Netgate Discussion Forum
    • Categories
    • Recent
    • Tags
    • Popular
    • Users
    • Search
    • Register
    • Login

    PfSense se cae la conexion de Internet constantemente

    Scheduled Pinned Locked Moved Español
    30 Posts 8 Posters 15.6k Views
    Loading More Posts
    • Oldest to Newest
    • Newest to Oldest
    • Most Votes
    Reply
    • Reply as topic
    Log in to reply
    This topic has been deleted. Only users with topic management privileges can see it.
    • perikoP
      periko
      last edited by

      Que dicen tus logs?
      algun norte?
      durante ese tiempo, si tienes acceso a la consola, que le pasa a el, pierde conexion con tu lan?
      que servicios tienes con el?
      tu provedor es pppoe, dhcp, etc?
      saludos.

      Necesitan Soporte de Pfsense en México?/Need Pfsense Support in Mexico?
      www.bajaopensolutions.com
      https://www.facebook.com/BajaOpenSolutions
      Quieres aprender PfSense, visita mi canal de youtube:
      https://www.youtube.com/c/PedroMorenoBOS

      1 Reply Last reply Reply Quote 0
      • F
        felipemb
        last edited by

        Hola,

        Gracias por tu tiempo…

        • Tengo acceso solo desde Windows Server 2008 R2 a la consola http://192.168.1.15

        • Los servicios que tengo son Proxy Server (squid), Proxy Filter (squid-guard), NTP System Clock (ntpd) y DNS Forwarder (dnsmasq)

        • Mi proveedor es una conexion por fibra y me dan una direccion IP el cual debo establecer estaticamente, mientras se cae el Internet local el del proveedor permanece Online

        Basicamente no se interpretar bien los logs que me arroja, me llama la atencion este cuadro:

        –
        Source IPs data
        190.158.208.86 1169
        186.86.240.253 282
        181.135.226.57 198
        186.84.62.67 116
        181.134.134.125 66
        Other 187

        Pero no se si es normal o no?

        Necesitas algun dato adicional

        Estare muy pendiente

        Saludos

        1 Reply Last reply Reply Quote 0
        • F
          felipemb
          last edited by

          Este es un pantallazo de los logs del firewall por si sirve de ayuda o guia….

          image.png
          image.png_thumb

          1 Reply Last reply Reply Quote 0
          • perikoP
            periko
            last edited by

            Tienes varios servicios corriendo, divide y venceras.

            Tu maquina sacala del proxy, a lo mejor uno de tus servicios es el del problema.

            Por el momento dejala asi, a lo mejor el proxy llega a su limite y tumba el servicio, pero tu maquina fuera podras saber si son alguno de tus servicios u otra cosa.

            Ahora comentas que tienes pfsense virtualizado, cuando es sucede como esta el host y las otras VM, no estas saturadas?

            Por ello es importante leer los logs de squid, squidguard, access.log, cache.log si tienes cache esto es para squid.

            dmesg para ver mensajes en tu consola, /var/log/system.log, pero para ello tienes que estar pegado a tu consola cuando se te va el servicio y empezar a tocar todos los pulsos de tu pfsense, estos son solo algunos de los que yo revisaria, por espacio no creo verdad? top idle cuando pasa como esta?

            Al mismo tiempo como tienes vm's ver como esta el host, a lo mejor alguna otra que en algun momento se pone pesada que bloquea a las demas, pero esto tu lo vas a ver rapido cuando empieces a tocar sus pulsos.

            No hay un log general ya que no todos los servicios usan el general, cada uno tiene el suyo..

            Tambien cuando suceda, desde la consola, prueba dig para ver si hay desde el pfsense conexion con el mundo exterior, dig google.com ejemplo.

            Saludos.

