga sobre ello.

Saludos,

Josep Pujadas

¡Hola de nuevo!

Tener un servidor SSH en la LAN para poder conectarte a él y, eventualmente, hacerlo con túneles que te permitan ir a otros servicios (RDP, VNC, …)

Si se tiene un servidor SSH en la LAN haremos NAT entrante en WAN para el puerto 22 hacia la IP del servidor SSH.  Si detrás de pfSense hay un router ADSL habrá que hacer en él (el router) NAT entrante para el puerto 22 hacia la IP de la WAN de pfSense.

En http://www.bellera.cat/josep/pfsense/nat_cs.html#forward tienes ejemplos …

Saludos,

Josep Pujadas

:) hola…

el hecho de no usar el traffic shapper no quiere decir que todo sea tan malo...

1. para el caso p2p lo mejor es bloquearlo con una regla, incluida en el tutorial de bellera
2. el captive portal funciona muy bien y sin problemas, y puedes mejorar la seguridad asignando ips fijas por mac con el dhcp server que trae el pfsense, otro punto importante es que el corte de conexion por fecha es muy util para administrar los accesos a internet
3. para el caso qos es un tema con tela para cortar, en mi caso considero que dejar a la disposicion el ancho de banda completo a todos los usuarios les da confianza al ver que sus paginas abren super rapido, es decir no existen clientes vip, todos son importantes de esta manera no discrimino un usuario de otro para darle mejor calidad de servicio; algo asi como servicio tarifa plana...
4. para el caso del squid, bellera recomienda colocar otro equipo con esta aplicacion instalada que sirva de proxy, esta opcion no la he probado, pero para este año se estará montando esta topologia, de seguro que funciona pues bellera asi la tiene

pues de esa forma si me sirve el msn,otra cosa puedo usar el pfsense solo para usar su portal captive

¡Hola!

Da este una consulta como instalo ese paquete en el pfsense

Si tienes pfSense instalado en disco duro te aparecerá en el menú la opción Packages … bastante intuitivo ...

Si tu versión es Embedded no tendrás paquetes. Si estás ejecutando LiveCD sin haber instalado en disco duro, tampoco.

Saludos,

Josep Pujadas

¡Hola!

He leido que hay ciertas características de pfsense que no funcionarán en modo de balanceo y tolerancia. ¿Qué me pueden decir al respecto?

El balanceo está pensado "inicialmente" para navegación. Comunicaciones que impliquen más de un puerto simultáneamente (FTP, por ejemplo) ocasionan problemas. La razón es bien simple. Los canales pueden acabar yendo por un lado y por otro, con lo que el resultado es imprevisible. Espero haberme explicado.

Específicamente, ¿funcionará el limitador de caudal (trafic shapper) con la configuración de balanceo?

No he hecho pruebas pero, por lo que he leído, NO. El regulador de caudal trabaja con parejas LAN-WAN. No he visto ejemplos con un pool de balanceo … Siempre queda probar a ver si es posible ...

El modelamiento de ancho de banda es muy útil, por ejemplo, para dar menos prioridad al tráfico P2P, pero ¿ qué pasa si quiero limitar el ancho de banda por IP o por MAC, o por una combinación única de las dos características? ¿Es esto posible con pfsense?

El asistente del regulador de caudal es sólo eso, un asistente. Esto quiere decir que puedes crear tus propias reglas y colas, siempre que respetes la estructura de colas madres e hijas. O sea que la respuesta es que SÍ puedes …

Cuando reviso el status del balanceo de carga en la interaz Web observo que en el ítem de load balancing aparecen las tres interfases wan como "offline" (fondo rosado), lo que se contradice con los ítems de failover, que muestran sus respectivas interfases "online" (los tres enlaces están realmente en operación). ¿ Es este simplemente un bug de la interfaz Web o me muestra algún tipo de error de configuración o situación anómala?

