• Categories
  • Recent
  • Tags
  • Popular
  • Users
  • Search
  • Register
  • Login
Netgate Discussion Forum
  • Categories
  • Recent
  • Tags
  • Popular
  • Users
  • Search
  • Register
  • Login

PfSense и КорбинаТелеком

Scheduled Pinned Locked Moved Russian
60 Posts 12 Posters 43.0k Views
Loading More Posts
  • Oldest to Newest
  • Newest to Oldest
  • Most Votes
Reply
  • Reply as topic
Log in to reply
This topic has been deleted. Only users with topic management privileges can see it.
  • T
    TheRaven
    last edited by Feb 18, 2009, 8:13 PM

    читай тему с начала :) вся суть ее и состоит в том что пфсенса не видит обе сети

    1 Reply Last reply Reply Quote 0
    • W
      werter
      last edited by Feb 19, 2009, 8:34 AM

      А кто нибудь читал\пробовал попытку решения этой проблемы тут - http://trin-3-trin.livejournal.com/209046.html  ?? Вроде человек толково расписал ЧТО и КАК …

      Цитата :

      " upd4: Вроде бы нашел решение для сценария подключения, когда локалка провайдера (MAN) видна через статический ip, а интернет (WAN) - через туннель PPTP, так, чтобы локалка и интернет были видны одновременно. Это можно организовать через добавление на wan-интерфейс virtual ip (из диапазона адресов MAN) и переключения nat - outbound nat в режим AON (Advanced Outbound NAT). В этом режиме перед дефолтным правилом NAT, транслирующим все пакеты в туннель, ставится правило, транслирующее пакеты для локалки провайдера в тот предварительно созданный виртуальный ip. Вроде бы, работает, хотя точнее проверить не на чем. Да, еще прописать статические маршруты для других провайдерских сетей, если есть таковые в MAN. Вообще, интересно, что такой сценарий практически никогда не реализуется в западных продуктах и конфигах. Только точка-точка. Видимо, этот этап городских ethernet сетей они уже прошли. "

      1 Reply Last reply Reply Quote 0
      • S
        SB HidDeN
        last edited by Feb 20, 2009, 3:24 PM

        сам повторил подобное - работает со статикой…  DHCP - пока проблема...

        1 Reply Last reply Reply Quote 0
        • S
          Sonya
          last edited by Feb 21, 2009, 3:03 PM

          @werter:

          А кто нибудь читал\пробовал попытку решения этой проблемы тут - http://trin-3-trin.livejournal.com/209046.html  ?? Вроде человек толково расписал ЧТО и КАК …

          Опробовал, вроде как работает. Раз пять перечитал, пока въехал :), Только получается для каждой локальной подсети нужно создавать своё правило. Сами сети у меня добавляются в таблицу маршрутов при помощи скрипта. Самих маршрутов около 140 штук, вручную написать столько правил NAT просто нереально.

          1 Reply Last reply Reply Quote 0
          • L
            lhassa
            last edited by Feb 21, 2009, 8:08 PM Feb 21, 2009, 8:06 PM

            пока даже пробовать не буду, pfsense тем и хорош что это freebsd из коробки с удобным и достаточно функциональным интерфейсом, и донастраивать ее с помощью скриптов не совсем правильно
            так что пока использую там где прямой канал, без ppp

            я не понимаю что мешает разработчикам сделать все интерфейсы равноправными (отказаться от разделения на lan и wan) как в микротик
            в первую очередь жду от 2.0 именно этого функционала

            1 Reply Last reply Reply Quote 0
            • S
              Shraik
              last edited by Feb 22, 2009, 3:05 AM

              Проблема, вовсе не в том, что есть предопределенные LAN и WAN. Их идеологическое предназначение разделять Внешние и внутренние сети по отношению к ФАЙРВОЛУ.
              проблема состоит в том, как поднимаются внешние динамические интерфейсы. при поднятии происходит перекрытие родительского интерфейса, а нам хотелось-бы создания нового.
              Как вы понимаете делается это на уровне скриптов, потому, как во freebsd основной интерфейс никуда не девается. Он просто "прячется" от пользователя.
              Можно добавить этот спрятанный интерфейс поигравшись с файликом "interfaces_assign.php"
                заменить на

              Но система после этого работает несколько не стабильно. Надо допиливать дальше или менять процедуру создания динамического интерфейса

              1 Reply Last reply Reply Quote 0
              • S
                SB HidDeN
                last edited by Feb 22, 2009, 7:26 AM

