[РЕШЕНО] Интернет PPTP VPN из Lan subnet

[garald50]

@zar0ku1:

@garald50:

серый инет 10.16 и внутренняя локалка 192.168

жестокий провайдер

попробуй попинговать адрес 192.168.x.x. с другого айпи (локалки провайдера) сейчас рассматриваю проблему #2

стоп. 192.168.x.x. - это моя внутренняя подсетка, а не сетка прова. почему 192.168.x.x. должен пингваться из локалки прова?

[zar0ku1]

@garald50:

стоп. 192.168.x.x. - это моя внутренняя подсетка, а не сетка прова. почему 192.168.x.x. должен пингваться из локалки прова?

эм, ты меня не понял, у тебя ван статик и pptp, скажи их айпишники
или просто покажи ifconfig

[garald50]

@zar0ku1:

или просто покажи ifconfig

re0: flags=8802 <broadcast,simplex,multicast>metric 0 mtu 1500
        options=389b <rxcsum,txcsum,vlan_mtu,vlan_hwtagging,vlan_hwcsum,wol_ucast,wol_mcast,wol_magic>ether 00:24:1d:3c:63:7a
        media: Ethernet autoselect (10baseT/UTP <half-duplex>)
        status: no carrier
rl0: flags=8843 <up,broadcast,running,simplex,multicast>metric 0 mtu 1500
        options=8 <vlan_mtu>ether 00:80:48:61:3e:d0
        inet 192.168.0.16 netmask 0xffffff00 broadcast 192.168.0.255
        inet6 fe80::280:48ff:fe61:3ed0%rl0 prefixlen 64 scopeid 0x2
        media: Ethernet autoselect (100baseTX <full-duplex>)
        status: active
rl1: flags=8843 <up,broadcast,running,simplex,multicast>metric 0 mtu 1500
        options=8 <vlan_mtu>ether 00:80:48:19:7a:24
        inet 172.26.62.5 netmask 0xffffff00 broadcast 172.26.62.255
        inet6 fe80::280:48ff:fe19:7a24%rl1 prefixlen 64 scopeid 0x3
        media: Ethernet autoselect (100baseTX <full-duplex>)
        status: active
lo0: flags=8049 <up,loopback,running,multicast>metric 0 mtu 16384
        inet 127.0.0.1 netmask 0xff000000
        inet6 ::1 prefixlen 128
        inet6 fe80::1%lo0 prefixlen 64 scopeid 0x4
enc0: flags=0<> metric 0 mtu 1536
pfsync0: flags=41 <up,running>metric 0 mtu 1460
        pfsync: syncdev: lo0 syncpeer: 224.0.0.240 maxupd: 128
pflog0: flags=100 <promisc>metric 0 mtu 33204
ng0: flags=88d1 <up,pointopoint,running,noarp,simplex,multicast>metric 0 mtu 1500
        inet 10.16.32.173 –> 10.128.0.1 netmask 0xffffffff
        inet6 fe80::224:1dff:fe3c:637a%ng0 prefixlen 64 scopeid 0x8
ng1: flags=88d1 <up,pointopoint,running,noarp,simplex,multicast>metric 0 mtu 1396
        inet 172.26.62.5 --> 192.168.2.194 netmask 0xffffffff
        inet6 fe80::224:1dff:fe3c:637a%ng1 prefixlen 64 scopeid 0x9
ng2: flags=88d1 <up,pointopoint,running,noarp,simplex,multicast>metric 0 mtu 1396
        inet6 fe80::224:1dff:fe3c:637a%ng2 prefixlen 64 scopeid 0xa
        inet 172.26.62.5 --> 192.168.2.192 netmask 0xffffffff
ng3: flags=88d1 <up,pointopoint,running,noarp,simplex,multicast>metric 0 mtu 1396
        inet 172.26.62.5 --> 192.168.2.193 netmask 0xffffffff
        inet6 fe80::224:1dff:fe3c:637a%ng3 prefixlen 64 scopeid 0xb
ng4: flags=8890 <pointopoint,noarp,simplex,multicast>metric 0 mtu 1500
ng5: flags=8890 <pointopoint,noarp,simplex,multicast>metric 0 mtu 1500
ng6: flags=8890 <pointopoint,noarp,simplex,multicast>metric 0 mtu 1500
ng7: flags=8890 <pointopoint,noarp,simplex,multicast>metric 0 mtu 1500
ng8: flags=8890 <pointopoint,noarp,simplex,multicast>metric 0 mtu 1500
ng9: flags=8890 <pointopoint,noarp,simplex,multicast>metric 0 mtu 1500
ng10: flags=8890 <pointopoint,noarp,simplex,multicast>metric 0 mtu 1500
ng11: flags=8890 <pointopoint,noarp,simplex,multicast>metric 0 mtu 1500
ng12: flags=8890 <pointopoint,noarp,simplex,multicast>metric 0 mtu 1500
ng13: flags=8890 <pointopoint,noarp,simplex,multicast>metric 0 mtu 1500
ng14: flags=8890 <pointopoint,noarp,simplex,multicast>metric 0 mtu 1500
ng15: flags=8890 <pointopoint,noarp,simplex,multicast>metric 0 mtu 1500
ng16: flags=8890 <pointopoint,noarp,simplex,multicast>metric 0 mtu 1500</pointopoint,noarp,simplex,multicast></pointopoint,noarp,simplex,multicast></pointopoint,noarp,simplex,multicast></pointopoint,noarp,simplex,multicast></pointopoint,noarp,simplex,multicast></pointopoint,noarp,simplex,multicast></pointopoint,noarp,simplex,multicast></pointopoint,noarp,simplex,multicast></pointopoint,noarp,simplex,multicast></pointopoint,noarp,simplex,multicast></pointopoint,noarp,simplex,multicast></pointopoint,noarp,simplex,multicast></pointopoint,noarp,simplex,multicast></up,pointopoint,running,noarp,simplex,multicast></up,pointopoint,running,noarp,simplex,multicast></up,pointopoint,running,noarp,simplex,multicast></up,pointopoint,running,noarp,simplex,multicast></promisc></up,running></up,loopback,running,multicast></full-duplex></vlan_mtu></up,broadcast,running,simplex,multicast></full-duplex></vlan_mtu></up,broadcast,running,simplex,multicast></half-duplex></rxcsum,txcsum,vlan_mtu,vlan_hwtagging,vlan_hwcsum,wol_ucast,wol_mcast,wol_magic></broadcast,simplex,multicast>

