Netgate Discussion Forum
    • Categories
    • Recent
    • Tags
    • Popular
    • Users
    • Search
    • Register
    • Login

    FW interno y FW externo

    Scheduled Pinned Locked Moved Español
    16 Posts 2 Posters 6.3k Views
    Loading More Posts
    • Oldest to Newest
    • Newest to Oldest
    • Most Votes
    Reply
    • Reply as topic
    Log in to reply
    This topic has been deleted. Only users with topic management privileges can see it.
    • belleraB
      bellera
      last edited by

      ¿Es esto así?

      Interface LAN/ADMIN FW1 -> IP:10.75.26.1

      Interface LAN/ADMIN FW2 -> IP:10.75.26.2

      No pueden estar en el mismo rango.

      Tendría que ser algo así:

      26, 27, 28, 29 (LAN FW1) – 30 (WAN FW1) -- 30 (LAN FW2) --- 31 o Pública (WAN FW2) -- Internet

      (WAN FW1 y LAN FW2 comparten tramo)

      Recuerda que el tráfico de las VLAN tiene que llegar tageado a la inferfase de pfSense.

      Pon regla por defecto (autorizar todo) en LAN, VLAN1, VLAN2 y VLAN3 para probar.

      Desactiva el bloqueo de direcciones privadas en WAN FW1 (Block private networks) para poder llegar a FW2.

      _Más adelante (para afinar este último tema) tendrías que crear un alias que incluya los rangos de direcciones privadas, a fin de denegar el tráfico entrante de este tipo en WAN:

      Alias: RedesPrivadas 10.0.0.0/8, 172.16.0.0/12, 192.168.0.0/16, 127.0.0.0/8, 169.254.0.0/16
      Regla en WAN: X * RedesPrivadas * * * *

      Aunque parezca un contrasentido si en tus LANs admites el tráfico hacia FW2 la regla de denegación en WAN no tendrá efecto porque es para el tráfico que no estuviera expresamente autorizado en las LANs._

      1 Reply Last reply Reply Quote 0
      • S
        scumgen
        last edited by

        @bellera:

        ¿Es esto así?

        Interface LAN/ADMIN FW1 -> IP:10.75.26.1

        Interface LAN/ADMIN FW2 -> IP:10.75.26.2

        No pueden estar en el mismo rango.

        Tendría que ser algo así:

        26, 27, 28, 29 (LAN FW1) – 30 (WAN FW1) -- 30 (LAN FW2) --- 31 o Pública (WAN FW2) -- Internet

        (WAN FW1 y LAN FW2 comparten tramo)

        Recuerda que el tráfico de las VLAN tiene que llegar tageado a la inferfase de pfSense.

        Pon regla por defecto (autorizar todo) en LAN, VLAN1, VLAN2 y VLAN3 para probar.

        Desactiva el bloqueo de direcciones privadas en WAN FW1 (Block private networks) para poder llegar a FW2.

        _Más adelante (para afinar este último tema) tendrías que crear un alias que incluya los rangos de direcciones privadas, a fin de denegar el tráfico entrante de este tipo en WAN:

        Alias: RedesPrivadas 10.0.0.0/8, 172.16.0.0/12, 192.168.0.0/16, 127.0.0.0/8, 169.254.0.0/16
        Regla en WAN: X * RedesPrivadas * * * *

        Aunque parezca un contrasentido si en tus LANs admites el tráfico hacia FW2 la regla de denegación en WAN no tendrá efecto porque es para el tráfico que no estuviera expresamente autorizado en las LANs._

        Hola Bellera,

        Muchas gracias de nuevo por tu rapida respuesta, voy a probar lo que comentas. De todas formas he realizado nuevas pruebas para clarificar todo un poco:

        FW1:

        Ping a el mismo (OK):

        ping -S 10.75.26.1 10.75.26.1

        PING 10.75.26.1 (10.75.26.1) from 10.75.26.1: 56 data bytes
        64 bytes from 10.75.26.1: icmp_seq=0 ttl=64 time=0.108 ms
        64 bytes from 10.75.26.1: icmp_seq=1 ttl=64 time=0.061 ms
        ^C
        –- 10.75.26.1 ping statistics ---
        2 packets transmitted, 2 packets received, 0.0% packet loss
        round-trip min/avg/max/stddev = 0.061/0.084/0.108/0.024 ms

        Ping al interface de gestion (LAN) del FW2 (OK):

        ping -S 10.75.26.1 10.75.26.3

        PING 10.75.26.3 (10.75.26.3) from 10.75.26.1: 56 data bytes
        64 bytes from 10.75.26.3: icmp_seq=0 ttl=64 time=0.287 ms
        64 bytes from 10.75.26.3: icmp_seq=1 ttl=64 time=0.290 ms
        64 bytes from 10.75.26.3: icmp_seq=2 ttl=64 time=0.368 ms
        ^C
        --- 10.75.26.3 ping statistics ---
        3 packets transmitted, 3 packets received, 0.0% packet loss
        round-trip min/avg/max/stddev = 0.287/0.315/0.368/0.037 ms

        Ping al interface WAN (interconexión entre FW) del FW2 (NO):

        ping -S 10.75.26.1 10.75.26.2

        PING 10.75.26.2 (10.75.26.2) from 10.75.26.1: 56 data bytes
        ^C
        --- 10.75.26.2 ping statistics ---
        3 packets transmitted, 0 packets received, 100.0% packet loss

        FW2:

        Ping desde una de las redes de usuarios al interface LAN del FW1 (OK):

        ping -S 10.75.28.1 10.75.26.1

        PING 10.75.26.1 (10.75.26.1) from 10.75.28.1: 56 data bytes
        64 bytes from 10.75.26.1: icmp_seq=0 ttl=64 time=0.402 ms
        ^C
        --- 10.75.26.1 ping statistics ---
        1 packets transmitted, 1 packets received, 0.0% packet loss
        round-trip min/avg/max/stddev = 0.402/0.402/0.402/0.000 ms

        Ping desde una de las redes de usuarios al interface LAN del FW2 (OK):

        ping -S 10.75.28.1 10.75.26.3

        PING 10.75.26.3 (10.75.26.3) from 10.75.28.1: 56 data bytes
        64 bytes from 10.75.26.3: icmp_seq=0 ttl=64 time=0.151 ms
        ^C
        --- 10.75.26.3 ping statistics ---
        1 packets transmitted, 1 packets received, 0.0% packet loss
        round-trip min/avg/max/stddev = 0.151/0.151/0.151/0.000 ms

        Ping desde una de las redes de usuarios al interface WAN del FW2 (NO):

        ping -S 10.75.28.1 10.75.26.2

        PING 10.75.26.2 (10.75.26.2) from 10.75.28.1: 56 data bytes
        ^C
        --- 10.75.26.2 ping statistics ---
        2 packets transmitted, 0 packets received, 100.0% packet loss

        En el FW1 aparece de las pruebas realizadas los siguientes logs, dropeando por una regla por defecto (The rule that triggered this action is: @48 block drop in log quick all label "Default deny rule"):

        Mar 29 10:55:16 VLAN2 10.75.28.1 224.0.0.1: ICMP router advertisement lifetime 30:00 1 ICMP
        Mar 29 10:57:05 VLAN1 10.75.27.1 224.0.0.1: ICMP router advertisement lifetime 30:00 1 ICMP

        Pongo algunos tracerts aunque no son muy significativos ya que no reflejan ningun resultado (aunque si respondan a ping):

        Desde el FW2 en una red de usuarios (Si responde a ping):

        traceroute to 10.75.26.1 (10.75.26.1) from 10.75.28.1, 64 hops max, 40 byte packets
        1  * * *
        2  * * *
        3  * * *
        4  * * *
        5  * * *

        Desde el FW2 desde el interface LAN al interface LAN del FW1 (comparten direccionamiento, por logica deberian de poder llegar. Si responde a ping):

        traceroute to 10.75.26.1 (10.75.26.1) from 10.75.26.3, 64 hops max, 40 byte packets
        1  * * *
        2  * * *
        3  * * *
        4  * * *
        5  * * *

        Comentar que no tengo ninguna ruta estatica definida. Tengo habilitado RIP para todos los interfaces en ambos firewalls.

