Pf 2.0 Release непонятно себя ведет…

panika · Oct 18, 2011, 4:41 AM

Доброго времени суток, форумчане. Помогите пожалуйста. Картина такая: есть сеть 192.168.150.0/24, территориально она делится на 2-е части (назовем сеть А и сеть Б), раньше эти 2-е части были соединены кабелем (UTP5) и все работало, сейчас же по техническим причинам пришлось это расстояние закрывать Wi-Fi антеннами. В пределах этой сети есть 2 Pfsens'а аналогично настроенных (разве что на одном из них 3 внешних интерфейса а на другом 2 внешних), каждый из pf работает на своей стороне. Так вот до того как сеть была "сделана" полностью из кабеля:) любой пользак из любой части сети мог попасть на любой pf и юзать инет. Сейчас же ситуация мне не понятная возникла: Если из сети "А" попробывать перенастроиться шлюзом на pf тот что в сети "Б", то видно что пинги до данного сервера идут отлично а вот запрос наружу уже не проходит…. по tracert'у видно что даже шлюз провайдера молчит на запросы, тогда как люди из сети "Б" тут же параллельно удачно пользуются данным сервером и инетом, и так же если человек из сети "Б" настроится на pf тот что в сети "А" получает тот же инет и все у него работает. Тоесть проблема в сервере который настроен в сети "Б", если рассуждать логично. А изначально мне казалось что в этом виноваты антенны Wi-Fi (хотя они настроены в бридже и до того что идет через них им нет никакого дела).

з.ы. если кого то запутал, извиняюсь, просто попробывал нарисовать картину сложившегося:) Заранее спасибо за советы.

dvserg · Oct 18, 2011, 4:54 AM

Нарисовать это хорошая идея.

dr.gopher · Oct 18, 2011, 6:42 AM

@panika:

А изначально мне казалось что в этом виноваты антенны Wi-Fi (хотя они настроены в бридже и до того что идет через них им нет никакого дела).

Уже давненько столкнулся со схожей проблемой. Поведение бриджа действительно непредсказуемое!

http://forum.pfsense.org/index.php/topic,34908.15.html

panika · Oct 18, 2011, 12:25 PM

@dvserg:

Нарисовать это хорошая идея.

Вот как то так) Без особых подробностей, просто картина представления сети и проблемы…

panika · Oct 18, 2011, 12:34 PM

@dr.gopher:

@panika:

А изначально мне казалось что в этом виноваты антенны Wi-Fi (хотя они настроены в бридже и до того что идет через них им нет никакого дела).

Уже давненько столкнулся со схожей проблемой. Поведение бриджа действительно непредсказуемое!

http://forum.pfsense.org/index.php/topic,34908.15.html

Да я тоже слышал что бридж работает очень непредсказуемо, но тут "правда где то рядом":) Все друг друга видят и все отлично работает, но вот такой маленький неудел с сервером произошел, хотя с момента пока я устанавливал Wi-Fi вместо кабеля на том промежутке сети, в настройках самого сервера ничего не менялось, после того как установил вафлю и появилась проблема, я на проблемном сервере сделал апгред до релиза с RC3, но проблема никуда не делась. Методом исключения я конечно же грешу на антенны, но тут и pf тоже завязан:)

goliy · Oct 18, 2011, 12:45 PM

интересная проблема. ты уверен что сервера настроены одинаково? Точнее, что на сервере B рпавильно настроен NAT для подсети А?или он одинаково настроен на всю подсеть?
Или они вообще находятся в одной подсети? Как получают адреса, статика?

panika · Oct 18, 2011, 12:49 PM

@goliy:

интересная проблема. ты уверен что сервера настроены одинаково? Точнее, что на сервере B рпавильно настроен NAT для подсети А?или он одинаково настроен на всю подсеть?
Или они вообще находятся в одной подсети? Как получают адреса, статика?

