Hier steht noch was dazu, bezog sich allerdings noch auf pfSense 1.2.1. Ist also schon etwas älter, ob das noch stimmt, weiss ich nicht:
http://forum.pfsense.org/index.php/topic,10800.msg60128.html#msg60128

Ich denke spätestens, wenn man 64 Bit Versionen nimmt … allerdings hört sich dein Problem so an, als würde es direkt mit LCDProc zusammenhängen.

Hi,

Installation auf USB-Stick ist möglich. Es handelt sich dann um eine "normale" Installation auf HDD. Mainboard-Bios muss in der Lage sein von USB zu booten, sonst macht es keinen Sinn.
Ich hatte diese Konstellation bei Version 1.2.3 und einem Board von Asus (G31 Chipsatz).
Sowie man allerdings Sachen benutzt die viel cachen z. B. Proxy, geht die Performance des Systems in den Keller. Man müsste also einen der schnellen (teuren) Sticks verwenden um diesen Effekt zu mildern.
Bei mir war es ein OZC Rally2 und allein das Update der Blacklist für Squidguard war schon immer zäh.
Vom Preis/Leistungsverhältnis fährt man mit einer kleinen 2,5" HDD wahrscheinlich am besten.

mfg.
Livinlight

Hallo,

deine LAN rule sollte den Verkehr ins OpenVPN zulassen. Als Gateway in dieser LAN Firewall rule sollte "*" stehen, so dass er in das OpenVPN routen kann.
Die Firewall an den Clients im OpenVPN sollte so konfiguriert sein, dass sie ICMP zulässt, evtl. testweise einmal deaktivieren ob das Routing klappt.

Hast du einmal mit tracert versucht festzustellen, bis zu welchem Punkt/Schnittstelle der Ping versendet wird und ab wann es Probleme gibt ?

Hi,

danke fuer die Antwort. Das habe ich nun auch rausgefunden… Mir wurde gesagt die ersten beiden und die letzten beiden sind fuer Zwecke des Providers, aber genau eine dieser IP's war dann die Gateway IP.

Wie einen so eine Aussage verwirren kann :)

Danke

elemay.

Hi,

du solltest bei deiner geforderten Bandbreite davon Abstand nehmen, die verschiedenen Subnetze (Mitarbeiter A und B, NAS usw.) direkt über pfsense laufen zu lassen. Normale PC-Hardware ist nicht dafür ausgelegt, so eine Bandbreite zu routen. Dazu nimmt man L3 routing switches (HP macht da feine Geräte).

Was die Sicherheit angeht, würde ich an deiner Stelle in Erwägung ziehen, mit Radius und Zertifikaten und darauf basierten Berechtigungen im Netzwerk zu arbeiten. Das lässt sich mit routing switches ohne Bandbreitenverlust gut realisieren.

Pfsense kannst du dann wunderbar für WAN, DMZ und WLAN benutzen. Denk übrigens daran, nicht nur einen, sondern zwei Rechner für pfsense zu organisieren, denn du willst sicher die ganze Sache auch noch per CARP redundant haben :-)

Ich würde pfsense übrigens nicht als Bastellösung bezeichnen. Das ist so ein deutsches Phänomen… wenn's nichts kostet / Open Source ist, kann's nicht taugen ;-)

Hallo,

an der pfsense sollte folgendes eingestellt sein:

WAN1 und WAN2, also 2 Interfaces für die PPPoE verbindung entsprechend konfigurieren. Die LAN Schnittstelle ebenfalls konfigurieren, bei Bedarf einen DHCP Server darauf aktivieren.
Weiterhin solltest du an der Firewall auf der LAN Schnittstelle eine Regel erstellen, die JEGLICHEN Verkehr zulässt, also any to any.
Dann solltest du an der pfsense unter SYSTEM-GENERAL SETUP die DNS Server eintragen. Jede WAN Schnittstelle sollte einen DNS Server haben, am Besten verschiedene. Gute DNS Server sind z.B. 8.8.8.8 und 8.8.4.4

Anschließend gehst du am besten unter Diagnostics und sendest Pings über beide WAN Schnittstellen an www.google.de oder 8.8.8.8/8.8.4.4 um zu testen, ob das Routing klappt bzw. die DNS Auflösung. Wenn das nicht geht, ist die pfsense schonmal nicht korrekt installiert. Wenns geht, ist es gut. Dann hängst du am sinnvollsten einen Laptop an die LAN Schnittstelle und testest dort, ob der Client ebenfalls ins Internet kommt. Wenn das klappt, ist es schonmal gut und wir kümmern uns ums LoadBalancing. Wenns nicht klappt, ist etwas an der pfsense faul.