[zar0ku1]

rl0 - lan
rl1 - wan
ng0 - pptp
так?

[garald50]

@zar0ku1:

rl0 - lan
rl1 - wan
ng0 - pptp
так?

судя по распечатке ifconfig - да.

хотя в Status: Interfaces  rl1 - pptp

[zar0ku1]

@garald50:

судя по распечатке ifconfig - да.

хотя в Status: Interfaces  rl1 - pptp

забей на вебинтерфейс, больше верю ifconfig

так у тебя?

и нужно чтобы с компьютера (удаленного) можно было подключаться по rdp к компьютеру в локальной сети?

[garald50]

@zar0ku1:

@garald50:

судя по распечатке ifconfig - да.

хотя в Status: Interfaces  rl1 - pptp

забей на вебинтерфейс, больше верю ifconfig

так у тебя?

и нужно чтобы с компьютера (удаленного) можно было подключаться по rdp к компьютеру в локальной сети?

совершенно верно получается именно так и нужно именно это.

p.s. хотя физически есть прямая линия между pf и хостом в локалке прова. но почему-то - пингов нет
с хоста в локалке прова на pf.

[zar0ku1]

тогда покажи скриншот правил фаервола на ване

[garald50]

@zar0ku1:

тогда покажи скриншот правил фаервола на ване

[zar0ku1]

а где icmp чтобы пинговалось?
и покажи еще traceroute с компьютера до pfsense

[garald50]

@zar0ku1:

а где icmp чтобы пинговалось?
и покажи еще traceroute с компьютера до pfsense

на втором правиле proto сделал *
tracert с 172,20,3,9
прошу прощения за крокозябры вот tracert pf (172,26,62,5)

1    <1 ¬б    <1 ¬б    <1 ¬б  172.20.3.1

2    <1 ¬б    <1 ¬б    <1 ¬б  10.11.11.10

3     *        *        *     ЏаҐўл襭 Ё­вҐаў « ¦Ё¤ ­Ёп ¤«п § Їаб .

4     *        *        *     ЏаҐўл襭 Ё­вҐаў « ¦Ё¤ ­Ёп ¤«п § Їаб .

5     *        *        *     ЏаҐўл襭 Ё­вҐаў « ¦Ё¤ ­Ёп ¤«п § Їаб .

6     *        *        *     ЏаҐўл襭 Ё­вҐаў « ¦Ё¤ ­Ёп ¤«п § Їаб .

7     *        *        *     ЏаҐўл襭 Ё­вҐаў « ¦Ё¤ ­Ёп ¤«п § Їаб .

8     *        *        *     ЏаҐўл襭 Ё­вҐаў « ¦Ё¤ ­Ёп ¤«п § Їаб .

и вот tracert провайдерского шлюза pf (172,26,62,1)

’а ббЁаўЄ  ¬ аиагв  Є 172.26.62.1 б ¬ ЄбЁ¬ «м­л¬ зЁб«¬ Їал¦Єў 30

1     1 ms    <1 ¬б    <1 ¬б  172.20.3.1

2    <1 ¬б    <1 ¬б    <1 ¬б  172.26.62.1

’а ббЁаўЄ  § ўҐа襭 .