Да сервера настроены по аналогу, НАТ настроен автоматом, оба сервера находятся в одной подсети и в самой подсети используется только статитка…. я в первом топике это описывал:)

goliy · Oct 18, 2011, 12:59 PM

А пинги из сети А доходят до абонентов сети Б нормально?
попробуй правило НАТа впиши вручную.
Хотя непонятно что тут вообще может не работать.
Типа WAN 192.168.150.0/24 * * * * *
И попробуй пинговать инет без ДНСа, может чтото с форвардингом ДНС, типа пинг не на ya.ru а на 8.8.8.8

panika · Oct 18, 2011, 1:10 PM

@goliy:

А пинги из сети А доходят до абонентов сети Б нормально?
попробуй правило НАТа впиши вручную.
Хотя непонятно что тут вообще может не работать.
Типа WAN 192.168.150.0/24 * * * * *
И попробуй пинговать инет без ДНСа, может чтото с форвардингом ДНС, типа пинг не на ya.ru а на 8.8.8.8

Тоже все опробовано)Пингами в локалке все друг друга видят и с обоих сторон сети. Пинг по днсу отрисовывает ip адреса того же яндекса, майла, гугла, но результат "превышен интервал ожидания", пингую по отрисованным ip результат тот же. На самом pf выпускаю локальный ip адрес напрямую сначала на один провайдер потом на другой (1prov-adsl, 2prov-dhcp lan), результат тот же…. Попробую вручную НАТ настроить, когда буду у консоли сервера:)

goliy · Oct 18, 2011, 1:15 PM

Правила фаервола точно в порядке? Думаю, если это не баги, то либо NAT либо фаервол.. Хотя если они абсолютно идентичны и вы в этом уверены(допустим меняли местами,конфиги, или он у вас вообще один, с разницей лишь на настройки WANов),то это Паранормальное Явление -) я сдаюсь)

dvserg · Oct 18, 2011, 1:35 PM

Шлюз вестимо.
У пользователей А шлюзом прописан роутер А.
Через него они и пытаются выйти в интернет.
Стандартная заморочка с 2-мя роутерами в сети.
На сервере Б поднять прокси и у пользователей А прописать его в браузерах.

panika · Oct 18, 2011, 4:38 PM

@dvserg:

Шлюз вестимо.
У пользователей А шлюзом прописан роутер А.
Через него они и пытаются выйти в интернет.
Стандартная заморочка с 2-мя роутерами в сети.
На сервере Б поднять прокси и у пользователей А прописать его в браузерах.

Ну проксю очень не хотелось бы поднимать тем более там где работает 3 внешних интерфейса, и проблематично в не доменной сети пользакам в браузере прописывать проксю(пользователи-это малая домашняя сеть) я уже лучше тогда оставлю каждый сервер как автономию для своих территориальных сетей, как есть сейчас…. Вообще мне кажется что если сервер Б переустановить с чистого листа, то все заработает, но рабочую систему и трогать не очень хочется.

з.ы. Вобщем наверное я еще попробую как нибудь перекинуть местами антенны (когда растает снег:) ), если не даст результата, то буду переставлять сервер Б. Но если у кого нибудь будут еще мысли, буду очень рад услышать предложения и решить эту проблему меньшей кровью :)

goliy · Oct 18, 2011, 6:50 PM

можно проверить просто. взять ноут приконнектиться там и тут с одни и тем же своим айпишником, разными шлюзами и независимой ДНСкой. посмотреть как работает и отписать результаты.

panika · Oct 18, 2011, 8:09 PM

@goliy:

можно проверить просто. взять ноут приконнектиться там и тут с одни и тем же своим айпишником, разными шлюзами и независимой ДНСкой. посмотреть как работает и отписать результаты.

