[РЕШЕНО] Интернет PPTP VPN из Lan subnet

[zar0ku1]

rl0 - lan
rl1 - wan
ng0 - pptp
так?

[garald50]

@zar0ku1:

rl0 - lan
rl1 - wan
ng0 - pptp
так?

судя по распечатке ifconfig - да.

хотя в Status: Interfaces  rl1 - pptp

[zar0ku1]

@garald50:

судя по распечатке ifconfig - да.

хотя в Status: Interfaces  rl1 - pptp

забей на вебинтерфейс, больше верю ifconfig

так у тебя?

и нужно чтобы с компьютера (удаленного) можно было подключаться по rdp к компьютеру в локальной сети?

[garald50]

@zar0ku1:

@garald50:

судя по распечатке ifconfig - да.

хотя в Status: Interfaces  rl1 - pptp

забей на вебинтерфейс, больше верю ifconfig

так у тебя?

и нужно чтобы с компьютера (удаленного) можно было подключаться по rdp к компьютеру в локальной сети?

совершенно верно получается именно так и нужно именно это.

p.s. хотя физически есть прямая линия между pf и хостом в локалке прова. но почему-то - пингов нет
с хоста в локалке прова на pf.

[zar0ku1]

тогда покажи скриншот правил фаервола на ване

[garald50]

@zar0ku1:

тогда покажи скриншот правил фаервола на ване

[zar0ku1]

а где icmp чтобы пинговалось?
и покажи еще traceroute с компьютера до pfsense

[garald50]

@zar0ku1:

а где icmp чтобы пинговалось?
и покажи еще traceroute с компьютера до pfsense

на втором правиле proto сделал *
tracert с 172,20,3,9
прошу прощения за крокозябры вот tracert pf (172,26,62,5)

1    <1 ¬б    <1 ¬б    <1 ¬б  172.20.3.1

2    <1 ¬б    <1 ¬б    <1 ¬б  10.11.11.10

3     *        *        *     ЏаҐўл襭 Ё­вҐаў « ¦Ё¤ ­Ёп ¤«п § Їаб .

4     *        *        *     ЏаҐўл襭 Ё­вҐаў « ¦Ё¤ ­Ёп ¤«п § Їаб .

5     *        *        *     ЏаҐўл襭 Ё­вҐаў « ¦Ё¤ ­Ёп ¤«п § Їаб .

6     *        *        *     ЏаҐўл襭 Ё­вҐаў « ¦Ё¤ ­Ёп ¤«п § Їаб .

7     *        *        *     ЏаҐўл襭 Ё­вҐаў « ¦Ё¤ ­Ёп ¤«п § Їаб .

8     *        *        *     ЏаҐўл襭 Ё­вҐаў « ¦Ё¤ ­Ёп ¤«п § Їаб .

и вот tracert провайдерского шлюза pf (172,26,62,1)

’а ббЁаўЄ  ¬ аиагв  Є 172.26.62.1 б ¬ ЄбЁ¬ «м­л¬ зЁб«¬ Їал¦Єў 30

1     1 ms    <1 ¬б    <1 ¬б  172.20.3.1

2    <1 ¬б    <1 ¬б    <1 ¬б  172.26.62.1

’а ббЁаўЄ  § ўҐа襭 .

[zar0ku1]

А можно посмотреть route print с компьютера, там winXP, как я понял?

[garald50]

@zar0ku1:

А можно посмотреть route print с компьютера, там winXP, как я понял?

там 2003 Server
route print

IPv4 в Ў«Ёж  ¬ аиагв

‘ЇЁбЄ Ё­вҐадҐбў
0x1 …........................ MS TCP Loopback interface
0x2 ...00 1d 60 6d 78 c9 ...... Realtek RTL8168/8111 PCI-E Gigabit Ethernet NIC - Kerio WinRoute Firewall
0x10004 ...44 45 53 54 18 a0 ...... Kerio VPN adapter - Kerio WinRoute Firewall
0x10005 ...00 e1 25 10 28 40 ...... Realtek RTL8139 Family PCI Fast Ethernet NIC - Kerio WinRoute Firewall
0xa0006 ...00 53 45 00 00 00 ...... WAN (PPP/SLIP) Interface