        FW1:

        WAN/Frame Relay (Internet)
        LAN/Interconexión FW2: IP -> 10.75.26.1

        FW2:

        WAN/Interconexión FW1: IP -> 10.75.26.2
        LAN: IP -> 10.75.26.3
        OPT1: 10.75.27.1/24
        OPT2: 10.75.28.1/24

        Básicamente este es el esquema:

        Internet (FR)---(WAN FW1)--|FW1|--(LAN FW1)--(WAN FW2)--|FW2|--(LAN FW2)--(Subredes)
        Internet (FR)---(IP Publica)--|FW1|--(10.75.26.1)--(10.75.26.2)--|FW2|--(10.75.26.3)--(10.75.27.0/24,10.75.28.0/24)

        Bellera, no me queda muy claro tu esquema, ¿podrías redifinirlo por favor?

        Un saludo y muchas gracias!

        Un saludo

        1 Reply Last reply Reply Quote 0
        • belleraB
          bellera
          last edited by

          Internet (FR)–-(WAN FW1)--|FW1|--(LAN FW1)--(WAN FW2)--|FW2|--(LAN FW2)--(Subredes)
          Internet (FR)---(IP Publica)--|FW1|--(10.75.26.1)--(10.75.26.2)--|FW2|--(10.75.26.3)--(10.75.27.0/24,10.75.28.0/24)

          No puedes tener WAN FW2 y LAN FW2 en mismo tramo (26). Eso no funciona.

          Estás con routers, cada tramo tiene que ser distinto, excepto FW1 LAN y FW2 WAN que son la misma subred.

          Por tanto:

          FW2|–(10.75.27.0/24)--(10.75.28.0/24,10.75.29.0/24)

          Bellera, no me queda muy claro tu esquema, ¿podrías redifinirlo por favor?

          Es lo mismo, puesto al revés. Me gusta dibujar de dentro a afuera…

          1 Reply Last reply Reply Quote 0
          • S
            scumgen
            last edited by

            @bellera:

            Internet (FR)–-(WAN FW1)--|FW1|--(LAN FW1)--(WAN FW2)--|FW2|--(LAN FW2)--(Subredes)
            Internet (FR)---(IP Publica)--|FW1|--(10.75.26.1)--(10.75.26.2)--|FW2|--(10.75.26.3)--(10.75.27.0/24,10.75.28.0/24)

            No puedes tener WAN FW2 y LAN FW2 en mismo tramo (26). Eso no funciona.

            Estás con routers, cada tramo tiene que ser distinto, excepto FW1 LAN y FW2 WAN que son la misma subred.

            Por tanto:

            FW2|–(10.75.27.0/24)--(10.75.28.0/24,10.75.29.0/24)

            Bellera, no me queda muy claro tu esquema, ¿podrías redifinirlo por favor?

            Es lo mismo, puesto al revés. Me gusta dibujar de dentro a afuera…

            Hola otra vez,

            He hecho los cambios que me has sugerido quedando todo del siguiente modo

            (Internet)–(WAN)--|FW1|--(LAN)--(WAN)--|FW2|--(LAN)--(Subredes)
            (IP Publica)--|FW1|--(10.75.26.1)--(10.75.26.2)--|FW2|--(10.75.27.1)--(10.75.28.0/24,10.75.29.0/24)

            Y te comento:

            Estando en la red .27, no llego a la .26 (para llegar tengo que cambiarme el direccionamiento).