                действительно…самое непонятное именно в этом... зачем скрывать родительский интерфейс, если он вполне может конфигурироваться отдельно... через тот же DHCP...
                по своему роду деятельности часто приходится смешивать разнородные ОС,
                в зависимости от задач... порадовало наличие гибких настроек,
                но при этом расстроило отсутствие некоторого основного функционала... ((
                еще не хватает описания внутренних функций реализованных через PHP...
                и реакций на события...(пропадание пинга, поднятие-падение интерфейса, + того же cron-a в GUI)

                1 Reply Last reply Reply Quote 0
                • S
                  Sonya
                  last edited by Feb 22, 2009, 8:26 AM

                  С настройками outbound NAT вроде определились, после некоторых нестандартных телодвижений с Virtual IP начинает работать.
                  А вот как быть с Port Forward, если надо какой-нибудь порт пробросить внутрь своей локалки? У кого-нибудь работает?
                  По идее всё правильно:
                  Interface WAN
                  External address - тот самый виртуальный IP, что создавали для NAT: Outbound
                  External port range и Local port поставил одинаковые, решил не выёживаться.
                  NAT IP - адрес компа в моей локалке.
                  Но не работает!
                  В Diagnostics -> Packet capture видно, что нужные пакеты в роутер прилетают. А вот дальше - нет. Нету их и в States.

                  1 Reply Last reply Reply Quote 0
                  • S
                    Sonya
                    last edited by May 27, 2009, 9:00 AM Feb 22, 2009, 8:19 PM

                    @agt:

                    загружаются с помощью команды pfctl -F /tmp/rules.debug.

                    загрузка через команду pfctl -f /tmp/rules.debug, в юниксе большие и маленькие отличаются.

                    Сейчас обошёлся всего двумя строчками, чтобы сделать два ната на локалку и инет. Поправил /tmp/rules.debug вместо

                    # Outbound NAT rules
                    nat on $ng0 from 192.168.6.0/24 to 10.0.0.0/8 -> 10.70.251.93/32
                    nat on $ng0 from 192.168.6.0/24 to 87.249.56.0/22 -> 10.70.251.93/32
                    skip-skip
                    nat on $ng0 from 192.168.6.0/24 to 89.222.128.0/17 -> 10.70.251.93/32
                    nat on $ng0 from 192.168.6.0/24 to any -> (ng0)
                    
                    

                    сделал

                    # Outbound NAT rules
                    nat on xl0 from 192.168.6.0/24 to any -> 10.70.251.93/32
                    nat on ng0 from 192.168.6.0/24 to any -> (ng0)
                    
                    

                    Загружаю через ssh модернизированный конфиг и запускаю pfctl -f /tmp/rules.debug
                    Всё работает до перезагрузки или первого изменения правил.

                    Так же расправился и с маппингом портов.

                    # NAT Inbound Redirects
                    rdr on xl0 proto { tcp udp } from any to 10.70.251.93/32 port { 801 } -> 192.168.6.1
                    rdr on xl0 proto tcp from any to 10.70.251.93/32 port { 3389 } -> 192.168.6.1
                    rdr on xl0 proto tcp from any to 10.70.251.93/32 port { 80 } -> 192.168.6.1
                    
                    

                    и брандмауэром

                    # User-defined rules follow
                    pass in quick on $lan from 192.168.6.0/24 to any keep state  label "USER_RULE: Default LAN -> any"
                    pass in quick on $wan reply-to (xl0 10.70.251.1) proto { tcp udp } from any to {  192.168.6.1 } port = 801 keep state  label "UER_RULE: NAT DC"
                    pass in quick on $wan reply-to (xl0 10.70.251.1) proto tcp from any to {  192.168.6.1 } port = 3389 keep state  label "USER_RUL: NAT RDP"
                    pass in quick on $wan reply-to (xl0 10.70.251.1) proto tcp from any to {  192.168.6.1 } port = 80 keep state  label "USER_RULE: NAT HTTP"
                    
                    

                    Осталось дело за малым, найти где в php этот конфиг генерится и внести нужные изменения.
                    Код, который генерит этот конфиг, скрывается в /etc/inc/filter.inc, вот в него и нужно внести необходимые изменения.
                    Может кто-нибудь разбирающийся в php поправит, чтобы можно было выбирать нужные интерфейсы в webgui и при этом генерился правильный /tmp/rules.debug?

                    PS: В приведённых примерах xl0 - локалка провайдера, а xl1 - домашняя локалка.

