Netgate Discussion Forum
    • Categories
    • Recent
    • Tags
    • Popular
    • Users
    • Search
    • Register
    • Login

    Помогите с http доступом на PfSense из другой подсетl

    Scheduled Pinned Locked Moved
    Russian
    2
    18
    4.9k
    Loading More Posts
    • Oldest to Newest
    • Newest to Oldest
    • Most Votes
    Reply
    • Reply as topic
    Log in to reply
    This topic has been deleted. Only users with topic management privileges can see it.
    • M
      mmailda2
      last edited by

      Здравствуйте, в роди глупый вопрос, но все же не могу разобраться, проблема вот в чем.
      Есть отделение с подсетью 192.168.0.0/24. Площадка на которой стоит PfSense с интерфейсами 192.168.100.2/24 vlan 4 - этим интерфейсом он подключен к отделению,  в фаерволе доступ разрешен. На  этот ip я захожу нормально.
      Есть другой интерфес (менеджмент) 10.10.241.0/24, IP интерфейся 10.10.241.101/24 -vlan 241. Маршруты все есть, я из подсети 192.168.0.0/24 пингую интерфейс 10.10.241.101 но по http зайти не могу…  >:(
      2013-08-13_104553.png
      2013-08-13_104553.png_thumb
      2013-08-13_104508.png
      2013-08-13_104508.png_thumb

      1 Reply Last reply Reply Quote 0
      • werterW
        werter
        last edited by

        Я в таких случаях включаю логирование в fw. В нем оч. наглядно отображается что и почему блокируется.

        Вы из какой сети пытаетесь попасть в 10.10.241.0/24 ? Для вашего интерфейса правила fw покажите. Может у вас там только icmp разрешен в 
        10.10.241.0/24 ?

        1 Reply Last reply Reply Quote 0
        • M
          mmailda2
          last edited by

          Я пытаюсь войти из подсети 192.168.0.0/24. на  его интерфейс 10.10.241.101. в fw разрешен весь трафик с 192.168.0.0/24 в 10.10.241.101. Картинки смотри выше 10.10.241.0/24 - это ETMANAGEMENT

          1 Reply Last reply Reply Quote 0
          • werterW
            werter
            last edited by

            Это делал ?

            Я в таких случаях включаю логирование в fw. В нем оч. наглядно отображается что и почему блокируется.

            1 Reply Last reply Reply Quote 0
            • M
              mmailda2
              last edited by

              Еще нет, я потерал Pf ;D… Как доберусь до него, я включу его...

              1 Reply Last reply Reply Quote 0
              • M
                mmailda2
                last edited by

                Включить лог не могу, так как правило в FW было создано автоматом при начальной настройке. Судя по TCP дампу то PF не хочет устанавливать TCP сессию. Кто знает почему? Помогите плиз!!! :'(

                2013-08-19_161837.png
                2013-08-19_103751.png_thumb
                2013-08-19_103751.png
                2013-08-19_161837.png_thumb

                1 Reply Last reply Reply Quote 0
                • werterW
                  werter
                  last edited by

                  Включить лог не могу, так как правило в FW было создано автоматом при начальной настройке.

                  Я не имел ввиду лог на Anti-Lockout , я говорил об общем логе заблокированных соединений :

                  Идем в Status: System logs: Settings:

                  1.  "Галку" на Show log entries in reverse order (newest entries on top)
                  2. Number of log entries to show - 100
                  3.  "Галку" на Log packets blocked by the default rule

                  После этого возвращаемся на Status: System logs: Firewall  и периодически жмем F5 для обновления страницы в браузере.
                  И внимательно смотрим причину блокирования.

                  1 Reply Last reply Reply Quote 0
                  • M
                    mmailda2
                    last edited by

                    Да, эта галка включена, но в логах все равно ничего не видно по этому поводу… :(

                    1 Reply Last reply Reply Quote 0
                    • werterW
                      werter
                      last edited by

                      Стоп, вы все это пытаетесь настроить на одном физическом pfsense ?

                      1 Reply Last reply Reply Quote 0
                      • M
                        mmailda2
                        last edited by

                        да, а что ? На этом физическом я создал OPT интерфесы….