            Las pruebas realizadas desde el FW2 arrojan los siguientes resultados:

            Ping desde red de usuarios (.28) al interface WAN del FW2 (OK):

            PING 10.75.26.2 (10.75.26.2) from 10.75.28.1: 56 data bytes
            64 bytes from 10.75.26.2: icmp_seq=0 ttl=64 time=0.047 ms
            64 bytes from 10.75.26.2: icmp_seq=1 ttl=64 time=0.029 ms
            64 bytes from 10.75.26.2: icmp_seq=2 ttl=64 time=0.019 ms

            --- 10.75.26.2 ping statistics ---
            3 packets transmitted, 3 packets received, 0.0% packet loss
            round-trip min/avg/max/stddev = 0.019/0.032/0.047/0.012 ms

            Ping desde el interface LAN del FW2 al interface LAN del FW1 (NO):

            PING 10.75.26.1 (10.75.26.1) from 10.75.27.1: 56 data bytes

            --- 10.75.26.1 ping statistics ---
            3 packets transmitted, 0 packets received, 100.0% packet loss

            Ping desde el interface WAN del FW2 al interface LAN del FW1 (NO):

            PING 10.75.26.1 (10.75.26.1) from 10.75.26.2: 56 data bytes

            --- 10.75.26.1 ping statistics ---
            1 packets transmitted, 0 packets received, 100.0% packet loss

            He bajado el motor de firewalling del FW2 por si acaso, pero da los mismos resultados. ¿Alguna idea?. Paso la tabla de rutas por si van por ahí los tiros:

            FW2:

            Destination Gateway
            default 10.75.26.1
            10.75.26.0/24 link#2
            10.75.26.2 00:XX:XX:1e:38:80
            10.75.26.10 link#2
            10.75.27.0/24 link#1
            10.75.27.1 00:XX:XX:1e:38:7f
            10.75.27.10 00:XX:XX:a2:6a:72
            10.75.28.0/24 link#8
            10.75.28.1 00:XX:XX:1e:38:7f
            10.75.29.0/24 link#9
            127.0.0.1 127.0.0.1

            FW1:

            Destination Gateway
            0.0.0.0/32 XXX.XX.XXX.XXX
            default XXX.XX.XXX.XXX
            10.75.26.0/24 link#1
            10.75.26.10 00:XX:XX:a2:6a:72
            127.0.0.1 127.0.0.1
            XXX.XX.XXX.X/24 link#2

            Y la configuración de los interfaces:

            FW2:

            WAN interface
            Status up
            MAC address 00:11:25:1e:38:80
            IP address 10.75.26.2 
            Subnet mask 255.255.254.0
            Gateway 10.75.26.1

            LAN interface
            Status up
            MAC address 00:11:25:1e:38:7f
            IP address 10.75.27.1 
            Subnet mask 255.255.255.0

            OPT1 interface (vlan0)
            Status up
            MAC address 00:11:25:1e:38:7f
            IP address 10.75.28.1 
            Subnet mask 255.255.255.0

            OPT2 interface (vlan1)
            Status up
            MAC address 00:11:25:1e:38:7f
            IP address 10.75.29.1 
            Subnet mask 255.255.255.0

            FW1:

            WAN interface
            Status no carrier (Actualmente tengo la FR tirada)
            MAC address 00:15:c5:5d:27:aa
            IP address XXX.XXX.XXX.XXX 
            Subnet mask 255.255.255.0
            Gateway XXX.XXX.XXX.XXX
            ISP DNS servers X.X.X.X

            LAN interface
            Status up
            MAC address 00:15:c5:5d:27:a9
            IP address 10.75.26.1 
            Subnet mask 255.255.255.0

            Un saludo y muchas gracias

            1 Reply Last reply Reply Quote 0
            • S
              scumgen
              last edited by

              Bueno, parece que la foto va tomando forma:

              Desde red de usuarios (FW2) llego al interface WAN del FW2:

              PING 10.75.26.2 (10.75.26.2) from 10.75.28.1: 56 data bytes
              64 bytes from 10.75.26.2: icmp_seq=0 ttl=64 time=0.049 ms
              64 bytes from 10.75.26.2: icmp_seq=1 ttl=64 time=0.031 ms
              64 bytes from 10.75.26.2: icmp_seq=2 ttl=64 time=0.012 ms

              –- 10.75.26.2 ping statistics ---
              3 packets transmitted, 3 packets received, 0.0% packet loss
              round-trip min/avg/max/stddev = 0.012/0.031/0.049/0.015 ms

              Desde la red e interface LAN (FW2) llego también al interface WAN del FW2:

              PING 10.75.26.2 (10.75.26.2) from 10.75.27.1: 56 data bytes
              64 bytes from 10.75.26.2: icmp_seq=0 ttl=64 time=0.047 ms
              64 bytes from 10.75.26.2: icmp_seq=1 ttl=64 time=0.048 ms
              64 bytes from 10.75.26.2: icmp_seq=2 ttl=64 time=0.065 ms

              --- 10.75.26.2 ping statistics ---
              3 packets transmitted, 3 packets received, 0.0% packet loss
              round-trip min/avg/max/stddev = 0.047/0.053/0.065/0.008 ms

              Pero desde el interface WAN (FW2) no llego al interface LAN del FW1:

              PING 10.75.26.1 (10.75.26.1) from 10.75.26.2: 56 data bytes

              --- 10.75.26.1 ping statistics ---
              3 packets transmitted, 0 packets received, 100.0% packet loss

              Va por buen camino... ¿Alguna idea por donde pueden ir los tiros? :)

              1 Reply Last reply Reply Quote 0
              • S
                scumgen
                last edited by

                Sigo evolucionando un poco y ya voy viendo mas cerca la luz al final del tunel. Estas son las nuevas pruebas:

                Desde el FW1 interface LAN (que conecta con el FW2) al interface WAN del FW2 (OK):

                PING 10.75.26.2 (10.75.26.2) from 10.75.26.1: 56 data bytes
                64 bytes from 10.75.26.2: icmp_seq=0 ttl=64 time=0.297 ms

                –- 10.75.26.2 ping statistics ---
                1 packets transmitted, 1 packets received, 0.0% packet loss
                round-trip min/avg/max/stddev = 0.297/0.297/0.297/0.000 ms

                Desde el FW2 (interface WAN) al interface LAN del FW1 (OK):

                PING 10.75.26.1 (10.75.26.1) from 10.75.26.2: 56 data bytes
                64 bytes from 10.75.26.1: icmp_seq=0 ttl=64 time=0.299 ms

                --- 10.75.26.1 ping statistics ---
                1 packets transmitted, 1 packets received, 0.0% packet loss
                round-trip min/avg/max/stddev = 0.299/0.299/0.299/0.000 ms

                Desde el FW2 (Interface LAN) al interface WAN del FW1 (NO):

                PING 10.75.26.1 (10.75.26.1) from 10.75.27.1: 56 data bytes

                --- 10.75.26.1 ping statistics ---
                1 packets transmitted, 0 packets received, 100.0% packet loss

                Desde el FW2 (Interface LAN) al interface WAN del FW2 (OK):

                PING 10.75.26.2 (10.75.26.2) from 10.75.27.1: 56 data bytes
                64 bytes from 10.75.26.2: icmp_seq=0 ttl=64 time=0.052 ms

                --- 10.75.26.2 ping statistics ---
                1 packets transmitted, 1 packets received, 0.0% packet loss
                round-trip min/avg/max/stddev = 0.052/0.052/0.052/0.000 ms

                Es decir, que desde la LAN del FW2 y redes de usuarios del FW2 no llego al WAN del FW1. ¿Ideas? :)

                1 Reply Last reply Reply Quote 0
                • S
                  scumgen
                  last edited by

                  Como siempre ocurre en estos casos, al final fallaba lo mas tonto.

