Da quanto ho iniziato a leggere è veramente un gran bel problema!?!
Grazie per i link.

NOn è esattamente quello che mi serve ma credo che sia l'unica strada…
Grazie.

Ho risolto il problema. era un problema col dhcp (rimesso apposto tramite la GUI di pfsense)
ti ringrazio molto per l'aiuto, magari posso postare un po di immagini per far capire che problema avevo.

Non so come fare per la videocache, però il problema dei log, se hai dato 777 al log, devi permettere l'accesso in lettura anche alle cartelle precedenti?

In virtuale è un po' complicato identificare le schede di rete. Quando ti chiede di identificarle faglielo fare automaticamente e quando ti chiede ad esempio LAN, tu scolleghi e ricolleghi il "cavo virtuale" dalle impostazioni di vmware e la stessa cosa la fai con le altre schede. Dopo che hai terminato ti assegnerà un ip sulla scheda LAN, basta che ti colleghi lì in dhcp e scrivi 192.168.1.1 e accedi all'interfaccia web…

RISOLTOOOOO!!!!
dopo vari tentativi di configurare IPsec, mi sono ributtato su OpenVPN e semplicemente cambiando il protocollo da UDP a TCP (e "checkando" Dynamic IP)  sono riuscito a connettermi!! Hurrà ;)
ovviamente ho preso sempre spunto da questo forum ;)

a presto ;)

@Ma.S.Caos.-:

…Per la seconda parte gli OTP credo che il prob. sia più del Client che di PF in quanto tipicamente queli apparati di tipo Token si interfacciano direttamente con OS e Browser per cui la gestione è demandata al OS più che a PF ameno che non mi sfugga un passaggio nella tua richiesta.

Grazie Matteo, ho gironzolato un po' e in effetti il problema e' di innescare in un generico sistema di autenticazione la richiesta di validazione password ad un terzo software che, guarda caso, ha anche il controllo della password generata con OTP…
Ho trovato qualcosa e sto aspettando un token e le istruzioni per implementare il tutto in un generico FreeRadius... pero' si tratta di un costruttore cinese e mi deve arrivare ancora tutto...

grazie ancora !!

Claudio

Con che ver. di Pf ti da quell'errore ?

Matteo

Se vuoi provare con OpenVPN prova con pf 2 … anche se in alpha alpha la parte di VPN è stata completamente riscritta e soprattutto la parte di OpenVPN (c'è tutta la parte di gest. cert. da web gui !!).

Il merito credo si di quel genio di Ermal ... è un mito !

Prova e fammi sapere.

Su pf 1.2 io le OVPN mi hanno sempre dato parecchi problemi per cui solo PPTP e IPSec !

Ciaoz.-

Matteo

Purtoppo è una delle funzioni di pf 2 … per ora non puoi fare molto

Matteo

Ciaoz.-

Se ho capito bene la cosa che chiedi con il solo PF non è fattibile ora come ora. In quanto devi discernere le chiamate non solo per puro IP ma anche per "stringa" del dominio da cui parte la richiesta. Ed ora come ora non è fattibile con il solo PF. So per certo che alcuni smenettoni sono riusciti a farlo ma con parecchio lavoro del loro e pacchi agg. da shell.

Ciaoz.-

In parte è vero: l'hardware incide abbastanza nelle prestazioni del sistema. CPU e schede di rete sono i componenti che maggiormente pesano sulla prestazione dell'intero sistema.
Molto dipende anche dalle schede di rete, a seconda che si usi una scheda da server oppure una classica intel 1000GT. Sono entrambe ottime schede, viaggiano alla stessa velocità magari, ma ovviamente quella da server ha molta piu' disponibilità e costa notevolmente di più, oltretutto potrebbe funzionare solo su slot pci-x

La VPN richiede un po' di potenza dalla CPU ma è anche vero che se non crei certificati più grandi di 2048 bit non dovresti aver problemi nemmeno con l'hardware che hai già.
CPU a parte io preferisco un sistema che abbia almeno 512Mb di RAM. Sul mio sistema dove ho attivi anche il proxy, la VPN, una DMZ per i client wireless e un altro paio di servizi ho 1Gb di RAM e nei giorni dove ho più carico il sistema si prende anche 80% della RAM.

Comunque con l'hardware che hai non dovresti aver problemi, forse la VPN farà un po' fatica per via della CPU ma credo che la velocità tutto sommato sarà sufficiente.

Ok abbiamo tutte le nostre conferme, con quella regola LAN pinga OPT1 ma non viceversa, allora il fulcro sono proprio le rules, sei proprio un grande Zanetti!!! ;););)

La modalità passiva è sempre problematica. Io stesso per ovviare tempo fa ad un problema analogo, cioè un mio server ftp dietro pfSense, ho dovuto abilitare un port forwarding in entrata di un certo range di porte che il server FTP usa in modalità passiva. Questo senza abilitare il NAT 1:1, anche perchè non avevo altri IP pubblici a disposizione.

Mi connettevo all'ip errato quando tentavo di accedere alla VPN da internet ..
dovevo connettermi al 192.168.1.2
Ora è OK :-)

ps.
Il Gateway sul server della LAN è come dici tu impostato sull' ip della LAN del firewall

Grazie !

Ciao Mascaos.

Ti disturbo ancora dopo un pò di tempo in quanto ancora non ho risolto il mio problema e vorrei chiederti cortesemente un pò del tuo prezioso aiuto.

Il problema te lo ricordo, è che dovrei far funzionare la VPN PPTP attraverso la connessione WAN (e da qui va già) e (a scelta o in caso di caduta della linea WAN) anche dalla linea OPT1.

Ho fatto milioni di prove, tutti i casi possibili, ma niente da fare.

Le due linee, una HDSL ed una ADSL configurate singolarmente sulla WAN (prima una e poi l'altra) concedono la VPN PPTP regolarmente.
Quando configuro la HDSL sulla WAN e la ADSL sulla OPT1, la WAN permette l'accesso in VPN correttamente ma la OPT1 si ferma alla verifica della password in corso restituendo poi l'errore 619.

Ti chiedo l'ultima cortesia: considerando che io abbia pfSense con patch fino ad oggi, quindi la pfSense-Full-Update-1.2.1-RC1-20081018-0540.tgz, semplicemente ad installazione appena terminata (quindi a configurazione pulita) potresti farmi in pochi passaggi un esempio di configurazione per permettere il funzionamento della PPTP anche sulla OPT1 ?
Mi sembrava di capire che a te funzionasse correttamente. Metti pure degli indirizzi IP di esempio.

Grazie se vorrai aiutarmi, sei la mia ultima speranza.

Luca

Anch'io ero interessato alla scadenza dell'utente dopo un toto di ore, e infatti ho pensato che l'unica cosa è usare il RADIUS, sempre che anche con esso si possa fare o se c'è bisogno di un'altra applicazione.

Dai raga, a chi ne sa più di noi dedicateci qualche minutino. Abbiamo voglia di imparare e magari possiamo creare dei riferimenti a chi verrà in seguito qui sul forum.

Grazie in anticipo a tutti

Speriamo in un intervento di qualche guru LiquiD_85  ;D

tecnicamente e' facile, ma se vuoi implementare una soluzione efficente e stabile devi almeno mettere un database…. noi abbiamo un cluster di mysql e 2 radius server ma e' stato tutt'altro che facile  !!!!

ps: non so se si puo autenticare tramite mac adress , credo di si ma ricordati che tranne in quel caso, dovranno sempre autenticarsi con pagina di captive portal. se poi ce l'autenticazione locale di pfsense o il radius e'  uguale !! sempre di li devono passare!!!!