                        1 Reply Last reply Reply Quote 0
                        • werterW
                          werter
                          last edited by

                          Маршруты все есть, я из подсети 192.168.0.0/24 пингую интерфейс 10.10.241.101 но по http зайти не могу…

                          О каких маршрутах идет речь на одном физ. уст-ве ?! Маршруты нужны для доступа к узлам за пределами pfsense.
                          Это первое. И второе , ваша машина в какой сейчас сети находится?

                          1 Reply Last reply Reply Quote 0
                          • M
                            mmailda2
                            last edited by

                            Маршруты нужны,  смотрите рисунок. Я в подсети 192.168.0.0/24, у PF нет такого интерфейса, я пытаюсь зайти на OPT  интерфес  c IP адресом 10.10.241.101, пинг на него проходит. У PF есть еще один OPT интерфейс, на том же физическом, 192.168.100.2 на него по http я захожу норм. А на 10.10.241.101 нехочет  - это будет у меня management подсеть. По этому на нее очень нужен доступ. На Ase все разрешено…

                            2013-08-19_174142.png
                            2013-08-19_174142.png_thumb

                            1 Reply Last reply Reply Quote 0
                            • werterW
                              werter
                              last edited by

                              Что за железка 10.9.2.1 ?  На ней разрешен коннект на 80-ый порт pfsense ? Плюс у вас там Cisco ASA (10.9.2.2) - есть ли и на ней разрешение для соединения с 80-ым портом pfsense ? Проверьте эти две железки, пож-та.

                              Судя по рисунку вам необходимо в fw пфсенса разрешить доступ к его веб-интерфейсу для сети 192.168.100.0/24.
                              Или у вас на 10.9.2.1 и Cisco ASA (10.9.2.2) в сторону сети pfsense (10.10.241.0/24) NAT выключен ?

                              1 Reply Last reply Reply Quote 0
                              • M
                                mmailda2
                                last edited by

                                10.9.2.1 просто L3 свитч, фильтрации в нем нет ни какой. На АSA разрешен порт. Доступ на http доступ на 192.168.100.0/24. разрешен и он работает, это ОРТ интерфейс. НО! это юзерская подсеть не хотелось бы что бы был доступ по http  в этой подсет. Хочу заходить на 10.10.241.0/24, это 2-й ОРТ интерейс , NAT включен Automatic NAT Rules Generation

                                1 Reply Last reply Reply Quote 0
                                • werterW
                                  werter
                                  last edited by

                                  Вам проще будет поднять PPTP\L2TP\OpenVPN-сервер, подключаться к нему и заходить на веб-морду по интересующему вас адресу. И правильно настроив правила fw, конечно.

                                  Куда уж "секьюрнее" получится.

                                  1 Reply Last reply Reply Quote 0
                                  • M
                                    mmailda2
                                    last edited by

                                    @werter:

                                    Вам проще будет поднять PPTP\L2TP\OpenVPN-сервер,

                                    Это вы имеете ввиду все сразу или что-то одно из  этого? Я собираюсь OpenVPN-сервер поднять, но хотелось бы все таки разобрать в чем тут беда…

                                    1 Reply Last reply Reply Quote 0
                                    • werterW
                                      werter
                                      last edited by

                                      Пардон, вы про NAT слыхали и про то как он работает? Повторюсь, что основываясь на вашем рисунке, в сеть 10.10.241.0/24 вы попадаете от "имени" 192.168.100.0/24.  Отключите NAT на Циске для сети 192.168.0.0/24  . Затем на самом pfsense переведите NAT в ручной режим и для сети 192.168.0.0/24 создайте правило с No Nat. Затем создайте правило в fw, где разрешаете доступ к 10.10.241.101 только со своего адреса в сети 192.168.0.0/24

                                      Не хотите заморачиваться - прислушайтесь к совету о поднятие ВПН-сервера. И в вашем случае - лучше обычный PPTP.

                                      P.s. Отличный мануал по сетям - http://habrahabr.ru/post/184350/. Сам им пользуюсь.

                                      1 Reply Last reply Reply Quote 0
                                      • M
                                        mmailda2
                                        last edited by

                                        NAT на циске отключен для 192.168.0.0/24, сейчас попробую подкрутить NAT на PF…

                                        1 Reply Last reply Reply Quote 0
                                        • First post
                                          Last post