• Categories
  • Recent
  • Tags
  • Popular
  • Users
  • Search
  • Register
  • Login
Netgate Discussion Forum
  • Categories
  • Recent
  • Tags
  • Popular
  • Users
  • Search
  • Register
  • Login

LAN to LAN routing

Scheduled Pinned Locked Moved Russian
15 Posts 3 Posters 8.3k Views
Loading More Posts
  • Oldest to Newest
  • Newest to Oldest
  • Most Votes
Reply
  • Reply as topic
Log in to reply
This topic has been deleted. Only users with topic management privileges can see it.
  • M
    McNet
    last edited by Mar 25, 2008, 3:45 PM

    Подскажите новичку, как из одной локалки в другую пакеты роутить?
    Есть локальная сеть с серверами, на них снаружи сделан проброс портов, хочется из основной локалки разрешить только определенный трафик к этим серверам, скажем, по 3389-му порту.
    Что-то я после линукса не очень понял, как форвардинг делается :(

    1 Reply Last reply Reply Quote 0
    • S
      Shraik
      last edited by Mar 25, 2008, 5:32 PM

      не совсем понял вопрос, но думаю надо смотреть в System|Static routes + firewall|rules

      1 Reply Last reply Reply Quote 0
      • D
        dvserg
        last edited by Mar 25, 2008, 6:29 PM

        А можно топологию сети подробнее?
        Не понятно то-ли одна, то-ли 2 локалки.

        SquidGuardDoc EN  RU Tutorial
        Localization ru_PFSense

        1 Reply Last reply Reply Quote 0
        • M
          McNet
          last edited by Mar 26, 2008, 1:57 PM

          Э-э, если LAN 2 LAN, то, соответственно, 2 LAN'а
          Интерфейсов, скажем, три: WAN, LAN, OPT1. Причем, OPT1 является чем-то вроде DMZ - снаружи в эту сетку проброшены порты, адреса, соответственно, приватные.
          Задача: Настроить роутинг из LAN в OPT1 с фильтрацией по портам, типа, из LAN можно обращаться к серверам в OPT1 только по портам 3389 и 443, а инициировать соединение из OPT1 в LAN невозможно.

          1 Reply Last reply Reply Quote 0
          • D
            dvserg
            last edited by Mar 26, 2008, 2:25 PM Mar 26, 2008, 2:15 PM

            На интерфейсе OPT1 настраиваем все нужные разрешения для LAN
            (Rules файрвола вкладка OPT1 : разрешить src <lan_subnet>, port <any>–-> dst <opt1subnet>port <service>)
            На стороне(вкладке) LAN в Rules делаем правила
            (разрешить src <lan_subnet>port any -> <opt1_subnet>port <service>+ gateway<opt1>)

            То есть с Лана указывает гейтвеем OPT1. Это по-моему называется policy-based rules.

            Скажите, а  что вы хотите за соединения из OPT1 в LAN?
            Все рулесы обычно прописываются _от_иточника, и все работает.
            Если вы хотите чтобы клиент из подсети OPT1 ходил  в LAN - нужно сделать так-же,
            то есть на стороне OPT1 прописываем правила со сменой гейтвея(который станет LAN), а на стороне LAN разрешаем трафик OPT1_subnet <anyport>-> LAN_subnet</anyport></opt1></service></opt1_subnet></lan_subnet></service></opt1subnet></any></lan_subnet>

            SquidGuardDoc EN  RU Tutorial
            Localization ru_PFSense

            1 Reply Last reply Reply Quote 0
            • M
              McNet
              last edited by Mar 28, 2008, 3:58 PM

              (разрешить src <lan_subnet>port any -> <opt1_subnet>port <service>+ gateway<opt1>)
              Что-то не могу я там произвольный gateway проставить - там комбобокс с моим общим gateway наружу, в инет - WAN.
              Целиком для сетки LAN опять же нельзя gateway по умолчанию прописать на OPT1, ибо он должен указывать в инет.
              А из ОРТ1 мне как раз и не нужно инициировать соединений никуда, только возвращать трафик уже установленных соединений.

