@ingjrmed said in Redireccionamiento interfaz TELMEX1:

Buenos días compañeros, estoy trabajando con un pfsense con las siguientes interfaces:

WAN 100baseTX <full-duplex> 187.x.x.x
LAN 100baseTX <full-duplex> 192.100.10.210
TELMEX1 100baseTX <full-duplex> 192.168.1.73
TELMEX2 1000baseT <full-duplex> 192.168.20.67

Tengo varias reglas del firewall y Nat para redireccionar puertos hacia los servidores en la interfaz WAN - funcionando bien
Esta el Squid funcionando bien por la salida TELMEX2 que es la default Gateway-perfecto hasta aqui
El detalle es que quiero asignar un equipo de la LAN para que salga por el TELMEX1 hago el redireccionamiento en el firewall HTTP selecciono la IP del equipo y asigno la interfaz TELMEX1 como salida en las reglas y aun sigo teniendo la conexion por defecto que es la TELMEX2.

Me hace falta hacer otro paso para que ese equipo salga directamente por esa gateway aparte de las reglas de firewall.

Pfsense 2.4.3-RELEASE (amd64)

Saludos.

Hola si se puede

Para eso debes entrar a Squid General Settings/Advanced Features/Custom Options
y agregar algo asi:

acl acl-network_servers src 192.101.91.0/24
tcp_outgoing_address 192.168.1.10 acl-network_servers

192.168.1.10 - es la IP del WAN 2 de mi fw

Busca, en la Documentación Oficial, con los Términos "IPSEC" y "VPN"

https://www.netgate.com/docs/pfsense/search.html?q=ipsec&check_keywords=yes&area=default

https://www.netgate.com/docs/pfsense/search.html?q=VPN&check_keywords=yes&area=default

También puedes Revisar/Buscar entre los videos disponibles: https://www.netgate.com/videos/

https://forum.netgate.com/topic/21817/recomendaciones-al-postear

Podrías, por favor, explayarte acerca de lo intentas realizar ?

A que te refieres con "vincular pfSense con Kaspersky" ?

@dbarraud Deberías usar DNS Resolver y deshabilitar DNS forwarder y la opción "Enable forwardind mode" en Services > DNS Resolver.

Te recominedo leas este tutorial https://www.tecmint.com/install-configure-pfblockerng-dns-black-listing-in-pfsense/

Avisa por favor si te sirve.
Saludos
Gabriel

Buenas Tardes amigo

Con respecto al nateo lo tengo de la siguiente forma y me esta funcionando en la comunicación entre los dos segmentos

0_1530909340610_f5e170f4-1405-4be9-8089-fbaf203dd5cc-image.png

Probé realizando una regla que va desde mi interfaz LAN2 hacia mi Domain Controler permitiendo todos los puertos y me funciono, la reservas estan procediendo sin problema amigo.

Muchísimas gracias

Para que los compañeros te puedan ayudar/orientar, tendrás que proveer mas información

https://forum.netgate.com/topic/21817/recomendaciones-al-postear

Diagrama/esquema de tu Red (lo mas Claro, Completo y Detallado posible) Capturas de Pantalla de la configuración de tu pfSense

De momento, en base a la información provista, sólo se te puede remitir a la documentación https://www.netgate.com/docs/pfsense/routing/connectivity-troubleshooting.html

Era lo que me imaginaba.

Muchas gracias, hablare con ellos para que se lo miren bien.

Hace como 12 años, cuando la moda era el Messenger de Windows y Skype entre otros chat, yo lo hacia con la ACL de tipo: "rep_mime_type" guiándome por el estándar MIME. Para el tema de youtube de puede ayudar en estos momentos.

Aunque ya cuando son API creo que van por puertos en específicos o url puntuales.

Saludos.

Se agradecen tan amables palabras.

Suerte consiguiendo ayuda con esa actitud.

Aqui te dice como hacerlo

http://pheriko.blogspot.com/2013/10/pfsense-2x-squidguard-redirector-warning.html

Eso pasa debido a que pfsense mantiene un plantilla de configuración base en el caso de la conf de integracion squid-squidguard

Saludos.

Como lo has hecho tu? Tienes pantallazos para ver como lo llevastes a cabo?
Ahora tienes una misma LAN, lo unico que se me ocurre en tu caso es crear ALIAS y e ir metiendo grupo1 grupo2 las IPS segun sus gateways y de ahi aplicarles las politicas de salida(gateway), o bien un poco mas extremo pero funcional x vlans y mas sencillo, esos 2 caminos veo.

Version de pfsense?
Pantallazos de tu solucion.

Saludos.

Lo que pasa es lo siguiente, omitamos por un momento el tema proxy (squid).