            Necesitan Soporte de Pfsense en México?/Need Pfsense Support in Mexico?
            www.bajaopensolutions.com
            https://www.facebook.com/BajaOpenSolutions
            Quieres aprender PfSense, visita mi canal de youtube:
            https://www.youtube.com/c/PedroMorenoBOS

            1 Reply Last reply Reply Quote 0
            • F
              felipemb
              last edited by

              Hola, gracias por tu tiempo…

              • Basicamente los servicios que instale fueron squid y squidGuard el resto venian por default, creo que esta instalacion es basica

              • Te adjunto imagenes sobre el rendimiento de las VMs los cuales estan dentro de lo normal, estas imagenes fueron tomadas justo en el momento que se cayo el Internet (imagen1 y 2)

              • Revisando los logs del firewall vi que habian muchas peticiones externas con IPS publicas, entonces me dedique a la tarea de bloquear cada una de ellas y el servicio empezo a funcionar de nuevo para todos, pasaron 10 minutos y el servicio se volvio a caer…

              • El problema es que se generan demasiadas direcciones IPS publicas diferentes y bloquear una por una es muy dificil, creo que estoy en un caso de ataque informatico o porque podria estar pasando esto? no tenemos ningun servidor web ni nada, porque tanta peticion externa?

              • En este momento cree una regla que bloquea todo el trafico WAN de entrada y hasta el momento no se ha generado ningun log de accesos externos y el servicio esta funcionando normal

              • Llevo 20 mins y no se ha caido el servicio, lo unico es que a esta hora el trafico de la empresa a disminuido mucho ya que a esta hora empiezan a salir todos

              En este momento solo hay peticiones locales (LAN) ya no hay mas peticiones externas, ya estare informando mañana si lo doy por solucionado o tengo un nuevo reporte

              Gracias por la valiosa ayuda

              Saludos

              imagen1.jpg
              imagen1.jpg_thumb
              imagen2.jpg
              imagen2.jpg_thumb
              imagen3.jpg
              imagen3.jpg_thumb

              1 Reply Last reply Reply Quote 0
              • F
                felipemb
                last edited by

                Hola,

                Debo decir que hoy el problema persiste, lo raro es que se cae la conexion al proxy para unos usuarios pero para otros funciona normal

                Alguna idea al respecto? Como hago para saber si algun PC de mi red local esta bloqueando el firewall? o lo esta atacando?

                Gracias

                1 Reply Last reply Reply Quote 0
                • perikoP
                  periko
                  last edited by

                  Tus usuarios estan bajo el mismo switch o tienes varios switches?
                  A lo que voy si es algo interno a lo mejor, seria bueno que cuando se caiga veas si es siempre la misma zona?
                  A lo mejor en esa zona algun equipo tiene algo raro…
                  Por que eso de que se caiga para uno y no para otros no siento que sea el proxy...
                  Algun cable de algun equipo malo, nic, etc... analiza el caso...

                  Necesitan Soporte de Pfsense en México?/Need Pfsense Support in Mexico?
                  www.bajaopensolutions.com
                  https://www.facebook.com/BajaOpenSolutions
                  Quieres aprender PfSense, visita mi canal de youtube:
                  https://www.youtube.com/c/PedroMorenoBOS

                  1 Reply Last reply Reply Quote 0
                  • F
                    felipemb
                    last edited by

                    • No, hay 4 switches conectados en cascada

                    • Aveces la caida es por zonas y aveces se cae general, muy rara vez es una caida general, siempre es por zonas

                    • No, yo se que no es el proxy, porque desde un servidor WS2008 siempre me puedo conectar y pfSense tiene todos sus servicios funcionando

                    • Yo estoy pensando que algun PC o PCS estan enviando demasiado trafico o algun ataque de virus a la puerta de enlace (pfSense)

                    Hay alguna manera, de saber que PC esta consumiendo el mayor trafico y bloquea pfSense?

                    Tambien tengo la idea de bloquear todos los puertos de la red LAN y solo habilitar los necesarios que son: POP3, SMTP, DNS, etc. Si es una buena idea? o no me lo recomiendas?

                    Muchas gracias por tu tiempo

                    1 Reply Last reply Reply Quote 0
                    • perikoP
                      periko
                      last edited by

                      Cuando pasa algunos clientes no caen y sigue un cruzando por el proxy?