              Да и, собственно, мне не разрешение.запрещение пакетов нужно, а РОУТИНГ. Может, я чего-то не понимаю в принципах работы Фри? В линуксе мне нужно было еще и форварды прописать в дополнение к разрешениям на вход и выход пакетов. Здесь не так? Или это где-то в другом месте задается?</opt1></service></opt1_subnet></lan_subnet>

              1 Reply Last reply Reply Quote 0
              • D
                dvserg
                last edited by Mar 28, 2008, 4:42 PM

                Дело в том, что рулесет сразу формирует двунаправленный канал ('keep state')
                Если он инициализируется клиентом, то по нему-же идут и обратные данные.
                Роутинг можно - меню System->Static routes

                SquidGuardDoc EN  RU Tutorial
                Localization ru_PFSense

                1 Reply Last reply Reply Quote 0
                • M
                  McNet
                  last edited by Mar 29, 2008, 10:57 AM

                  С обратным трафиком понятно - там все и так хорошо.
                  Я уже понял, где прокололся - тут по поднятию интерфейса не происходит автоматическойго добавления роута на сетку, в которую смотрит этот интерфейс :(
                  В линухе и винде добавил 172.16.1.1/16 интерфейсу - получи сразу дефолтовый роутинг на эту сетку в таблице. А тут - фигушки, пришлось ручками в статики прописывать.

                  1 Reply Last reply Reply Quote 0
                  • D
                    dvserg
                    last edited by Mar 29, 2008, 11:42 AM

                    У меня все получалось..
                    Когда я поднимал Opt1 Ethernet интерфейс, то весь трафик адресованный в подсеть этого интерфейса шел как надо. Единственное что мне пришлось сделать, так это policy-based правилами (с указанием другого гейтвея) заруливать почтовый и веб трафик во внешний инет с LAN, чтобы он шел через OPT1 подсеть.

                    SquidGuardDoc EN  RU Tutorial
                    Localization ru_PFSense

                    1 Reply Last reply Reply Quote 0
                    • M
                      McNet
                      last edited by Apr 2, 2008, 7:34 AM

                      Сопутствующий вопрос:
                      Можно ли в сем чудном дистре применять правила фаера, чтобы текущие соединения не отваливались? Это по дизайну веб-гуя такое или так сам pf работает? При попытке "Apply changes" напрочь отваливается аська и COM+ соединения между локалками - юзеры сразу поднимают визг, потому как между локалками роутится 1С :( Может, есть способ из командной строки применять правила без такого эффекта?

                      1 Reply Last reply Reply Quote 0
                      • D
                        dvserg
                        last edited by Apr 2, 2008, 7:37 AM

                        У меня ничего не отваливается Может железо слабое?

                        SquidGuardDoc EN  RU Tutorial
                        Localization ru_PFSense

                        1 Reply Last reply Reply Quote 0
                        • M
                          McNet
                          last edited by Apr 2, 2008, 12:56 PM

                          Cel 2.66 512M DDR, правда, грузится и работает с Transcend DOM 512, 6 х NIC, трафик маленький.
                          Учитывая, что нагружено только фаером с НАТом плюс ГУЙ - как-то странно

                          1 Reply Last reply Reply Quote 0
                          • D
                            dvserg
                            last edited by Apr 2, 2008, 1:13 PM

                            P2-500/128/4G
                            Постоянно работают терминалные сессии на удаленный сервер в Москве. При изменении правил отвалов не замечено.

                            SquidGuardDoc EN  RU Tutorial
                            Localization ru_PFSense

                            1 Reply Last reply Reply Quote 0
                            • M
                              McNet
                              last edited by Apr 2, 2008, 1:38 PM

                              Может, оно в момент записи на флешак тормозит и отваливает? Все-таки до скорости записи на винт DOM-у далеко :(

                              1 Reply Last reply Reply Quote 0
                              • D
                                dvserg
                                last edited by Apr 2, 2008, 1:42 PM

                                Может.. Вполне.

                                SquidGuardDoc EN  RU Tutorial
                                Localization ru_PFSense

                                1 Reply Last reply Reply Quote 0
                                15 out of 15
                                • First post
                                  15/15
                                  Last post
                                Copyright 2025 Rubicon Communications LLC (Netgate). All rights reserved.
                                  This community forum collects and processes your personal information.
                                  consent.not_received