Protocol Binding mittels pfSense für 4 WAN-Ports

[FabiNeo]

Liebe Community

Ich habe eine Frage, bezüglich meiner Konfiguration für meine pfSense Firewall. Diese Firewall besteht aus 4 NIC's und dient dem Routing vom LAN an 4 verschiedene WAN-Ports. Dazu soll durch eine Art von Protocol Binding der gesamte Traffic selektiert und anschliessen an den betroffenen NIC gesendet werden:

z.B.
Ein http-Paket kommt auf Port 80 vom LAN an die Firewall. Die WAN1-Schnittstelle ist für die Port's 70 - 100 zuständig und leitet somit das Paket weiter ins Internet.
Wird ein ftp-Paket ankommen wird dies über den WAN2-Schnittstelle, welcher die Port's 0 - 69 managet ins Internet weitergeleitet.

Grundsätzlich geht es mir um die Selektierung des Traffic's auf verschiedene WAN-Schnittstellen und somit auf verschiedene Internetleitungen.

Kann meine Idee mit pfSense so umgesetzt werden, falls ja wie?

Vielen Dank für eure Antworten und Grüsse
FabiNeo

[dimkyson]

Ja ist möglich und auch relativ easy. Ein paar fragen habe ich noch. Du verbindest du dich? 4 Modems per PPPOE? Oder 4 Router?

Du musst 4 Gateways definieren.. Wenn du dich per PPPOE verbindest dann bekommt zu automatisch Gateways zugewiesen.

BSP.

Green / Lan Interface 192.168.100.150

Unter System -> Routing: Gateway2 192.168.1.5, Gateway2 192.168.2.5 usw..

Dann unter Firewall -> Rules am "Green / LAN" Interface eine Regel anlegen mit Any to any, Any Proto, PortRange 1-69 und ganz unten wählst du dann bei Gateway das jeweilige Gateway aus.

Dann die nächste Regel…

Das sollte es gewesen sein.

[Nachtfalke]

Hallo FabiNeo,

wenn du Firewall Regeln definierst, bietet dir die pfsense die Möglichkeit einen Gateway auszuwählen. nachdem du also deine Firewall Regeln so erstellt hast, die Port-Ranges definiert hast, musst du nur noch den entsprechenden gateway angeben.

Ich finde deine Überlegung allerdings nicht so ganz sinnvoll. Was möchtest du damit bezwecken, dass du die Port 1.69 über WAN1 versendest und die Port 70-100 über WAN2 und so weiter ? Ich stelle mir normalen Internetverkehr vor - der meiste Traffic entsteht da vermutlich über http, https, evtl. ftp und bischen E-mail. Wenn jetzt Port 80 über WAN2 geht, weil die meiste zeit gesurft wird, dann liegen die anderen Internetanschlüsse brach. Das ist doch nicht wirklich sinnvoll, oder ?

Wenn es dir um Lastverteilung geht, dann bietet pfsense hierfür sogenannte "Gateway Groups". Du definierst eine beliebige gruppe und fügst dieser Gruppe gateways hinzu. Zum Beispiel Gruppe 1 mit deinen WAN1, WAN2, WAN3 und eine Gruppe 2 mit WAN4.
In den Firwall Regeln - wie oben bereits beschrieben - wählst du dann nicht mehr nur einen Gateway aus, sondern deine Gateway Gruppen. Der Verkehr wird dann entsprechend über alle gateways in einer Gruppe verteilt. Fällt ein gateways aus, weil dein ISP ein technisches problem hat, wird der Verkehr automatisch auf die übrigen Gateways verteilt.

Hast du einen Gateway/WAN-Anschluss, welcher keine Flatrate hat oder nur als Backup genutzt weden soll, kannst du das ebenfalls automatisieren. Die gateways, die du in eine Gruppe gepackt hast, kannst du priorisieren. Haben WAN1 und WAN2 die Priorität 1 und WANr die priorität 2, dann werden erst die Gateways genutzt, die Priorität 1 haben. Sollten alle diese Priorität 1 gateways ausgefallen sein, wird zur nächst höheren Prioritätsstufe gewechselt und dein WAN3 kommt in Spiel. Umgekehrt geht es natürlich ebenfalls automatisch.

Vielleicht solltest du das, was du realisieren willst, nochmal etwas genauer erklären, dann kann man gemeinsam vielleicht eine bessere Lösung finden.