[РЕШЕНО]Перенаправление трафика на конкрk

freak999

Не повезло вам, PPTP особый протокол. Он использует одновременно 1723 TCP порт и GRE протокол. Нужно прокинуть еще и GRE. Однако тоже не факт что заработает, тк PPTP на pfsense - больная тема

Ха, только заметил что Ext.port range - 80. Такая настройка однозначно неверная. Непонятно чего вы этим хотите добиться. Объясните нормально задачу,с нарисуйте схему.

Одна карта у меня для инета, вторая смотрит в локальную сеть. Нужно определенным машинам дать доступ в интернет(без использования прокси)
Вот мой конфиг

$ ifconfig
le0: flags=8843 <up,broadcast,running,simplex,multicast>metric 0 mtu 1500
	options=8 <vlan_mtu>ether 00:0c:29:01:98:f5
	inet6 fe80::20c:29ff:fe01:98f5%le0 prefixlen 64 scopeid 0x1 
	inet 192.168.1.1 netmask 0xffffff00 broadcast 192.168.1.255
	media: Ethernet autoselect
	status: active
le1: flags=8843 <up,broadcast,running,simplex,multicast>metric 0 mtu 1500
	options=8 <vlan_mtu>ether 00:0c:29:01:98:ff
	inet6 fe80::20c:29ff:fe01:98ff%le1 prefixlen 64 scopeid 0x2 
	inet 172.17.133.49 netmask 0xfffffc00 broadcast 172.17.135.255
	media: Ethernet autoselect
	status: active
lo0: flags=8049 <up,loopback,running,multicast>metric 0 mtu 16384
	inet6 ::1 prefixlen 128 
	inet6 fe80::1%lo0 prefixlen 64 scopeid 0x3 
	inet 127.0.0.1 netmask 0xff000000 
enc0: flags=0<> metric 0 mtu 1536
pfsync0: flags=41 <up,running>metric 0 mtu 1460
	pfsync: syncdev: lo0 syncpeer: 224.0.0.240 maxupd: 128
pflog0: flags=100 <promisc>metric 0 mtu 33204
ng0: flags=88d1 <up,pointopoint,running,noarp,simplex,multicast>metric 0 mtu 1500
	inet6 fe80::20c:29ff:fe01:98f5%ng0 prefixlen 64 scopeid 0x7 
	inet 10.100.24.106 --> 172.17.0.1 netmask 0xffffffff</up,pointopoint,running,noarp,simplex,multicast></promisc></up,running></up,loopback,running,multicast></vlan_mtu></up,broadcast,running,simplex,multicast></vlan_mtu></up,broadcast,running,simplex,multicast>

Eugene

@freak999:

Одна карта у меня для инета, вторая смотрит в локальную сеть. Нужно определенным машинам дать доступ в интернет(без использования прокси)

Это делается правилами на интерфейсе LAN.

freak999

@Evgeny:

@Mr.Aloof:

PS: Народ, вы издеваетесь? Если вы этого не знаете, для чего вам pfSense? Поставьте какой-нибудь D-link DIR-615 он стоит копейки, у него есть инструкция на русском…

+5
Я не думаю, что pfSense для новичков в сетевых делах.

Я быстро учусь, и есть где тэстить)

freak999

@Evgeny:

@freak999:

Одна карта у меня для инета, вторая смотрит в локальную сеть. Нужно определенным машинам дать доступ в интернет(без использования прокси)

Это делается правилами на интерфейсе LAN.

Тоесть NAT мне не нужен?

dvserg

Одна карта у меня для инета, вторая смотрит в локальную сеть. Нужно определенным машинам дать доступ в интернет(без использования прокси)

Варианта 2.
1. Используем прозрачный прокси squid с указанием избранных машин в опции "Bypass proxy"
2. Используем непрозачный прокси squid и на LAN разрешаем прохождение напрямую в интернет только для избранных машин. Остальные будут вынуждены настраивать себе прокси-сервер.

DasTieRR

@dvserg:

Одна карта у меня для инета, вторая смотрит в локальную сеть. Нужно определенным машинам дать доступ в интернет(без использования прокси)
Варианта 2.
1. Используем прозрачный прокси squid с указанием избранных машин в опции "Bypass proxy"
2. Используем непрозачный прокси squid и на LAN разрешаем прохождение напрямую в интернет только для избранных машин. Остальные будут вынуждены настраивать себе прокси-сервер.

Справедливости ради - есть и 3й вариант - просто разрешить на файерволе доступ только определённым IP.

dvserg

Справедливости ради - есть и 3й вариант - просто разрешить на файерволе доступ только определённым IP.

А, ну да.. ТЗ не внимательно читал. Ну мне простительно - на уме сплошные прокси и все, что с ними связано.