[zar0ku1]

А можно посмотреть route print с компьютера, там winXP, как я понял?

[garald50]

@zar0ku1:

А можно посмотреть route print с компьютера, там winXP, как я понял?

там 2003 Server
route print

IPv4 в Ў«Ёж  ¬ аиагв

‘ЇЁбЄ Ё­вҐадҐбў
0x1 …........................ MS TCP Loopback interface
0x2 ...00 1d 60 6d 78 c9 ...... Realtek RTL8168/8111 PCI-E Gigabit Ethernet NIC - Kerio WinRoute Firewall
0x10004 ...44 45 53 54 18 a0 ...... Kerio VPN adapter - Kerio WinRoute Firewall
0x10005 ...00 e1 25 10 28 40 ...... Realtek RTL8139 Family PCI Fast Ethernet NIC - Kerio WinRoute Firewall
0xa0006 ...00 53 45 00 00 00 ...... WAN (PPP/SLIP) Interface

===========================================================================
ЂЄвЁў­лҐ ¬ аиагвл:
‘ҐвҐў  ¤аҐб          Њ бЄ  бҐвЁ      Ђ¤аҐб и«о§       €­вҐадҐб  ЊҐваЁЄ 
          0.0.0.0          0.0.0.0      172.20.3.1      172.20.3.9    21
          0.0.0.0          0.0.0.0    192.168.2.194    192.168.2.194      1
        127.0.0.0        255.0.0.0        127.0.0.1        127.0.0.1      1
    169.254.61.0    255.255.255.0  169.254.61.191  169.254.61.191    20
  169.254.61.191  255.255.255.255        127.0.0.1        127.0.0.1    20
  169.254.255.255  255.255.255.255  169.254.61.191  169.254.61.191    20
      172.16.0.0      255.240.0.0      172.20.3.1      172.20.3.9      1
      172.20.3.0  255.255.255.224      172.20.3.9      172.20.3.9    20
      172.20.3.9  255.255.255.255        127.0.0.1        127.0.0.1    20
  172.20.255.255  255.255.255.255      172.20.3.9      172.20.3.9    20
      172.26.62.5  255.255.255.255      172.20.3.1      172.20.3.9    20
      192.168.1.0    255.255.255.0    192.168.1.50    192.168.1.50    20
    192.168.1.50  255.255.255.255        127.0.0.1        127.0.0.1    20
    192.168.1.255  255.255.255.255    192.168.1.50    192.168.1.50    20
    192.168.2.194  255.255.255.255        127.0.0.1        127.0.0.1    50
    192.168.2.255  255.255.255.255    192.168.2.194    192.168.2.194    50
    195.20.194.6  255.255.255.255      172.20.3.1      172.20.3.9      1
    195.20.194.22  255.255.255.255      172.20.3.1      172.20.3.9      1
    195.20.195.27  255.255.255.255      172.20.3.1      172.20.3.9      1
    195.20.195.94  255.255.255.255      172.20.3.1      172.20.3.9      1
        224.0.0.0        240.0.0.0  169.254.61.191  169.254.61.191    20
        224.0.0.0        240.0.0.0      172.20.3.9      172.20.3.9    20
        224.0.0.0        240.0.0.0    192.168.1.50    192.168.1.50    20
        224.0.0.0        240.0.0.0    192.168.2.194    192.168.2.194      1
  255.255.255.255  255.255.255.255  169.254.61.191  169.254.61.191      1
  255.255.255.255  255.255.255.255      172.20.3.9      172.20.3.9      1
  255.255.255.255  255.255.255.255    192.168.1.50    192.168.1.50      1
Ћб­ў­ и«о§:      192.168.2.194

Постоянные маршруты отсутствуют

[zar0ku1]

смущают некоторые маршруты, а если выключить впн на 2003 сервере, какой будет tracert до pfsense?

ну и до полноты картины какие параметры у ван интерфейса (не впн) 2003 сервера

[garald50]

@zar0ku1:

смущают некоторые маршруты, а если выключить впн на 2003 сервере, какой будет tracert до pfsense?

