Netgate Discussion Forum
    • Categories
    • Recent
    • Tags
    • Popular
    • Users
    • Search
    • Register
    • Login

    Возможно ли обойти ограничение PF на 1 VPN соед.

    Scheduled Pinned Locked Moved Russian
    15 Posts 5 Posters 10.8k Views
    Loading More Posts
    • Oldest to Newest
    • Newest to Oldest
    • Most Votes
    Reply
    • Reply as topic
    Log in to reply
    This topic has been deleted. Only users with topic management privileges can see it.
    • D
      Dimix
      last edited by

      Говоря об ограничении я имелл в виду это ->
      http://devwiki.pfsense.org/PPTPTroubleShooting

      Необходимо чтоб роутер пропускал более 1-го VPN подключения ( в моём случае около 50) к одному серверу, имеющему 1 IP.

      1 Reply Last reply Reply Quote 0
      • E
        Eugene
        last edited by

        @zar0ku1:

        @Eugene:

        Это не проблема pfSense. Это теоретическое ограничение.
        Вариант решения существует только если есть несколько Public IP на WAN. В этом случае разные локальные IP можно выпускать с разными public IP позволяя коннектиться к одному и тому же удалённому IP.

        ограничения чего? шлюз freebsd 8.0 natd стандартный, за ним сидит офис, подключаются к впн серверу в другом офисе (шлюз freebsd 7.2)
        3 машины - 3 впн коннекта чяднт?

        pfSense
        LocalIP–-NAT to public IP---->------GREServerIP
        создаётся State LocalIP:GRE:GREServerIP
        Когда приходит обратный пакет GRE с GREServerIP на PublicIP и pfSense знает, куда его кидать - на LocalIP.

        Второй user:
                        pfSense
        LocalIP1---NAT to public IP---->------GREServerIP
        создаётся State LocalIP1:GRE:GREServerIP
        И того в таблице состояний имеем:
        LocalIP:GRE:PublicIP:GREServerIP
        LocalIP1:GRE:PublicIP:GREServerIP

        Приходит обратный пакет GRE с GREServerIP на Public IP и куда его pfSense должен кидать? он подпадает под два состояния.
        Как это обходится в Kerio?

        http://ru.doc.pfsense.org

        1 Reply Last reply Reply Quote 0
        • Z
          zar0ku1
          last edited by

          @Eugene:

          pfSense
          LocalIP–-NAT to public IP---->------GREServerIP
          создаётся State LocalIP:GRE:GREServerIP
          Когда приходит обратный пакет GRE с GREServerIP на PublicIP и pfSense знает, куда его кидать - на LocalIP.

          Второй user:
          pfSense
          LocalIP1---NAT to public IP---->------GREServerIP
          создаётся State LocalIP1:GRE:GREServerIP
          И того в таблице состояний имеем:
          LocalIP:GRE:PublicIP:GREServerIP
          LocalIP1:GRE:PublicIP:GREServerIP

          Приходит обратный пакет GRE с GREServerIP на Public IP и куда его pfSense должен кидать? он подпадает под два состояния.
          Как это обходится в Kerio?

          Эта проблема только у pf!
          следовательно автору топика дистрибутив pfSense не подойдет, пробуйте другие

          закрывайте темы, если ответ на ваш вопрос полон.
          если схема сложная - не поленитесь ее нарисовать

          1 Reply Last reply Reply Quote 0
          • E
            Eugene
            last edited by

            Да, с теорией я погорячился. Внутри GRE-header'а есть Key, которым можно в принципе играться, чтобы получить разные сессии между двумя IP. Видимо, так это и реализовывается там, где это работает, но pf этим делом не занимается.

            http://ru.doc.pfsense.org

            1 Reply Last reply Reply Quote 0
            • D
              Dimix
              last edited by

              @zar0ku1:

              @Eugene:

              pfSense
              LocalIP–-NAT to public IP---->------GREServerIP
              создаётся State LocalIP:GRE:GREServerIP
              Когда приходит обратный пакет GRE с GREServerIP на PublicIP и pfSense знает, куда его кидать - на LocalIP.

