Primero que nada pido perdón por no haber comunicado antes la solución de mi problema (deberia haberlo hecho antes).
Mi problema era la extensión del fichero de configuración *.ovpn , lo guardaba como txt!!!!! AAAAAAHHHHHHHHGGGGG!!!
Dadme un cachete, me lo merezco. Desde entonces que disfruto de OpenVPN, su estabilidad, seguridad… Gracias a todos por vuestros consejos.
Saludos, Xavi.

Saludos,
para el caso del error que continua dando el servidor pfsense en cuanto a las Ip v6 he estado revisando y encontre que en los equipos AP de la red wi fi conectados en la red lan del sistema tienen deshabilitado el soporte IP v6, para habilitarlo se necesitan algunas configuraciones que por ahora no entiendo, voy a realizar modificaciones en estos AP y les cuento luego los resultados…

:)

¡Hola!

Sí, los estados de las conexiones existentes se mantienen aunque cambies las reglas. Para gestionar los estados hay que ir a [Diagnostics] [States].

Saludos,

Josep Pujadas

Jose Angel,

¿Tu WAN es pública? Estás empleando un rango público …

¿Tienes un router ADSL? Si es así lo normal es que tu WAN sea un rango de direcciones privadas (lado LAN de tu router ADSL), a no ser que tu ISP te haya dado un juego de direcciones públicas.

¿No tendrás alguna regla en la WAN que provoque un lío con el tema de los DNS (puerto 53)?

Saludos,

Josep Pujadas

¡Felicidades!

¡¡¡ Bienvenido al "club" de pfSense !!!

:)

Saludos,

Josep Pujadas

Gracias Jchuerta. por ese dato…

Un Saludo....

¡Hola!

Supongo que con [Custom options], que sirve para poner los push que te interese:

http://www.bellera.cat/josep/pfsense/imatges/openvpn_server_edit_3.gif

http://openvpn.net/man-beta.html

Saludos,

Josep Pujadas

Gracias Josep por tu pronta respuesta (como siempre), en realidad queria nada mas confirmar que eso era asi, ya que justamente es lo que me interesa, aplicar restrincciones para p2p solamente en una interface, digamos que son usuarios normales, pero que esto no afectara a los usuarios de las otras interfaces, digamos que estos son premium y no tendran ninguna restriccion.
saludos

¡Hola!

A ver si lo entiendo bien. Estás hablando de un portal cautivo con pfSense, con usuario y contraseña para pasar por él.

Y lo que quieres es que tu portal cautivo reconozca además del usuario/contraseña (que debe ser personal e intransferible -como todos los usuario/contraseña-) la máquina asociada a ese usuario/contraseña para que el usuario/contraseña no se pueda emplear desde otra máquina.

En el portal cautivo tienes unos primeros acercamientos a la resolución de tu problema:

*** [Concurrent user logins], que permite asegurar que un usuario/contraseña sólo sirva para UNA conexión simultánea.
*** [Pass-through MAC], para poner MAC que se "saltan" el portal cautivo.
*** [Allowed IP addresses], para autorizar o denegar determinadas IPs en el portal cautivo.

Para ir más lejos tendrías que pensar en una autentificación con un servidor FreeRadius externo, cuestión prevista en el portal cautivo.

En http://www.onlamp.com/pub/a/onlamp/excerpt/radius_5/index1.html se explica cómo montar FreeRadius sobre FreeBSD. En la segunda página de este tutorial hay un usuario de prueba en el que parece (no lo he probado) que se controla la IP desde donde se conecta:

steve  Auth-Type := Local, User-Password == "testing"
       Service-Type = Framed-User,
       Framed-Protocol = PPP,
       Framed-IP-Address = 172.16.3.33,
       Framed-IP-Netmask = 255.255.255.0,
       Framed-Routing = Broadcast-Listen,
       Framed-Filter-Id = "std.ppp",
       Framed-MTU = 1500,
       Framed-Compression = Van-Jacobsen-TCP-IP

Si no tienes muchos usuarios no te merece la pena montar todo este tinglado. Simplemente asegúrate de dos cosas elementales en seguridad:

*** El usuario/contraseña es personal e intransferible. Legalmente es un tema "serio". Informa a tus usuarios de ello. Por su seguridad (y por la tuya).