ну и до полноты картины какие параметры у ван интерфейса (не впн) 2003 сервера

IPv4 в Ў«Ёж  ¬ аиагв

‘ЇЁбЄ Ё­вҐадҐбў
0x1 …........................ MS TCP Loopback interface
0x2 ...00 1d 60 6d 78 c9 ...... Realtek RTL8168/8111 PCI-E Gigabit Ethernet NIC - Kerio WinRoute Firewall
0x10004 ...44 45 53 54 18 a0 ...... Kerio VPN adapter - Kerio WinRoute Firewall
0x10005 ...00 e1 25 10 28 40 ...... Realtek RTL8139 Family PCI Fast Ethernet NIC - Kerio WinRoute Firewall

===========================================================================
ЂЄвЁў­лҐ ¬ аиагвл:
‘ҐвҐў  ¤аҐб          Њ бЄ  бҐвЁ      Ђ¤аҐб и«о§       €­вҐадҐб  ЊҐваЁЄ 
          0.0.0.0          0.0.0.0      172.20.3.1      172.20.3.9    20
        127.0.0.0        255.0.0.0        127.0.0.1        127.0.0.1      1
    169.254.61.0    255.255.255.0  169.254.61.191  169.254.61.191    20
  169.254.61.191  255.255.255.255        127.0.0.1        127.0.0.1    20
  169.254.255.255  255.255.255.255  169.254.61.191  169.254.61.191    20
      172.16.0.0      255.240.0.0      172.20.3.1      172.20.3.9      1
      172.20.3.0  255.255.255.224      172.20.3.9      172.20.3.9    20
      172.20.3.9  255.255.255.255        127.0.0.1        127.0.0.1    20
  172.20.255.255  255.255.255.255      172.20.3.9      172.20.3.9    20
      192.168.1.0    255.255.255.0    192.168.1.50    192.168.1.50    20
    192.168.1.50  255.255.255.255        127.0.0.1        127.0.0.1    20
    192.168.1.255  255.255.255.255    192.168.1.50    192.168.1.50    20
    195.20.194.6  255.255.255.255      172.20.3.1      172.20.3.9      1
    195.20.194.22  255.255.255.255      172.20.3.1      172.20.3.9      1
    195.20.195.27  255.255.255.255      172.20.3.1      172.20.3.9      1
    195.20.195.94  255.255.255.255      172.20.3.1      172.20.3.9      1
        224.0.0.0        240.0.0.0  169.254.61.191  169.254.61.191    20
        224.0.0.0        240.0.0.0      172.20.3.9      172.20.3.9    20
        224.0.0.0        240.0.0.0    192.168.1.50    192.168.1.50    20
  255.255.255.255  255.255.255.255  169.254.61.191  169.254.61.191      1
  255.255.255.255  255.255.255.255      172.20.3.9      172.20.3.9      1
  255.255.255.255  255.255.255.255    192.168.1.50    192.168.1.50      1
Ћб­ў­ и«о§:          172.20.3.1

Џбвп­­лҐ ¬ аиагвл:
  ЋвбгвбвўгҐв

[zar0ku1]

Это не то что я просил :)

[garald50]

@zar0ku1:

Это не то что я просил :)

парараметры ван на 2003 сервере - 172,20,3,9/24
tracert до pf без впн

’а ббЁаўЄ  ¬ аиагв  Є 172.26.62.5 б ¬ ЄбЁ¬ «м­л¬ зЁб«¬ Їал¦Єў 30

1    <1 ¬б    <1 ¬б    <1 ¬б  172.20.3.1

2    1 ms    <1 ¬б    <1 ¬б  10.11.11.10

3    *        *        *    ЏаҐўл襭 Ё­вҐаў « ¦Ё¤ ­Ёп ¤«п § Їаб .

4    *        *        *    ЏаҐўл襭 Ё­вҐаў « ¦Ё¤ ­Ёп ¤«п § Їаб .

[zar0ku1]

Вот он нужный маршрут

172.16.0.0      255.240.0.0      172.20.3.1      172.20.3.9      1

почему у тебя уходит на 10.11.11.10?
я бы спросил у провайдера, дело тут 100% не в pfsense

[Eugene]

Подсети на сервере и pfSense не совпадают

172.16.0.0      255.240.0.0       172.20.3.1       172.20.3.9      1

и

rl1: flags=8843 <up,broadcast,running,simplex,multicast>metric 0 mtu 1500
        inet 172.26.62.5 netmask 0xffffff00 broadcast 172.26.62.255</up,broadcast,running,simplex,multicast>

При таком раскладе сервер должен считать, что pfSense в его сегменте, а pfSense видит сервер как хост в другом - бардак.

[garald50]

@Eugene:

Подсети на сервере и pfSense не совпадают

172.16.0.0      255.240.0.0       172.20.3.1       172.20.3.9      1

и

rl1: flags=8843 <up,broadcast,running,simplex,multicast>metric 0 mtu 1500
        inet 172.26.62.5 netmask 0xffffff00 broadcast 172.26.62.255</up,broadcast,running,simplex,multicast>

При таком раскладе сервер должен считать, что pfSense в его сегменте, а pfSense видит сервер как хост в другом - бардак.

По-моему ты неправ. 172.20.3.1 - провайдерский шлюз для 172.20.3.9. а шлюз он та то и шлюз чтобы решать в каком сегменте находится адрес назначения пакета