===========================================================================
ЂЄвЁў­лҐ ¬ аиагвл:
‘ҐвҐў  ¤аҐб          Њ бЄ  бҐвЁ      Ђ¤аҐб и«о§       €­вҐадҐб  ЊҐваЁЄ 
          0.0.0.0          0.0.0.0      172.20.3.1      172.20.3.9    21
          0.0.0.0          0.0.0.0    192.168.2.194    192.168.2.194      1
        127.0.0.0        255.0.0.0        127.0.0.1        127.0.0.1      1
    169.254.61.0    255.255.255.0  169.254.61.191  169.254.61.191    20
  169.254.61.191  255.255.255.255        127.0.0.1        127.0.0.1    20
  169.254.255.255  255.255.255.255  169.254.61.191  169.254.61.191    20
      172.16.0.0      255.240.0.0      172.20.3.1      172.20.3.9      1
      172.20.3.0  255.255.255.224      172.20.3.9      172.20.3.9    20
      172.20.3.9  255.255.255.255        127.0.0.1        127.0.0.1    20
  172.20.255.255  255.255.255.255      172.20.3.9      172.20.3.9    20
      172.26.62.5  255.255.255.255      172.20.3.1      172.20.3.9    20
      192.168.1.0    255.255.255.0    192.168.1.50    192.168.1.50    20
    192.168.1.50  255.255.255.255        127.0.0.1        127.0.0.1    20
    192.168.1.255  255.255.255.255    192.168.1.50    192.168.1.50    20
    192.168.2.194  255.255.255.255        127.0.0.1        127.0.0.1    50
    192.168.2.255  255.255.255.255    192.168.2.194    192.168.2.194    50
    195.20.194.6  255.255.255.255      172.20.3.1      172.20.3.9      1
    195.20.194.22  255.255.255.255      172.20.3.1      172.20.3.9      1
    195.20.195.27  255.255.255.255      172.20.3.1      172.20.3.9      1
    195.20.195.94  255.255.255.255      172.20.3.1      172.20.3.9      1
        224.0.0.0        240.0.0.0  169.254.61.191  169.254.61.191    20
        224.0.0.0        240.0.0.0      172.20.3.9      172.20.3.9    20
        224.0.0.0        240.0.0.0    192.168.1.50    192.168.1.50    20
        224.0.0.0        240.0.0.0    192.168.2.194    192.168.2.194      1
  255.255.255.255  255.255.255.255  169.254.61.191  169.254.61.191      1
  255.255.255.255  255.255.255.255      172.20.3.9      172.20.3.9      1
  255.255.255.255  255.255.255.255    192.168.1.50    192.168.1.50      1
Ћб­ў­ и«о§:      192.168.2.194

Постоянные маршруты отсутствуют

[zar0ku1]

смущают некоторые маршруты, а если выключить впн на 2003 сервере, какой будет tracert до pfsense?

ну и до полноты картины какие параметры у ван интерфейса (не впн) 2003 сервера

[garald50]

@zar0ku1:

смущают некоторые маршруты, а если выключить впн на 2003 сервере, какой будет tracert до pfsense?

ну и до полноты картины какие параметры у ван интерфейса (не впн) 2003 сервера

IPv4 в Ў«Ёж  ¬ аиагв

‘ЇЁбЄ Ё­вҐадҐбў
0x1 …........................ MS TCP Loopback interface
0x2 ...00 1d 60 6d 78 c9 ...... Realtek RTL8168/8111 PCI-E Gigabit Ethernet NIC - Kerio WinRoute Firewall
0x10004 ...44 45 53 54 18 a0 ...... Kerio VPN adapter - Kerio WinRoute Firewall
0x10005 ...00 e1 25 10 28 40 ...... Realtek RTL8139 Family PCI Fast Ethernet NIC - Kerio WinRoute Firewall

===========================================================================
ЂЄвЁў­лҐ ¬ аиагвл:
‘ҐвҐў  ¤аҐб          Њ бЄ  бҐвЁ      Ђ¤аҐб и«о§       €­вҐадҐб  ЊҐваЁЄ 
          0.0.0.0          0.0.0.0      172.20.3.1      172.20.3.9    20
        127.0.0.0        255.0.0.0        127.0.0.1        127.0.0.1      1
    169.254.61.0    255.255.255.0  169.254.61.191  169.254.61.191    20
  169.254.61.191  255.255.255.255        127.0.0.1        127.0.0.1    20
  169.254.255.255  255.255.255.255  169.254.61.191  169.254.61.191    20
      172.16.0.0      255.240.0.0      172.20.3.1      172.20.3.9      1
      172.20.3.0  255.255.255.224      172.20.3.9      172.20.3.9    20
      172.20.3.9  255.255.255.255        127.0.0.1        127.0.0.1    20
  172.20.255.255  255.255.255.255      172.20.3.9      172.20.3.9    20
      192.168.1.0    255.255.255.0    192.168.1.50    192.168.1.50    20
    192.168.1.50  255.255.255.255        127.0.0.1        127.0.0.1    20
    192.168.1.255  255.255.255.255    192.168.1.50    192.168.1.50    20
    195.20.194.6  255.255.255.255      172.20.3.1      172.20.3.9      1
    195.20.194.22  255.255.255.255      172.20.3.1      172.20.3.9      1
    195.20.195.27  255.255.255.255      172.20.3.1      172.20.3.9      1
    195.20.195.94  255.255.255.255      172.20.3.1      172.20.3.9      1
        224.0.0.0        240.0.0.0  169.254.61.191  169.254.61.191    20
        224.0.0.0        240.0.0.0      172.20.3.9      172.20.3.9    20
        224.0.0.0        240.0.0.0    192.168.1.50    192.168.1.50    20
  255.255.255.255  255.255.255.255  169.254.61.191  169.254.61.191      1
  255.255.255.255  255.255.255.255      172.20.3.9      172.20.3.9      1
  255.255.255.255  255.255.255.255    192.168.1.50    192.168.1.50      1
Ћб­ў­ и«о§:          172.20.3.1