                  Ya tengo los dos FW funcionando. El problema es que faltaban las rutas estaticas hacia las redes de usuario que tengo en el FW2 desde el FW1, con lo que la vuelta se perdía. He añadido en el interface LAN del FW1 las rutas estaticas pertinentes con GW el interface WAN del FW2 y ya funciona todo como un tiro.

                  Gracias  ;)

                  1 Reply Last reply Reply Quote 0
                  • belleraB
                    bellera
                    last edited by

                    ¡Ok, me alegro!

                    ¡De nada!

                    1 Reply Last reply Reply Quote 0
                    • S
                      scumgen
                      last edited by

                      Buenas compañeros foreros,

                      De nuevo tengo otro problemilla al cual no le veo lógica. Con la misma estructura de FW Interno y Externo…

                      Internet-|FW1|-----|FW2|---Redes de usuarios
                                      |
                                      |
                        Red Usuarios Externa

                      El problema es que desde la red de usuarios (FW2-OPT1,OPT2) no llego a los dispositivos de la red de usuarios externa, pero si a su interface (FW1-OPT1):

                      WAN--|FW1|--(LAN=10.75.26.1)--(WAN=10.75.26.2)--|FW2|--(LAN=10.75.27.1)--(OPT1,OPT2=10.75.27.0,28.0.29.0)
                                  |
                                  |
                      (OPT1=172.16.XX.1)
                                  |
                                  |
                          (Dispositivos)

                      Le he metido una ruta estática en el FW2 pero tampoco funciona:

                      Interface                      Network                  Gateway
                      RedUsuarios           172.16.87.0/24 10.75.26.1

                      Si hago un ping como os comento desde el FW1 usando como origen el interface OPT1 del FW1 llega:

                      ping -S 172.16.XX.1 172.16.XX.2

                      PING 172.16.XX.2 (172.16.XX.2) from 172.16.XX.1: 56 data bytes
                      64 bytes from 172.16.XX.2: icmp_seq=0 ttl=64 time=0.646 ms
                      64 bytes from 172.16.XX.2: icmp_seq=1 ttl=64 time=0.689 ms
                      64 bytes from 172.16.XX.2: icmp_seq=2 ttl=64 time=0.629 ms

                      Y si hago ping desde la red de usuarios, se pierde en transito:

                      PING 172.16.87.2 (172.16.XX.2) from 10.75.28.1: 56 data bytes
                      36 bytes from 10.75.28.1: Time to live exceeded
                      Vr HL TOS  Len  ID Flg  off TTL Pro  cks      Src      Dst
                      4  5  00 5400 c874  0 0000  01  01 0000 10.75.28.1  172.16.XX.2

                      36 bytes from 10.75.28.1: Time to live exceeded
                      Vr HL TOS  Len  ID Flg  off TTL Pro  cks      Src      Dst
                      4  5  00 5400 fe5b  0 0000  01  01 0000 10.75.28.1  172.16.XX.2

                      36 bytes from 10.75.28.1: Time to live exceeded
                      Vr HL TOS  Len  ID Flg  off TTL Pro  cks      Src      Dst
                      4  5  00 5400 eb1d  0 0000  01  01 0000 10.75.28.1  172.16.XX.2

                      Tengo las VLAN extendidas en ambos firewalls y en el switch lógicamente en donde están conectados también, tengo activado RIP en ambos FW en todos sus interfaces, y tengo todo permitido en los FW...

                      ¿Alguna idea?

                      1 Reply Last reply Reply Quote 0
                      • S
                        scumgen
                        last edited by

                        Una cosilla más…

                        Si modifico la ruta estática del FW2:

                        Interface Network         Gateway
                        LAN         172.16.XX.0/24 10.75.26.1

                        PING 172.16.87.2 (172.16.XX.2) from 10.75.28.1: 56 data bytes
                        ^C
                        --- 172.16.87.2 ping statistics ---
                        14 packets transmitted, 0 packets received, 100.0% packet loss

                        1 Reply Last reply Reply Quote 0
                        • First post
                          Last post
                        Copyright 2025 Rubicon Communications LLC (Netgate). All rights reserved.