Firewall rules для пакетов

dvserg

А теперь подробнее плиз про LAN У тебя получается LAN 185 подсеть, она одна и ты ее целиком хочешь зарулить на OPT - так?

Mailer

Да, LAN=192.168.185.0/24, она одна, хочу чтобы все запросы которые приходят из неё на шлюз(192.168.185.254) по порту 3128 заруливались СКВИДОМ на OPT1.

dvserg

@Mailer:

Да, LAN=192.168.185.0/24, она одна, хочу чтобы все запросы которые приходят из неё на шлюз(192.168.185.254) по порту 3128 заруливались СКВИДОМ на OPT1.

Вот так тогда

# Allow local network(s) on interface(s)
acl localnet src  192.168.185.0/255.255.255.0
tcp_outgoing_address 192.168.186.190 localnet

Mailer

Не работает. Вообще в смысле не работает. А вот если сделать так

acl localnet src  192.168.185.0/255.255.255.0
tcp_outgoing_address 192.168.187.190 localnet

то работает на ура через первый интерфейс.
:'( Куда еще можно глядеть? Какой из логов сквида?

dvserg

А через OPT вообще работает? Правила там какие нужны - сделаны?

Mailer

Э…. а какие правила там должны быть? Через первый-то интерфейс без всяких правил сквозит ведь.

Вот делаю для LAN правило - TCP * * => DEST * PORT 80 (HTTP) GW192.168.186.199
После этого из любого компа в сети напрямую инет шпарит через OPT1, если в браузере включить направление через прокси - нихрена не работает.

dvserg

@Mailer:

Э…. а какие правила там должны быть? Через первый-то интерфейс без всяких правил сквозит ведь.

Вот делаю для LAN правило - TCP * * => DEST * PORT 80 (HTTP) GW192.168.186.199
После этого из любого компа в сети напрямую инет шпарит через OPT1, если в браузере включить направление через прокси - нихрена не работает.

Тогда ой… хотя по идее все для работы есть

Вот только что проверил на squidNT и тачке с несколькими IP на одном интерфейсе - все замечательно работает, скорее всего дело в правилах фаера

Mailer

Ну так я тоже на Убунте запускал - всё прекрасно работало. Если бы на мой взгляд дело в сквиде было, я бы на форуме сквида спросил. Но тут явно чего-то не то с pfsense. Возможно на уровне ядра. Возможно я просто не могу сконфигурировать правильное правило.

dvserg

@Mailer:

Ну так я тоже на Убунте запускал - всё прекрасно работало. Если бы на мой взгляд дело в сквиде было, я бы на форуме сквида спросил. Но тут явно чего-то не то с pfsense. Возможно на уровне ядра. Возможно я просто не могу сконфигурировать правильное правило.

Ну это как раз легко проверить правилом *************** на OPT

Mailer

Болт. >:(
Надо заценить freesco. На первый взгляд - облегченный pfsense.