                      Ahora ya sacastes los reportes de squid y analizastes lo que hace cada equipo?

                      En tu fw LAN solo permite el trafico requerido  para empezar y analizar lo logs del firewall.

                      Y revisas tus logs ahi tienen que venir los logs de los equipos de lan y logeado los puertos que desean contactar podria darte un norte.

                      Solo que tienes que tenerlos identificados fisicamente, cuando pase empezar a kitar y poner cables de esos clientes y ver si das con bola.

                      Ahora, comentas que atraves del host el pfsense ahi esta, pero cuando pasa desde tu maquina el puerto 3128  responde? si tienes prendido el dnsforward para tu lan, durante ese tiempo desde tu maquina el dns funciona?

                      En tu logs subele que te muestre unos 2000 entradas para que puedas ir viendo mas info y asi poder ver si das.

                      Saludos.

                      Necesitan Soporte de Pfsense en México?/Need Pfsense Support in Mexico?
                      www.bajaopensolutions.com
                      https://www.facebook.com/BajaOpenSolutions
                      Quieres aprender PfSense, visita mi canal de youtube:
                      https://www.youtube.com/c/PedroMorenoBOS

                      1 Reply Last reply Reply Quote 0
                      • F
                        felipemb
                        last edited by

                        Bueno no habia respondido ya que he andado super ocupado con este problema…  he hecho lo siguiente, pero no hay nada exacto que haya solucionado el problema

                        • Restringi todo el acceso desde la LAN a la WAN, dejando solo los puertos completamente necesarios p.ej: POP3, SMTP, SSH, SSL, FTP. De resto cerre todo!!!, revisando logs del firewall si bloquea muchas conexiones a puertos 40008, 21391 y muchos mas, puertos que al parecer son virus

                        • Instale el NMAP y SNORT. NMAP para escaneo de puertos y red y SNORT para detectar intrusos y movimientos sospechosos, pero lamentablemente no lo habia hecho antes y no lo se configurar muy bien. Tienes algun manual sobre esto?

                        • Sabiendo como se maneja bien SNORT (IDS) puedo activar alertar que bloquean moviemientos sospechosos

                        • El el log del registro aparecen miles de registros ARP desde una o varias IPS (adjunto imagen) esto me hace pensar que estoy siendo victima de un ataque ARP Spoof que es cuando una IP cambia la MAC Address y queda loco el envio y recepcion de paquetes

                        Contestando un poco tus preguntas:

                        • El proxy siempre funciona, solo que algunos usuarios pierden la conexion a el, como si se perdieran las peticiones que le hacen

                        • Como hago para sacar los reportes? con squidlight?

                        • Ya lo hice, restringi solo para trafico requerido

                        • Si, el puerto 3128 siempre responde y siempre funciona, en ningun momento se cae el servicio, solo se cae el acceso de algunos usuarios a el

                        Pienso que es un problema de ataque ARP Spoof que vuelve loco las peticiones entre los switches hacia el servidor y nunca llegan, se cambian las MAC Address y la tabla ARP queda mal

                        Cualquier ayuda quedo pendiente, ahorita estoy enfocado en hacer uso de SNORT (IDS) para manejar las alertas y que el firewall bloquee esa IP, pero no he podido

                        Saludos

                        imagen1.png
                        imagen1.png_thumb
                        imagen2.png
                        imagen2.png_thumb

                        1 Reply Last reply Reply Quote 0
                        • perikoP
                          periko
                          last edited by

                          Ese ip lo tienes identificado?
                          a lo mejor su tarjeta, cable anda valiendo klabaza o anda haciendo cosas turbias…
                          No uses lightsquid usa sarg es mejor, saludos.