              Второй user:
              pfSense
              LocalIP1---NAT to public IP---->------GREServerIP
              создаётся State LocalIP1:GRE:GREServerIP
              И того в таблице состояний имеем:
              LocalIP:GRE:PublicIP:GREServerIP
              LocalIP1:GRE:PublicIP:GREServerIP

              Приходит обратный пакет GRE с GREServerIP на Public IP и куда его pfSense должен кидать? он подпадает под два состояния.
              Как это обходится в Kerio?

              Эта проблема только у pf!
              следовательно автору топика дистрибутив pfSense не подойдет, пробуйте другие

              Спасибо за помощь, жаль что нельзя реализовать это на PF , может в последних дистрибутивах авторы решат эту проблему.

              1 Reply Last reply Reply Quote 0
              • A
                Alexey12
                last edited by

                У меня сделано так:

                LAN -> ISA Server -> DMZ -> pfSense

                Клиенты из LAN при этом могут коннектиться к одному и тому же PPTP-серверу. Возможно, что это заслуга ISA, не знаю точно, но это работает.

                1 Reply Last reply Reply Quote 0
                • Z
                  zar0ku1
                  last edited by

                  @Alexey12:

                  У меня сделано так:

                  LAN -> ISA Server -> DMZ -> pfSense

                  Клиенты из LAN при этом могут коннектиться к одному и тому же PPTP-серверу. Возможно, что это заслуга ISA, не знаю точно, но это работает.

                  а можно по секрету, зачем pfsense если есть ISA?

                  закрывайте темы, если ответ на ваш вопрос полон.
                  если схема сложная - не поленитесь ее нарисовать

                  1 Reply Last reply Reply Quote 0
                  • A
                    Alexey12
                    last edited by

                    Использую схему с 2 фаерами и DMZ. В DMZ стоят несколько серваков. Сейчас просто хочу поменять Керио на pfsense. ISA аутентифицирует внутренних клиентов и принимает VPN-соединения. Одну ИСУ в интернет выставлять стрёмно.

                    1 Reply Last reply Reply Quote 0
                    • Z
                      zar0ku1
                      last edited by

                      @Alexey12:

                      Использую схему с 2 фаерами и DMZ. В DMZ стоят несколько серваков. Сейчас просто хочу поменять Керио на pfsense. ISA аутентифицирует внутренних клиентов и принимает VPN-соединения. Одну ИСУ в интернет выставлять стрёмно.

                      купить продукт за 60 тысяч и стремно выставлять в интернет?
                      P.S. /me ушел убиваться от зависти

                      закрывайте темы, если ответ на ваш вопрос полон.
                      если схема сложная - не поленитесь ее нарисовать

                      1 Reply Last reply Reply Quote 0
                      • A
                        Alexey12
                        last edited by

                        Можно сказать, досталось по наследству… впрочем, отказ от ISA тоже планируется. ISA "куплен" по типу Open Value Subscription.

                        1 Reply Last reply Reply Quote 0
                        • T
                          Tabu
                          last edited by

                          @Alexey12:

                          Можно сказать, досталось по наследству… впрочем, отказ от ISA тоже планируется. ISA "куплен" по типу Open Value Subscription.

                          Если я правильно понял - тебе нужно связать два офиса с разными серыми сетками и ты  хотел использовать РРТР соединение конечных пользователей одной сетки на впн-сервер в другой ??

                          Могу предложить другое решение, используй встроенный механизм IPSEC в пф-сенс, и свяжи сети двух офисов. Тогда каждый клиент с любой сети сможет видеть другую сеть (при необходимости).

                          1 Reply Last reply Reply Quote 0
                          • First post
                            Last post
                          Copyright 2025 Rubicon Communications LLC (Netgate). All rights reserved.