LoadBalancing:
SYSTEM -> GATEWAY -> GROUPS
Dort fügst du beide WAN Schnittstellen mit jeweils TIER 1 hinzu.
Das bedeutet, WAN1 und WAN2 sind gleichberechtigt, machen Lastverteilung und beim Ausfall einer Leitung übernimmt die jeweils Andere.
Diese nun erstellte Gateway Gruppe musst du nun unter FIREWALL -> RULES -> LAN als "Gateway" eintragen.
Danach sollte LoadBalancing klappen und wenn du mehrfach hintereinander
www.pfsense.org/ip.php
oder
www.wieistmeineip.de
aufrufst, sollten die IP Adresse wechseln.

WICHTIG: Nicht jedes Protokoll (z.B. https) kann LoadBalancing, deswegen gehst du noch unter:
SYSTEM -> ADVANCED -> Misc und stellst dort: "Sticky Connections" an.
Undabhängig vom Protokoll gehört beim Load Balancing auch folgende Option eingeschaltet:
SYSTEM -> ADVANCED -> Misc und stellst dort: "Gateway Switching"

Viel Erfolg

Vielen Dank für die Ratschläge, aber leider bekomm ich es nicht zum Laufen.
Ich muß auch zugeben das mir das auch ein bisserl zu Hoch ist.
Auf der "assign Interface" Seite sind einige Begriffe mit denen ich nichts anfangen kann.
pfsense ist halt von Profis für Profis. Der Einstieg von einer Airport Extreme zu pfsense als Laie ist nicht leicht.
Sowas wie ne Basis Konfiguration wär da mal nicht schlecht, etwas das immer funktioniert… einen Ausgangspunkt!
und wenn das läuft kann man "stärker dran rumschrauben".

Hallo,

also ich can bisher nur positiv über thinclients mit PfSense berichten. Hatten im Büro noch einen HP T5720 Thin Client übrig, habe diesen mit dem Expansion Modul und einer 2. GBit Netzwerkkarte zu einer pfSense Firewall umgerüstet, läuft mit dem aktuellsten 2.0 embedded release einwandfrei! CPU auslastung bei 3 Rechnern im lokalen netz und 2 IPSec Clients die über den VPN ihre Emails abrufen bisher noch nie über 30-40% gewesen.

Den Zugang rein über MAC Adressen zu sperren geht meines Wissens aktuell nur mit dem CaptivePortal.
Die Adressen, die durch dürfen, denen gibst du ein "Pass through" und alle anderen werden automatisch auf die CaptivePortal Seite umgeleitet. Diese Seite kannst du anpassen wir du möchtest un dein persönliches "STOP" Schild zeigen lassen.

Ich habe mich für einen anderen Weg entschieden, nutze jetzt nicht mehr Squid als transparenten Proxy, sondern als Dienst für den Client, sodass dieser selbst seinen Browser konfigurieren muss. Damit hat der Client dann auch noch die Entscheidungsfreiheit, ob er einen zweiten im Subnetz befindlichen anderen Proxy nutzen will (Privoxy->gibts ja leider nicht als Paket für pfSense). Das kann man sehr gut mit Fli4l machen (http://www.fli4l.de/)

Vielleicht wird die Konfiguration noch erweitert, sodass die Proxykonfiguration per WPAD an die Clients verteilt wird.
So weit bin ich jetzt aber noch nicht.

Die standardmäßig eingerichteten Firewallregeln haben noch mehr konfiguriert,was in den Rules im Webinterface nicht auftaucht z.B. die für den Zugriff des Clients auf den DHCP Service.

Ich fänd es besser, wenn man alle automatisch eingerichteten Regeln auch im Webinterface wiederfinden würde, denn so muß ich bei Problemen und Ungereimtheiten an zwei Stellen nachschauen.

OK

vielen dank für die Infos

gibt's nun ja schon länger ;-)

Hallo,

das für die Such-Funktion:

eine /etc/rc.conf kann nicht benutzt werden, diese wird leider bei einem Reboot gelöscht.
nutze eine /etc/rc.conf.local und schreibe dort deine Scripte oder Befehle rein.

Das eigentliche Problem wird nun durch eine Rekonfiguration des LAGG (OPT2) gelöst.
Mit dem vorhandenen Script "/etc/rc.interfaces_opt_configure" das nun einfach durch die /etc/rc.conf.local noch einmal gestartet wird.
Und das dann wenn es auch richtig ist, wenn die VPN's stehen, wenn der Startvorgang abgeschlossen ist.

Gruß Schnoerkel