Cuando uno tiene N cantidad de wan, por ej wan1, wan2 y wan3, de diferentes ISP, tu puedes mediante las reglas de firewall, decirle a una VLAN o RED por que ISP va a salir. Puede hacer Balanceo simultaneo, puedes configurar contingencia (trigger) por ej: si wan 1 se cae, que se vaya por la 3 y luego por la 2. o viceversa. Junto con el Misceláneos que te han recomendado en el presente hilo. Todo esta bien.

El Detalle viene y te cambiar el escenario es cuando utilizas "Proxy Transparente" por que? por que al activarlo por defecto todo el trafico de navegacion (http, https, etc) Se va ir por el SQUID. Y al llegar al Squid el saldrá por su default gateway (del pfsense) es decir por wan1 o wan2 o wan3. Por una de ellas. Esto te mata enseguida las reglas de balanceo que pudieras tener con tus redes o con tus vlans.

Existen procedimientos ( no los he probado) para balancear a nivel de squid, pero es cuestión de ensayo y error y ver hasta que punto es factible. (en este hilo te colocaron una idea, y el link que yo te mande)

Que hago yo? cuando tengo redes grandes, de mas 200 usuarios, servidores, segmento DMZ, vlans, etc. Yo NO acostumbro a utilizar "Proxy transparente". Yo prefiero el proxy Autenticado (no transparente) y dedicado, es decir el squid en otro servidor bien sea en la lan o en la dmz, con pfsense o con otro linux, pero dedicado, es decir no lo uso (el squid) en el mismo Pfsense-perimetro.

Que ocurre con esto? Por defecto nadie, pero nadie (salvo el director y uno que otro gerente) me navega directo a internet. es decir que ajuro el usuario debe configurar Proxy para poder navegar.

El proxy dedicado al ser un servidor Mas en una red. X a nivel de Pfsense, allí si aplico política de balanceo o contingencia a nivel de regla de firewall. (ojo con el Balanceo https, ya es otro tema que te vas a conseguir mas adelante).

Al fin y al cabo, el proxy solo me va a regular el acceso a internet. Pero si algun usuario en especifico necesita salir por una WAN puntual (nat de salida, un ssh, un ftp, un ping, etc) es simple, no va por proxy para la URL que necesite llegarle, solo la Url si quiero ser paranoico.

Es cuestión de ver el escenario que mas te convenga.

Todo esta en probar, ensayo y error y por alli iras armando lo que mas te convenga.

@j-sejo1 said in FailOver/redundancia de PfSense:

Si Pfsense A fallaba, el personal técnico tenia que ir al cuarto de datos simplemente a cambiar los cables (lan, wan y dmz) al pfsense B y listo. probamos 2 veces (contingencia simulada) y funciono. Hasta la fecha no se ha tenido una contingencia verdadera jejejeje, pero igual siempre realizamos fallas simuladas una vez al mes.

gracias por la data. Me suponia que era de esa manera.

ok entiendo pero bien raro entonces ya que el squid no debería bloquear el trafico LAN, ¿asumo que configuraste una GPO para que los clientes tengan Wsus como servidor de actualizaciones? revisa a que segmentos y a que interfaces estas escuchando por el squid

Fíjate esta línea de mi squid esta bloqueando una maquina que esta yendo directo a windowsupdate.com
27.06.2018 12:12:05 10.16.13.23 TCP_DENIED/407 http://ctldl.windowsupdate.com/msdownload/update/v3/static/trustedr/en/disallowedcertstl.cab?

Leyendo tu post con mas calma.

Veo que dices que "creaste el archivo: /usr/local/etc/logrotate.d/squid"

Por lo que se me ocurre que alguien por defecto te esta matando dicha configuración y es la que debes tener en el /etc/crontab esta tarea

0 0 * * * root /usr/local/sbin/squid -k rotate -f /usr/local/etc/squid/squid.conf

Estoy viendo donde podrá estar el asunto, ya que el rotate del cron es propio del squid, fijate que hace referencia al squid.conf y el squid.conf tiene su propio rotate

logfile_rotate 1

El cual es el que defines en la configuración del squid a nivel web en el panel del pfsense.

Creo que tu solucion es dejar la rotacion en blanco, ya que dice esto:

Defines how many days of logfiles will be kept. Rotation is disabled if left empty.

y alli deberia entrar en acción el tuyo siempre y cuando exista el proceso que es llamado mediante el cron.

Saludos.

Hola.. yo tengo un problema que parece ustedes no tuvieron.

Cree el Wsus (con los pasos que mencionan: GPO, etc.) pero cuando los clientes van a buscar sus actualizaciones; el PFsense no los deja pasar:

26.06.2018 19:47:07 172.23.240.56 TCP_MISS/200 http://172.23.240.30/selfupdate/wuident.cab? - 172.23.240.56

Me da este: TCP_MISS/200

Que podría ser???..

Hola

Si phase2 no funciona hay que ver los log del IPsec para saber cual es el problema