да это я как раз тоже делал в первую очередь) Сначала менял свой айпишник на не свой, пробывал из сети А пробиться через шлюз Б… и просил людей из сети Б, сидя у себя дома, произвести такие же настройки на разные шлюзы и у них все работало и работает... Вобщем у меня все подозрения уже точно падают на pf сервера Б, переходов на той платформе с RC1 до RELEASE было 3, проще будет начистую установить release и не мучаться:) хотя вопросов остается много...

aleksvolgin · Oct 19, 2011, 7:44 AM

А какую смысловую нагрузку кроме Wi-Fi бриджа несут сенсы в вашей сети? Какие сервисы ещё предоставляют?
я бы на досуге нарисовал две подробные схемки: до изменения бриджа (когда был кабель и по вашим утверждения всё работало) и после, уже с вифи бриджем.

panika · Oct 19, 2011, 9:13 AM

@aleksvolgin:

А какую смысловую нагрузку кроме Wi-Fi бриджа несут сенсы в вашей сети? Какие сервисы ещё предоставляют?
я бы на досуге нарисовал две подробные схемки: до изменения бриджа (когда был кабель и по вашим утверждения всё работало) и после, уже с вифи бриджем.

Наверное вы немного не так поняли, сенсы не являются бриджами, а тем более wi-fi) они являются роутерами для людей, которые пользуют инет через них, а wi-fi как раз таки настроен бриджом (ар, station) и пропускает через себя все что можно и нельзя. Просто сервера 2 штуки, они территориально снабжают инетом каждый свою часть сети, а находятся в одной подсети (192.168.150.0/24) потому что это домовая сеть с неким взаимообменом файлов и т.п., да и как резерв они тоже должны выступать друг другу, потому что провайдеры которые за сенсами очень нестабильны, да и ресурсы каналов провайдеров очень скудны для предоставления людям более менее скоростного интернета или хотябы качественного (о чем я молчу)

aleksvolgin · Oct 19, 2011, 9:43 AM

Наверное вы немного не так поняли, сенсы не являются бриджами, а тем более wi-fi) они являются роутерами для людей, которые пользуют инет через них, а wi-fi как раз таки настроен бриджом (ар, station)

я то как раз понял вас правильно, но у вас у самого каша в голове. В вашем предложении есть два противоречия:

сенсы не являются бриджами, а тем более wi-fi

а wi-fi как раз таки настроен бриджом

Так что подробная схемка нужна прежде всего вам самому, для понимания что же в вашей сети происходит на самом деле.
–------------
Wi-Fi бриджи (ваш случай) замечательно поднимаются и пашут на тике, + имеем максимальное быстродействие бридж-линка. Но делать так вы конечно же не будите. ;)

dr.gopher · Oct 19, 2011, 9:49 AM

Читая начало, я понял что у Вас pci-ные WIFI в каждом из роутеров. На рисунке это выглядит как отдельные точки доступа.
Действительно, поставьте две точки доступа (самые дешевые TPLink) в бридж и будет вам счастье.
А проблема бриджа на ПФ действительно есть! :(

panika · Oct 19, 2011, 11:19 AM

Люди причем тут бридж wi-fi и бридж на сенсах?????? Рисунок я выложил. Подробно могу сказать что wi-fi это nanostation m2, они соединены между собой а до них кабель идет от свитча, как показано на рисунке и сенсы тут роли вообще никакой не играют и настроек на них (pf) в качестве бриджа тоже не делалось) серверы на сенсах автономны для каждой территориальной части сети, опять же как показано на рисунке изложенном выше… на них настроена раздача интернета (использую captive portal) и все!!! wi-fi и сенсы это 2-е разные вещи, а до того как появилась вафля там был кабель вот и вся разница. ОБЫЧНАЯ ОДНОРАНГОВАЯ СЕТЬ :)

только я уже понемногу понимаю что тот самый злосчастный сервер Б просто глючит и переустановка его "снуля" поможет решить проблему. вот:)

Про "тик" я так и не понял, что это ув. aleksvolgin

dr.gopher У меня не дешевые точки доступа :) и с ними я думаю проблем нет никаких, просто я связал эти два события воедино (установку вафли в сетке и недоступность юзерам А ресурсов интернета через сервер Б)

з.ы. каши в голове у меня нет, просто очень тяжело было описать ситуацию словами, а теперь ее донести и перестроить под каждого, просто у каждого свое понятие проблемы и ситуации

dvserg · Oct 19, 2011, 11:52 AM

Настройки WIFI интерфейсов на обоих pfSense точно идентичны? Галок никаких не попутано?