ЗЫ копать в 3 варианте.

freak999

@DasTieRR:

@dvserg:
Одна карта у меня для инета, вторая смотрит в локальную сеть. Нужно определенным машинам дать доступ в интернет(без использования прокси)
Варианта 2.
1. Используем прозрачный прокси squid с указанием избранных машин в опции "Bypass proxy"
2. Используем непрозачный прокси squid и на LAN разрешаем прохождение напрямую в интернет только для избранных машин. Остальные будут вынуждены настраивать себе прокси-сервер.
Справедливости ради - есть и 3й вариант - просто разрешить на файерволе доступ только определённым IP.

Этот вариант мне более приемлемый, если можно поподробнее…

dvserg

@freak999:

@DasTieRR:
@dvserg:
Одна карта у меня для инета, вторая смотрит в локальную сеть. Нужно определенным машинам дать доступ в интернет(без использования прокси)
Варианта 2.
1. Используем прозрачный прокси squid с указанием избранных машин в опции "Bypass proxy"
2. Используем непрозачный прокси squid и на LAN разрешаем прохождение напрямую в интернет только для избранных машин. Остальные будут вынуждены настраивать себе прокси-сервер.
Справедливости ради - есть и 3й вариант - просто разрешить на файерволе доступ только определённым IP.
Этот вариант мне более приемлемый, если можно поподробнее…

Стандартно настраиваем NAT / Nat reflection. А на LAN создаем правила только для указанных IP, остальным все запретить. (По первоначальной настройке читать WIKI и форум).

freak999

Сижу разбираюсь, но пока нет результатов((

freak999

А в "Firewall: NAT: Outbound" надо что топрописывать или только в "Firewall: NAT: Port Forward"?

DasTieRR

@freak999:

А в "Firewall: NAT: Outbound" надо что топрописывать или только в "Firewall: NAT: Port Forward"?

В нате есть дефолтное правлио, которое натит лан, дополнительно в стандартной ситуации добавлять ничего не надо, а по сабжу:

в правилах файервола
firewall - источник поле source - single ip address - указать IP которому можно в инет, порт назначения 80, либо создать алиас, куда забить список IP адресов, которым можно, тогда в поле алиас указать имя этих разрешённых адресов.

Ну и правило в самом низу - всем всё запретить, иначе пользователи вылезут в инет через дефолтное правило allow lan subnet to any

P.S. Ещё не забыть разрешить ICMP и ДНС, можно для всех.

freak999

@DasTieRR:

@freak999:

А в "Firewall: NAT: Outbound" надо что топрописывать или только в "Firewall: NAT: Port Forward"?

В нате есть дефолтное правлио, которое натит лан, дополнительно в стандартной ситуации добавлять ничего не надо, а по сабжу:

в правилах файервола
firewall - источник поле source - single ip address - указать IP которому можно в инет, порт назначения 80, либо создать алиас, куда забить список IP адресов, которым можно, тогда в поле алиас указать имя этих разрешённых адресов.

Ну и правило в самом низу - всем всё запретить, иначе пользователи вылезут в инет через дефолтное правило allow lan subnet to any

P.S. Ещё не забыть разрешить ICMP и ДНС, можно для всех.

Вообщем это все настраивается в Firewall: Rules LANа как я понимаю

DasTieRR

Вообщем это все настраивается в Firewall: Rules LANа как я понимаю

да

freak999

Так здесь у меня по дефолту ничего нету "Firewall: NAT: Port Forward"…

dvserg

@freak999:

Так здесь у меня по дефолту ничего нету "Firewall: NAT: Port Forward"…

Вам нужен NAT
http://ru.doc.pfsense.org/index.php/%D0%90%D0%B2%D1%82%D0%BE%D0%BC%D0%B0%D1%82%D0%B8%D1%87%D0%B5%D1%81%D0%BA%D0%B0%D1%8F_%D0%B3%D0%B5%D0%BD%D0%B5%D1%80%D0%B0%D1%86%D0%B8%D1%8F_%D0%BF%D1%80%D0%B0%D0%B2%D0%B8%D0%BB_NAT

freak999

Сори за то что недаю вам покоя.
Наверное мне это не под силу.
Буду себе потихоньку сам мудрить.

dvserg

@freak999:

Сори за то что недаю вам покоя.
Наверное мне это не под силу.
Буду себе потихоньку сам мудрить.

Портфорвард оставьте в покое он вам не нужен.
Вот тут Firewall: NAT: Outbound делается либо автоматически либо вручную правила.
Вот тут Firewall: Rules/WAN разрешаем

LAN net * * * *
Вот тут Firewall: Rules/LAN разрешаем
ICMP * * * * *
TCP/UDP * * * 53 (DNS) *
TCP/UDP 192.168.1.10 * * * *
TCP/UDP 192.168.1.20 * * * *
TCP/UDP 192.168.1.30 * * * *

freak999

Спс большое, потом попробую и отпишусь.

freak999

Вообщем все сделал как ты написал. Но инет не раздается. У меня еще прокси паралельно работает, оно же не будет давать сбой?
Вот скрины.

Только на втором скрине не стоит LAN net, а на pfsense поставил(не тот скрин кинул)

1.jpg_thumb

2.jpg_thumb