*** No conviene que servicios tan dispares como el acceso al ordenador personal y el acceso a un servicio de portal cautivo tengan el mismo usuario/contraseña. Ya sé que esto es un engorro para usuarios y administradores, pero las "llaves maestras" son un mal asunto.

Saludos,

Josep Pujadas

Hola!

Teoricamente como dices es compatible y ademas desde la Release 6.1 de FreeBSD.

Prueba de entrar en el shell y ejecuta el comando dsmeg | more  o descargarte  este archivo  /var/log/system.log  y mirarlo con un editor de texto.

Igualmente, cerciorate que funciona correctamente la tarjeta de red.

Saludos

Hola, ya entiendo ahora si el camino a seguir.

Tenia desde hace tiempo esta duda, pero ya estoy ahora si suguro de lo que tengo que hacer.

Muchas gracias  ;D ;D ;D!!!

¡Buenas noches!

Estas cosas pasan, ya se sabe …

¡De nada!

¡Hasta otra!

Saludos,

Josep Pujadas

¡Hola!

WebGUI sólo está, por defecto, accesible desde la LAN.

Si quieres prohibir el acceso desde la LAN, pon una regla de bloqueo.

Por ejemplo, si bloqueas de LAN a LAN el puerto TCP 80 (o TCP 443 si has puesto tu WebGUI en modo https), nadie de la LAN podrá acceder a tu WebGUI.

Si después de esto (¡ojo, no actualices hasta estar seguro!) deseas dar permiso a una máquina de la LAN para acceder a tu WebGUI bastará que pongas por delante de la regla de bloqueo una que autorice el tráfico desde la IP de la máquina de administración hacia la IP de la LAN de tu pfSense en el puerto que tengas tu WebGUI.

Si deseas acceder desde la WAN a la WebGUI de pfSense creo recordar que hay que emplear un puerto que no sea ni el 80 ni el 443 y poner la regla de paso correspondiente …

Todo esto también es aplicable a la consola SSH (TCP 22) que tiene pfSense.

Y en caso de dudas, pinchar una máquina en el lado supuestamente problemático y probar que no haya ningún cabo suelto ...

Saludos,

Josep Pujadas

¡Hola!

Pienso que tendrías que usar la opción PPPoE en la interfase WAN (tu módem ADSL):

http://www.bellera.cat/josep/pfsense/config_base_cs.html#interfaces_WAN

Y, por supuesto, asegurarte que tu módem ADSL es compatible con FreeBSD 6.2:

http://www.freebsd.org/releases/6.2R/hardware-i386.html#MISC-NETWORK

El módem es visto como una tarjeta de red más, mediante el driver sbsh:

http://www.freebsd.org/cgi/man.cgi?query=sbsh&sektion=4&manpath=FreeBSD+6.2-RELEASE

No te puedo decir más porque nunca he realizado este montaje. No me gusta que las líneas telefónicas "entren" en los servidores. Las prefiero a parte, por razones de seguridad eléctrica.

Saludos,

Josep Pujadas

Hola Josep,

Ya he encontrado el fallo, como siempre en estos casos era una tontería.

En el interfaz WAN tenía marcada la opción "Block private networks" (la marqué porque los firewalls irán en un entorno con direcciones públicas). Esto me creaba una regla que me bloqueaba la sincronización CARP de los interfaces WAN.

Gracias por todo.

Un saludo.
Pablo

¡Hola!

Gracias por tus palabras de ánimo …

A ver, es sencillo lo que quieres hacer. Está en el tutorial.

*** Regla en la LAN que permita todo hacia la Wireless
*** Regla en la Wireless que permita todo hacia la LAN (aunque yo no haría esto, lo limitaría a los servicios que realmente tienes que usar):

http://www.bellera.cat/josep/pfsense/imatges/rules_Wireless_1.gif

Eso es todo. No necesitas NAT para nada aquí.

Gracias, me queda claro que no lo incluirán en la versión 1.2 y que tampoco está en la lista de prioridades. Entiendo perfectamente, ya que como dicen existen otros temas mucho más importantes.

Saludos, Maxi