WAN интерфейс с /32

dTinside · Mar 9, 2022, 1:10 PM

Добрый день.
Столкнулся со следующей проблемой: развернул на VPS pfSense 2.4.5. IP и шлюз в разных подсетях, маска /32. Каким образом настроить WAN, если CLI не принимает 32 маску?
Пробовал править конфиг (/conf/config.xml) по аналогии с рабочими решениями с IP и шлюзом в одной подсети - не работает, при простом пинге вижу no route to host.

В чём секрет?

viktor_g · Mar 9, 2022, 1:12 PM

Установить 2.6.0

исправлено:
https://docs.netgate.com/pfsense/en/latest/releases/22-01_2-6-0.html#console-menu:

Console Menu
Fixed: Cannot configure WAN IP address with /32 CIDR mask via console menu #11581

Changed: Suppress kernel messages when loading dummynet and thermal sensor modules #12454

dTinside · Mar 9, 2022, 1:15 PM

@viktor_g у нас тонна клиентов с openvpn 2.4.*, поэтому я и ставлю именно эту версию, чтобы без труда экспортировать новые конфиг файлы без последующей правки (строки с cipher). Есть ли вариант с ручной настройкой?

dTinside · Mar 9, 2022, 8:34 PM

@dtinside
Отвечаю сам себе:

Указываем маску 31, шлюз просто пропускаем.
Переходим в Shell:

route add -host <АДРЕС_ШЛЮЗА> -iface <ИМЯ_ИНТЕРФЕЙСА, напр. vtnet0>
route add default <АДРЕС_ШЛЮЗА>

Пинг идёт, WEB интерфейс доступен. Маску на 32 можно поменять уже через WEB.

werter · Mar 12, 2022, 2:52 PM

@dtinside

развернул на VPS pfSense 2.4.5. IP

Там десятки фиксов после выхода 2.4.5.
Необновление выйдет боком в любом случае.
Лучше один раз поднапрячься, обновить пф и выдать новые настройки клиентам. Тем более, что прямо в вебке пф-а можно скачать готовый .exe для клиентов, к-ый установится у них почти в silent-режиме.

Отвечаю сам себе

Супер. А теперь перезагрузите этот пф.

dTinside · Mar 13, 2022, 4:55 AM

@werter
Если после указанных действий добавить шлюз и поменять маску на /32 через web-интерфейс, всё работает после перезагрузки, ведь в web-интерфейсе есть галочка "Use non-local gateway through interface specific route." (как в Shell указать этот ключ не нашёл).

По поводу обновлений соглашусь, но клиентов множество в разных городах, поэтому разом поменять у всех версию OpenVPN проблематично. СО временем перейдём, конечно.