PfSense и КорбинаТелеком

TheRaven · Sep 26, 2008, 10:42 PM

Ситуация : провайдер подключает по ppptp vpn (т.е. ip, маска, dns, шлюз есть), но кроме того есть еще и локальный ip, маска и шлюз.
Хочется на WAN-интерфейсе видеть и те и другие адреса чтобы сделать роутинг для разделения интернета и бесплатных ресурсов провайдера

если было что-то аналогичное на форуме - дайте плз линк, в русском подфоруме ничего похожего не увидел

dvserg · Sep 27, 2008, 6:22 AM

@TheRaven:

Ситуация : провайдер подключает по ppptp vpn (т.е. ip, маска, dns, шлюз есть), но кроме того есть еще и локальный ip, маска и шлюз.
Хочется на WAN-интерфейсе видеть и те и другие адреса чтобы сделать роутинг для разделения интернета и бесплатных ресурсов провайдера

если было что-то аналогичное на форуме - дайте плз линк, в русском подфоруме ничего похожего не увидел

По умолчанию при поднятии VPN весь трафик роутится в него. Думаю копать нужно в сторону статических маршрутов и добавлять нужные.

TheRaven · Sep 27, 2008, 7:45 PM

это понятно
дык в том и дело что роутить НЕКУДА, у меня есть только адрес маска и шлюз от VPN, которые естественно отличаются от тех что dhcp выдает при подключении ПРОВОДА

Statskij · Sep 28, 2008, 7:59 AM

давай сюда ip адреса шлюза, днс и всего всего остального.

TheRaven · Oct 4, 2008, 8:29 PM

локалка левонет 10.202.40.0/21, шлюз на 17м IP
ДНСы 213.234.192.8 и 85.21.192.3

IP на интернет выдаются 93.81..

если ты мне сейчас будешь писать роутинг типо route -p add 10.202.40.0 mask 255.255.248.0 10.202.40.17 значит ты вопрос из первого поста точно не понимаешь :)

TheRaven · Oct 5, 2008, 8:19 PM

Для уточнения своей траблы :

вот что видно на WAN интерфейсе когда просто настраиваю на использование локалки провайдера

TheRaven · Oct 5, 2008, 8:22 PM

а хочется чтобы настроившись на PPPTP видеть свой IP интернета (93.81..), его шлюз и маску + то что на скрине т.е. чтобы VPN как бы стал еще одним виртуальным WAN-интерфейсом …

короче как на компьютере - физическое подключение через сетевую карточку и виртуальное по VPN, многие железные роутеры умеют, чем хуже m0n0wall и потомок его pfSense ?

agt · Oct 6, 2008, 11:52 AM

@TheRaven:

Ситуация : провайдер подключает по ppptp vpn (т.е. ip, маска, dns, шлюз есть), но кроме того есть еще и локальный ip, маска и шлюз.
Хочется на WAN-интерфейсе видеть и те и другие адреса чтобы сделать роутинг для разделения интернета и бесплатных ресурсов провайдера

если было что-то аналогичное на форуме - дайте плз линк, в русском подфоруме ничего похожего не увидел

Я как раз начал разбираться с PfSense, поэтому претендовать, что мои идеи правильные не могу… ;) , но мне видится так:
LAN - rl1
WAN - vlan0
OPT - rl0

Подразумевается, что rl0 - на локальные ресурсы Корбины ...

А дальше уже настраиваешь статические маршруты... Или пользуешься 3proxy - там очень хорошо производится разведение потоков данным по направлениям...

А ты уже PPTP настроил ? Напиши плз как... Что-то у меня не получается что-то, а что никак не пойму... :(

TheRaven · Oct 6, 2008, 1:52 PM

я пока сижу на моновале, ppptp там настроился вообще без каких бы то ни было проблем :

логин
пароль
IP и маска для внутренней сети провайдера (я взял те что мне по DHCP выдались когда к компу напрямую подключал провод)
IP VPN сервера

Ты мне три интерфеса написал, два их них физические, WAN и LAN, а третий что такое ? как его конфигурировать вообще … в m0n0 виртуальных интерфейсов вообще нет так что я с ними пока не встречался

dvserg · Oct 6, 2008, 2:19 PM

OPT это физический интерфейс который добавляется на физическое устройство. Я сам с PPTP на pfsense особо не разбирался, но скажу, что PPTP клиент доступен вроде только в настройках WAN.

agt · Oct 6, 2008, 5:02 PM

@TheRaven:

я пока сижу на моновале, ppptp там настроился вообще без каких бы то ни было проблем :

логин
пароль
IP и маска для внутренней сети провайдера (я взял те что мне по DHCP выдались когда к компу напрямую подключал провод)
IP VPN сервера

Понятно, я никак не мог понять, что нужно прописывать про адреса…

Ты мне три интерфеса написал, два их них физические, WAN и LAN, а третий что такое ? как его конфигурировать вообще … в m0n0 виртуальных интерфейсов вообще нет так что я с ними пока не встречался

Физические - это как раз rl0 и rl1, виртуальный - это vlan0. LAN, WAN, OPT - обозначение типов сетей, как я понимаю для обозначения их роли для файервола…
Их связь настраивается сразу же в процессе установки.

Спрашивают будешь ли создавать интерфейс виртуальной сети, если да то просят обозначить на базе какого реального интерфейса будешь его создавать и номер сети - указываешь rl0 и 1 - получается интерфейс vlan0. Потом отказываешься от продолжения установки виртуальных сетей.
Предлагают указать какой интерфейс соответствует LAN - указываешь rl0.
Предлагают указать какой интерфейс соответствует WAN - указываешь vlan0.
Предлагают указать какой интерфейс соответствует OPT - указываешь rl1. Потом отказываешься от продолжения установки интерфейсов OPT.

В результате у тебя получается то, что я тебе писал:
LAN - rl1
WAN - vlan0
OPT - rl0

rl0 и rl1 - это видимо конкретно у меня, потому что у меня карточки реалтековские... Но там в процессе настройки появится список имеющих сетевых устройств с этими названиями и MAC-адресами...
vlan0 - это, как я понимаю, обозначение под виртуальный интерфейс получающийся из PPTP или PPOE

TheRaven · Oct 6, 2008, 7:59 PM

опаньки, спасибо, будем пробовать
главное чтобы на OPT1 можно было вписать не только IP и маску, но и шлюз т.к. роутить куда-то же нужно.

p.s. насколько скоро планируется выход версии с несколькими WAN'ами ? цены б не было тогда этому роутеру.

agt · Oct 7, 2008, 4:30 AM

@TheRaven:

опаньки, спасибо, будем пробовать
главное чтобы на OPT1 можно было вписать не только IP и маску, но и шлюз т.к. роутить куда-то же нужно.

Вписать можно, вполне полноценный интерфейс… Впрочем у Корбины это ведь по dhcp дается...

p.s. насколько скоро планируется выход версии с несколькими WAN'ами ? цены б не было тогда этому роутеру.

Эт точно, эт да… 8)

TheRaven · Oct 7, 2008, 9:15 PM

IP я себе статику прописываю вместо dhcp ибо держу внутрисетевые сервера разные :)

кстати еще вопросик - на hdd pfSense ставиться так же как и m0n0wall, через physdiskwrite ?
образ как я понял меня "Embedded" интересует а не лайв-сидишный

agt · Oct 12, 2008, 8:29 AM

Разобрался… :(
Похоже я попал ногами в жир со своими объяснениями... :-[

В общем так:

vlan0 - это физический интерфейс, который поднимается как бы в параллель с реальным интерфейсом … Подробнее не буду - Гугль рулит... Во всяком случае никакого отношения к PPTP он не имеет категорически...
К сожалению, в pfSense нет штатного PPTP-клиента, только PPTP-сервер... :( Это написано в [url=http://forum.pfsense.org/index.php?topic=4585.0;prev_next=next]http://forum.pfsense.org/index.php?topic=4585.0;prev_next=next, да и сам я пришел к тем же выводам…
Поднять PPTP и L2TP клиента можно с помощью mpd4, соответствующий дистрибутив в пакетах pfsense имеется (http://files.pfsense.com/packages/net/mpd4-4.0b4.tbz), настройки описаны в http://help.corbina.net/internet/install/freebsd/. Возможно потребутся в дополнение к описанной настройке откорректировать файл mpd.links (исправить имя VPN-сервера Корбины).
К сожалению, после подъема PPTP-соединения, оно ложится на интерфейс ng0, который надо открыть для файервола. Проблема в том, что с помощью Web-интерфейса pfSense сделать это нельзя … :( Только с помощью командной строки... И проброс портов надо будет делать также...