No me queda claro. Creo recordar que en las últimas versiones de pfSense hay varios métodos de detección de actividad (ping, DNS, ….). ¿Cuál tienes seleccionado? En http://doc.pfsense.org hay algún artículo sobre balanceo. No puedo darte la dirección exacta porque ahora mismo no parece estar disponible la web.

Saludos,

Josep Pujadas

hola…  :)

*como esta el consumo de ancho de banda? en status-traffic shaper se observa consumo del ancho de banda completo ? (el que te ofrece tu proveedor de internet? 1M, 256k, 1.5M, 2 M)

en status - rrd graphs - traffics como ha sido el historial de consumo de ancho de banda?

es la mejor forma de saber si se esta saturando el consumo de ancho de banda, para saber si es en realidad el pfsense que falla o es la disponibilidad de ancho de banda que genera lentitud en las conexiones, que en la mayoria de los casos son fallas originadas por conexiones p2p tal como dice bellera...

hola que tal a todos los de el foro l averdad tengo el mismo problema de el amigo pero no veo la forma de solucionarlo soy nuevo en esto pues nates usaba brazilfw y pue esto me h aprecido muy interesante pero tengo bloquedo el msn lo que intentaba era bloquear los p2p y distribuir el ancho de banda

de ante mano gracias

hola…  :)

Los Acces Point (AP) vienen configurados por defecto para asignar a sus clientes la ip (192.168.1.x por lo general) ademas ellos vienen con opciones para control de usuarios, si colocas simplemente los AP a la tarjeta de red asignada en el pfsense para wi fi se generaran errores de paquetes con 2 servicios de DHCP corriendo (el del pfsense y el del AP)

configuraste el AP para que dejara que el pfsense administrara las conexiones?? (DHCP, gateway, DNS etc...)

¡Hola!

Puede ser que haya alguna interferencia, por error de pfSense o por error en tu configuración, entre el PF (Packet Filter) de las reglas de pfSense y el IPFW (IP Firewall) del portal cautivo.

Varios firewall son posibles en una misma máquina, http://www.freebsd.org/doc/en_US.ISO8859-1/books/handbook/firewalls.html, siempre que no entren en conflicto.

Esta es la característica aprovechada por pfSense para "añadir" el portal cautivo. Habría que investigar si alguna de las reglas de IPFW está afectando al resto del cortafuegos. Un estudio a fondo requiere ir a la consola SSH y emplear los comandos de PF y de IPFW para ver reglas, estados, etc.

No obstante tienes que tener presente que hasta que un usuario no pase su validación en el portal cautivo, éste le corta todo tipo de conexiones. Por tanto si rehaces las condiciones de tu portal cautivo, los estados en vigor se conservarán (ningún usuario debería perder las conexiones vigentes) pero en caso de tener un usuario validado que quiera realizar una nueva conexión lo lógico es que no pueda. Tendrá que validarse de nuevo, puesto que se ha reiniciado IPFW. Espero haberme explicado …

Saludos,

Josep Pujadas

Gracias por responder, paso a describir mi configuracion, en mi win 2000 server tengo definidas las zonas de mi dominio local tanto la directa como la inversa, como puerta de enlace tengo mi pfsense, como dns la misma dir del win 2000 server, no utilizo dhcp por q algunos de los usuarios, no autorizados a navegar, pueden cambiar sus configuraciones de red y usar este servicio. En mi pfsense tengo como dns primario a mi dns local y lo que hice ahora es agregar dns secundario de mi ISP, tambien tengo activada "Allow DNS server list to be overriden by DHCP/PPP on WAN" que tomaba los DNS que me da mi modem/router, no cambio el archivo host por que son de las pc's por que son 80 maquinas, bueno desp de este cambio voy a ver que sucede, saludos

la verdad no he podido probarlo por el tema de la cache en mi pfsense, al parecer es mas importante que deje navegar que bloquear esas aplicaciones, la verdad estoy como muy trizte con esta situacion