                    1 Reply Last reply Reply Quote 0
                    • H
                      Helfer_Panch
                      last edited by Feb 27, 2009, 9:10 AM Feb 27, 2009, 9:05 AM

                      Думаю будет нелишнем привести пример конфигурирования m0nowall, так сказать, с нуля. Постораюсь описать процесс для неопытных пользователей на банальном языке, тк таким пользователям очень тяжело понимать все абривиатуры используемые на форумах настройки.
                      Сам столкнулся с проблемой организации сети дома. Провайдером введена следующая схема подключения - мне выдается серый ip с которым я могу ходить по внутренним ресурсам и по ресурсам пиринга. Что бы воспользоваться инетом необходимо подключать VPN (PPTP), при этом появляется белый ip, думаю что структура схожая с корбиной.

                      За основу в данный момент взята версия мода 0.3b2, которую можно взять здесь, http://m0n0wall-mod.googlecode.com/.
                      Не кривя душой могу сказать, что версии 0.2 и 0.3b1 появиллись в ходе переписки с автором, для решения проблемы которая возникла у меня, за что ему ОГРОМНОЕ спасибо.

                      После загрузки m0n0wall определяете интерфэйсы и далее необходимо создать WAN eth.
                      Чтобы добавить WAN eth, подключите pptp и идите на страницу interfaces_assign.php. Когда добавите, перегрузите роутер.
                      В Outbound NAT включите галочку "Enable advanced outbound NAT" и сделайте правила для своей сети.
                      Одно правило для WAN дефолтное, и второе для WAN eth для локальной сети провайдера.
                      В Target ничего не пишите.

                      Для уменьшения головной боли опишу сам процесс создания правил.

                      Дефолтное правило создается очень просто:
                      Допустим вы для своей внутренней сети определили адресацию 192.168.1.0/24. В пункте Interface выбераем "WAN", далее Source прописываем "192.168.1.0/24", далее Destination выбираем "any", все остальные поля оставляем пустыми, жмем Save. Вот собственно и все с дефолтом.

                      Теперь правило для серой сети:
                      Сразу оговорюсь, что все правила для серой сети пишуться для тех же подсетей что и статические маршруты, иначе не будет работать…
                      Нажимаем на кнопку добавить правило, В пункте Interface выбераем "WAN eth", далее Source прописываем "192.168.1.0/24", далее Destination выбираем "Network", здесь же Address "указываем подсеть статического маршрута" например "172.16.0.0/12". Жмем Save.

                      После создания всех правил в данном пункте нажимаем кнопку Apply changes.

                      Переходим в Static routes и добавляем статические маршруты.

                      Теперь в настройках WAN прописываем имя пользователя и пароль. После этого должно все заработать.

                      Для проброса портов, допустим для пользования сетями P2P в активном режиме необходимо настроить портфорвардинг.
                      В данном случае я послупил следующим образом, заходим NAT->inbound и создаете правило:
                      Т.к в своем случае я пользуюсь сетью dc++ только в серой сети,мое правло выглядит следующим образом:
                      Interface "WAN eth", External address "interface address", Protocol "tcp/udp", External port range(указываем порт, который необходимо будет прописать в p2p клиенте) 31233-31233, NAT IP(прописываем IP внутреннего компа, на котором установлен клиент) для примера "192.168.1.157", Local port "31233". Жмете Save.
                      Если у вас несколько компов, которым нужен портфорвардин, то для каждого нужно указывать индивидуальный порт(ВАЖНО).

                      Чтобы портфорвардинг заработал, еще необходимо создать правила во вкладке RULES.
                      Для моего случая, опять же, заходим rules->WAN eth и жмем создать:
                      Action "pass", Interface "WAN eth", Protocol "TCP/UDP", Source "any", Source port range "any-any", Destination "lan subnet", Destination port range "31233-31233", жмем Save.

                      Незабываем про "apply changes"..

                      Думаю что после этого не должно возникать никаких проблем и все должно работать..

                      Если кому то интересно, могу описать насройку PPTP сервера для подключений из серой сети провайдера и интернета, хотя навверное и даже из внутренней сети..

                      Успехов вам господа, думаю моя работа будет востребвана и время потраченно не зря! (;

                      1 Reply Last reply Reply Quote 0
                      60 out of 60
                      • First post
                        60/60
                        Last post
                      Copyright 2025 Rubicon Communications LLC (Netgate). All rights reserved.
                        This community forum collects and processes your personal information.
                        consent.not_received