Так что я, волей-неволей, а видимо придется использовать внешнюю железку, как написано в http://help.corbina.net/internet/equipment/ … :(

Если кто-нибудь посоветует как сделать, чтобы настраивать pf для интерфеса ng0 через Web буду очень признателен... :)

agt · Oct 12, 2008, 8:33 AM

@TheRaven:

IP я себе статику прописываю вместо dhcp ибо держу внутрисетевые сервера разные :)

кстати еще вопросик - на hdd pfSense ставиться так же как и m0n0wall, через physdiskwrite ?
образ как я понял меня "Embedded" интересует а не лайв-сидишный

Я ставил на винт с помощью "лайв-сидишного" образа…
Загрузился с него, а затем выбрал пункт меню 99, а дальше все понятно. Если надо, то после установки можно отключить с помощью Web-интерфейса видеокарту и клавиатуру. Получится почти что "Embedded" ... ;)

TheRaven · Oct 17, 2008, 5:40 PM

ну видеокарта шут с ней, клавиатура выбрасывается через биос …

больше интересно то что вы написали в прошлом сообщении, честно говоря я теперь совсем запутался - будет то что я хочу или нет ... в общем сяду и буду пробовать, по тому как мне что-то не очень хочется долго и упорно ждать версии в которой будет разрешено поднимать столько PPTP сколько нужно и на любых интерфейсах.

agt · Oct 23, 2008, 12:26 PM

@TheRaven:

ну видеокарта шут с ней, клавиатура выбрасывается через биос …

больше интересно то что вы написали в прошлом сообщении, честно говоря я теперь совсем запутался - будет то что я хочу или нет ... в общем сяду и буду пробовать, по тому как мне что-то не очень хочется долго и упорно ждать версии в которой будет разрешено поднимать столько PPTP сколько нужно и на любых интерфейсах.

Там возникает проблема с настройкой файервола pf. Насколько я понял ситуацию - правила для файервола формируются динамически из настроек pfSense в файл /tmp/rules.debug и далее загружаются с помощью команды pfctl -F /tmp/rules.debug. К сожалению, в pfSense НЕЛЬЗЯ указать при настройке файервола виртуальные сетевые интерфейсы (типа PPTP-туннеля), можно только физические (типа конкретной сетевой карты)… :(

Я, в качестве временного решения, подвесил еще одну (лишнюю) сетевуху и настроил ее на интерфейс WAN. Затем, после включения PPTP-соединения, настроил в скрипте изменять файл /tmp/rules.debug и запускать команду pfctl -F /tmp/rules.debug. Файл изменяется очень просто - вместо имени лишней сетевухи (например, rl3) подставляется имя интерфейса PPTP-туннеля (ng0). Типа вот так:
cat /tmp/rules.debug | sed 's/rl3/ng0/g' > /tmp/rules.debug.new
mv /tmp/rules.debug /tmp/rules.debug.new
pfctl -F /tmp/rules.debug

Запускаю я скрипт по крону каждые две минуты… На случай если в интерфейсе что-то надо поправить, чтобы после сохранения и загрузки новых правил эта операция проделывалась автоматически...

Правила файервола для WAN настроил так, чтобы в них не не упоминались адреса не нужного интерфейса (rl3)... А адреса нужного (ng0) - как раз, чтобы участвовали... ;)

Ну там скрипт посложнее получился... Ну это уже мои личные заморочки...

Но мне не нравится это решение... :( Если бы в pfSense можно было указывать при настройке файервола виртуальные сетевые интерфейсы я бы наверное обошелся... А так придется наверное ставить просто OpenBSD,,, И если уж мне надо редактировать правила файерволла - я лучше сделаю это сам, без красивого графического интерфейса. Изучить как настраивать файерволл лично мне нетрудно … Я посмотрел - в принципе все ясно... Как сделаю, если понравится и будет это интересно - отпишу...

В общем где-то так...

dvserg · Oct 23, 2008, 3:55 PM

При настройке из консольного меню какие-то виланы спрашивает Я никогда не пользовался - это не ваш вариант?

agt · Oct 24, 2008, 3:08 PM

@dvserg:

При настройке из консольного меню какие-то виланы спрашивает Я никогда не пользовался - это не ваш вариант?

vlan0, vlan1 и т.д. - это такая технология физически-виртуальных интерфейсов …. ;) Идея ее в том, что в Ethernet-пакет может добавляться еще одно поле (tag) по которому некоторые виды switch'ей, которые поддерживают 802,1q, могут отослать такой пакет в другую сеть (в отличие от пакета который проходит через основной физический интерфейс). Я собственно писал об этом немного выше...

В-общем это немного не про то что хотедлось автору ветки, да и мне тоже... :(