Џбвп­­лҐ ¬ аиагвл:
  ЋвбгвбвўгҐв

[zar0ku1]

Это не то что я просил :)

[garald50]

@zar0ku1:

Это не то что я просил :)

парараметры ван на 2003 сервере - 172,20,3,9/24
tracert до pf без впн

’а ббЁаўЄ  ¬ аиагв  Є 172.26.62.5 б ¬ ЄбЁ¬ «м­л¬ зЁб«¬ Їал¦Єў 30

1    <1 ¬б    <1 ¬б    <1 ¬б  172.20.3.1

2    1 ms    <1 ¬б    <1 ¬б  10.11.11.10

3    *        *        *    ЏаҐўл襭 Ё­вҐаў « ¦Ё¤ ­Ёп ¤«п § Їаб .

4    *        *        *    ЏаҐўл襭 Ё­вҐаў « ¦Ё¤ ­Ёп ¤«п § Їаб .

[zar0ku1]

Вот он нужный маршрут

172.16.0.0      255.240.0.0      172.20.3.1      172.20.3.9      1

почему у тебя уходит на 10.11.11.10?
я бы спросил у провайдера, дело тут 100% не в pfsense

[Eugene]

Подсети на сервере и pfSense не совпадают

172.16.0.0      255.240.0.0       172.20.3.1       172.20.3.9      1

и

rl1: flags=8843 <up,broadcast,running,simplex,multicast>metric 0 mtu 1500
        inet 172.26.62.5 netmask 0xffffff00 broadcast 172.26.62.255</up,broadcast,running,simplex,multicast>

При таком раскладе сервер должен считать, что pfSense в его сегменте, а pfSense видит сервер как хост в другом - бардак.

[garald50]

@Eugene:

Подсети на сервере и pfSense не совпадают

172.16.0.0      255.240.0.0       172.20.3.1       172.20.3.9      1

и

rl1: flags=8843 <up,broadcast,running,simplex,multicast>metric 0 mtu 1500
        inet 172.26.62.5 netmask 0xffffff00 broadcast 172.26.62.255</up,broadcast,running,simplex,multicast>

При таком раскладе сервер должен считать, что pfSense в его сегменте, а pfSense видит сервер как хост в другом - бардак.

По-моему ты неправ. 172.20.3.1 - провайдерский шлюз для 172.20.3.9. а шлюз он та то и шлюз чтобы решать в каком сегменте находится адрес назначения пакета

[Eugene]

@garald50:

@Eugene:

Подсети на сервере и pfSense не совпадают

172.16.0.0      255.240.0.0       172.20.3.1       172.20.3.9      1

и

rl1: flags=8843 <up,broadcast,running,simplex,multicast>metric 0 mtu 1500
        inet 172.26.62.5 netmask 0xffffff00 broadcast 172.26.62.255</up,broadcast,running,simplex,multicast>

При таком раскладе сервер должен считать, что pfSense в его сегменте, а pfSense видит сервер как хост в другом - бардак.

По-моему ты неправ. 172.20.3.1 - провайдерский шлюз для 172.20.3.9. а шлюз он та то и шлюз чтобы решать в каком сегменте находится адрес назначения пакета

Для того, чтобы из сети 172.16.0.0/12 попасть на 172.26.62.5 никакой шлюз использовать не нужно ибо 172.16.0.0/12 включает все хосты от 172.16.0.1 до 172.31.255.254

[garald50]

@Eugene:

@garald50:

@Eugene:

Подсети на сервере и pfSense не совпадают

172.16.0.0      255.240.0.0       172.20.3.1       172.20.3.9      1

и

rl1: flags=8843 <up,broadcast,running,simplex,multicast>metric 0 mtu 1500
        inet 172.26.62.5 netmask 0xffffff00 broadcast 172.26.62.255</up,broadcast,running,simplex,multicast>

При таком раскладе сервер должен считать, что pfSense в его сегменте, а pfSense видит сервер как хост в другом - бардак.

По-моему ты неправ. 172.20.3.1 - провайдерский шлюз для 172.20.3.9. а шлюз он та то и шлюз чтобы решать в каком сегменте находится адрес назначения пакета

Для того, чтобы из сети 172.16.0.0/12 попасть на 172.26.62.5 никакой шлюз использовать не нужно ибо 172.16.0.0/12 включает все хосты от 172.16.0.1 до 172.31.255.254

ушел читать википедию

думает_про_себя как так без шлюза?

[zar0ku1]

@garald50:

ушел читать википедию

думает_про_себя как так без шлюза?

потому что это подсеть
допустим у тебя сетка 192.168.0.0/24
компьютер 192.168.0.1 и 192.168.0.2 будут видеть друг друга без шлюза, только за счет броадкаста, так и тут