PfSense Блокирует трафик от Cisco
-
Схема сети
Диапазон локальной сети 192.168.1.1/24
IP адрес Cisco EPC3928 192.168.1.99 подключено в сеть через один из 4х портов в Lan сеть, DHCP выключен на борту 4 Гигабитных порта две карточки на 2,4 и 5 гГц + USb порт 2,0 (Cisco EPC3928 EuroDocsis 3.0 2-PORT Voice Gateway) досталась на халяву и планировалась использоваться для раздачи wi-fi в двух диапазонахВыявилась проблема через некоторое время по wi-fi доступ через LAN=>pFSense=>WAN=>Internet проподал если поставить на долгий пинг то снова всё начинало работать.
Диагностировать и выявить проблему не получается единственное в логах Diagnostics\States\States
обнаружилось
SYN_SENT:ESTABLISHED ip шлюза и всё! прошу совета в диагностике.
-
Доброе.
ПО на циске обновляли ?
Попробуйте в настройках правила fw на пф, касающегося циски, поиграться с TCP Flags и State type https://doc.pfsense.org/index.php/Asymmetric_Routing_and_Firewall_Rules
После изменения настроек reset states делайте. -
ПО на циске не обновлял т.к найти его сложновато.
А по поводу правил в фаерволе конкретно для неё не создавал.
Пока поставил флаги на весь tcp трафик на lan и wan интерфейсе, тестим дальше.Не помогло
-
Доброе.
Вел. логирование fw на пф и смотрите что он там блокирует и почему. -
Packets Bytes
LAN tcp 192.168.1.29:41340 -> 192.168.175.1:80 SYN_SENT:ESTABLISHED 5 / 8 300 B / 416 B
WAN tcp 192.168.175.36:12809 (192.168.1.29:41340) -> 192.168.175.1:80 ESTABLISHED:SYN_SENT 5 / 8 300 B / 416 B
LAN tcp 192.168.1.29:41341 -> 192.168.175.1:80 SYN_SENT:ESTABLISHED 5 / 8 300 B / 416 B
WAN tcp 192.168.175.36:3475 (192.168.1.29:41341) -> 192.168.175.1:80 ESTABLISHED:SYN_SENT 5 / 8 300 B / 416 BAug 9 19:22:56 WAN 192.168.175.1:80 192.168.175.36:12809 TCP:SA
Aug 9 19:22:57 WAN 192.168.175.1:80 192.168.175.36:3475 TCP:SAip wi-fi устройства 192.168.1.29 ip wan 192.168.175.36 ip шлюза провайдера 192.168.175.1 есть вебморда по 80 порту
-
Доброе.
Aug 9 19:22:56 WAN 192.168.175.1:80 192.168.175.36:12809 TCP:SA
Aug 9 19:22:57 WAN 192.168.175.1:80 192.168.175.36:3475 TCP:SAМил человек, я вам выше отписал ЧТО сделать.
Создайте явное правило для своей ви-фи на LAN, поставьте его выше всех и поигратесь TCP Flags и State type https://doc.pfsense.org/index.php/Asymmetric_Routing_and_Firewall_Rules
После создания правила и изменения настроек TCP flags - reset states делайте. И проверяйте.Не ленитесь.
-
Всё сделал по инструкции пока идёт тест только не понимаю причем тут правила для wi-fi точки у неё всё ровно нет nat это получается что у меня 20 человек сидят на wi-fi у которых проблемы с соединением а я прописываю правила только одной циске ?
-
Перепробовал много вариантов не помогло :'(
-
Доброе.
Скрины. Всего. -
Прям всего всего? всё что настраивал под циску уже снёс т.к ничего не помогло.
-
Доброе.
1. Что такое .175 - сеть ?2. На скрине ниже видно, что выделенное правило перекрывает нижнее. Поменяйте местами.
![2017-08-28 11_04_38.png](/public/imported_attachments/1/2017-08-28 11_04_38.png)
![2017-08-28 11_04_38.png_thumb](/public/imported_attachments/1/2017-08-28 11_04_38.png_thumb) -
Поменял, тестирую
-
Без изменений
-
Доброе.
Вкл. логирование fw на пф и смотрите. Может дело и не в пф. -
Посмотрел логи фаервола в них не единственного блока
Непонятным образом сам PFsense блокирует трафик LAN=>WAN
А доступ на LAN есть! -
Доброе.
Внимательно проверьте все еще раз - сетевые настройки циски и пф (постоянные маршруты, указанные шлюзы и т.д.), правила fw на пф и циске. Надампите пакеты на пф и циске, просмотрите надампленное в wireshark-е https://turbofuture.com/computers/How-to-Run-Wireshark-on-pfSense-Using-X11-Forwarding-Over-SSH -
Похоже проблема решилась. Удалил правила шейпера и пока полет нормальный. Случайно в голову пришло попробовать. Пока тестирую.
-
Проблему решил давно Отписываюсь может кому поможет .
Поигрался с настройками Wi-Fi а именно Fragmentation Threshold и RTS Threshold
и всё заработало (У себя выставил на 1500). Но потом появился странный глюк пакеты больше 1597 байт не проходили пришлось заного выставлять галочки в меню System\Advanced\Networking\ Hardware TCP Segmentation Offloading и Hardware Large Receive Offloading теперь всё работает. -
Добрый.
и всё заработало (У себя выставил на 1500). Но потом появился странный глюк пакеты больше 1597 байт не
проходилиВы ж выставили 1500 у себя, т.е. эффективный макс. размер пакета данных будет 1500-28=1472 байта. С чего бы
проходить от вас пакетам размером 1597?пришлось заного выставлять галочки в меню System\Advanced\Networking\ Hardware TCP Segmentation Offloading и Hardware Large Receive Offloading теперь всё работает.
Эти галки стоят по дефолту. И трогать их настроятельно не рекомендуется.
-
@werter Ну мало ли что не рекомендуется Но если это мешает жить то можно и перестроить. Кстати раньше пакеты разной длинны проходили а почему перестали не понятно.