                          Necesitan Soporte de Pfsense en México?/Need Pfsense Support in Mexico?
                          www.bajaopensolutions.com
                          https://www.facebook.com/BajaOpenSolutions
                          Quieres aprender PfSense, visita mi canal de youtube:
                          https://www.youtube.com/c/PedroMorenoBOS

                          1 Reply Last reply Reply Quote 0
                          • F
                            felipemb
                            last edited by

                            No lo raro es que no se sabe quien tiene esa IP, no aparece ningun nombre, se ha bloqueado por DHCP pero al hacer un escaneo con IP Tools siempre aparece y con diferente MAC, he bloqueado las MACs pero sigue apareciendo, al parecer esta configurada manualmente. Ya bloquee varios celulares que estaban conectados a la red, pero nada…

                            Aunque mi punto en cuestion es como es posible que de 70 usuarios, 1 o 2 esten con problemas y bloqueen la red??? eso la verdad ofende, la idea mia es tener una barrera como el IDS para bloquear este tipo de anomalias, pero no he podido configurar bien esto

                            Saludos y gracias por tu tiempo

                            1 Reply Last reply Reply Quote 0
                            • perikoP
                              periko
                              last edited by

                              Tus switches tienen manera de administrarse?
                              si es asi yo me conectaria a ellos y como son 4 no es mucho tiempo y buscar esos MAC en que puerto apuntan.

                              Necesitan Soporte de Pfsense en México?/Need Pfsense Support in Mexico?
                              www.bajaopensolutions.com
                              https://www.facebook.com/BajaOpenSolutions
                              Quieres aprender PfSense, visita mi canal de youtube:
                              https://www.youtube.com/c/PedroMorenoBOS

                              1 Reply Last reply Reply Quote 0
                              • F
                                felipemb
                                last edited by

                                Muchas gracias en serio, ya te envio el ID y contraseña de TeamViewer y te digo que IPS son la de los 3 switches, ya que el 4to no es administrable

                                Saludos

                                1 Reply Last reply Reply Quote 0
                                • perikoP
                                  periko
                                  last edited by

                                  Una disculpa me desconecte y hasta hoy vi que me enviastes los datos para el teamviewer, ojala y este lunes podramos ponernos de acuerdo, yo ando en Tijuana para que tomes en cuenta el horario, salu2.

                                  Necesitan Soporte de Pfsense en México?/Need Pfsense Support in Mexico?
                                  www.bajaopensolutions.com
                                  https://www.facebook.com/BajaOpenSolutions
                                  Quieres aprender PfSense, visita mi canal de youtube:
                                  https://www.youtube.com/c/PedroMorenoBOS

                                  1 Reply Last reply Reply Quote 0
                                  • F
                                    felipemb
                                    last edited by

                                    Listo perfecto, mañana te envió los datos de conexión

                                    Saludos!

                                    1 Reply Last reply Reply Quote 0
                                    • perikoP
                                      periko
                                      last edited by

                                      Patron, cuando guste, saludos!!!

                                      Necesitan Soporte de Pfsense en México?/Need Pfsense Support in Mexico?
                                      www.bajaopensolutions.com
                                      https://www.facebook.com/BajaOpenSolutions
                                      Quieres aprender PfSense, visita mi canal de youtube:
                                      https://www.youtube.com/c/PedroMorenoBOS

                                      1 Reply Last reply Reply Quote 0
                                      • F
                                        felipemb
                                        last edited by

                                        Hola,

                                        Mira es el mismo ID y la contraseña es 3888

                                        Gracias!

                                        1 Reply Last reply Reply Quote 0
                                        • perikoP
                                          periko
                                          last edited by

                                          Dale, estoy dentro!!!

                                          Necesitan Soporte de Pfsense en México?/Need Pfsense Support in Mexico?
                                          www.bajaopensolutions.com
                                          https://www.facebook.com/BajaOpenSolutions
                                          Quieres aprender PfSense, visita mi canal de youtube:
                                          https://www.youtube.com/c/PedroMorenoBOS

                                          1 Reply Last reply Reply Quote 0
                                          • R
                                            rucko24
                                            last edited by

                                            jajaj saludos,, y por fin como quedo todo esto, ya estaba emocionante con la posible solución.

                                            1 Reply Last reply Reply Quote 0
                                            • First post
                                              Last post
                                            Copyright 2025 Rubicon Communications LLC (Netgate). All rights reserved.