Вопросы новичка по pfsense

dvserg

Доброго времени суток!
Правильно ли я понимаю как оно работает?
Правила вкладки Lan обрабатывают ТОЛЬКО внешние(н-р из локальной сети) запросы которые пришли на этот интерфейс и аналогично для Wan?
Получается ежели требуется обратиться в инет, то по моему пониманию Lan обработал запрос и выкинул\запретил в инет через Wan который не проверяет в своих правилах.
Ну и в обратную сторону через Wan.

Каждый интерфейс настроен так, что
1. все пакеты, отправляемые из pfSense наружу идут свободно (разрешены);
2. все пакеты поступающие на интерфейсе внутрь pfSense фильтруются правилами и дальше без помех отправляются наружу через нужный интерфейс (см п.1)
3. все "ответные" пакеты проскакивают назад без фильтрации (ключевое слово States)

Итого: если клиент стучится в интернет, то фильтрация будет осуществляться правилами LAN, а ответные пакеты из интернета "проскакивают" обратно без фильтрации.

L0gin86

Большое спасибо за ответ!
Вот ещё какой вопрос мучает:
Прокси у меня прозрачный(авторизацию пока не одолел) и все кто прописывает ip прокси могут выйти в инет.
Как запретить им это дело?
Может я не прав, но на сколько я понял все кто выходит в инет обходя таким образом прокси, правилами фаервола не пользуется(либо через раз).

dvserg

@L0gin86:

Прокси у меня прозрачный(авторизацию пока не одолел) и все кто прописывает ip прокси могут выйти в инет.
Как запретить им это дело?
Может я не прав, но на сколько я понял все кто выходит в инет обходя таким образом прокси, правилами фаервола не пользуется(либо через раз).

Нет не обходят. Раз у Вас нет авторизации либо нет запрета/фильтра на прокси - будут ходить все кто пропишет его адрес.

L0gin86

Ну тогда пока всё понятно. Теперь думаю сам докопаю:)
Большое спасибо за помощь!

dvserg

@L0gin86:

Ну тогда пока всё понятно. Теперь думаю сам докопаю:)
Большое спасибо за помощь!

Только сейчас обратил внимание..
Прозрачный прокси - вы имеете ввиду, что стоит такая галка в настройках Squid?
Если да, то прописывай/не прописывай - клиент всё равно попадёт на прокси.
Но в любом случае у Вас в файерволе должен быть запрет на прямое прохождение трафика клиент - 80/443 порт инета (!LAN).

Alex-pmx

Добавлю своих пару вопросов новичка:

Есть сохраненная конфига от успешно работающего pfSense. Есть большое желание воткнуть эту конфигу на свежеустановленный pfSense. Что и было проделано через Web-интерфейс. После применения изменений и перезагрузки pfSense я получаю запущенную консоль с приглашением "login:" После ввода логина и пароля я получаю строку с двоеточием на конце. Вопрос в том, как можно вызвать нумерованый список, который появляется после завершения установки pfSense? Где можно выбирая соотв. цифру назначить интерфейсы, назначить ip-шники, перезагрузить и пр? Вопрос вызван тем, что после применения этой конфиги я не могу зайти на Web-интерфейс.
Как прокрутить результат выполнения ifconfig или сделать его выводимым поэкранно? После выполнения команды я вижу инфу только по двум последним интерфейсам, все остальное выше и не влезает в рамки монитора

Спасибо.

dvserg

В консоли наберите exit (или quit) чтобы попасть в меню.

Ifconfig
http://www.freebsd.org/cgi/man.cgi?query=ifconfig&sektion=8
http://ru.wikipedia.org/wiki/Ifconfig

Alex-pmx

После ввода Exit я попадаю на строку Login:
Дальнейший ввод Exit или Quit расценивается как имя пользователя.

werter

Зайдите через Web. Кажется там в настройках есть галка, к-ая этому делу вкл\выкл делает.

aleksvolgin

@werter:

Зайдите через Web.

Вопрос вызван тем, что после применения этой конфиги я не могу зайти на Web-интерфейс.

werter

2 TC
Ставьте "на чистую". Попробуйте восстанавливать конфиг частями. Т.е. попробовали восстановить правила NAT - все работает - сохранили конфиг.
И далее в таком же духе.

smils

@werter:

2 TC
Ставьте "на чистую". Попробуйте восстанавливать конфиг частями. Т.е. попробовали восстановить правила NAT - все работает - сохранили конфиг.
И далее в таком же духе.

Опробован обратный процесс.
Настроил WAN и LAN.
Т.е. простейшие настройки. Не более.

Сохранили конфиг.

В конфиг вставили кусок с правилами (из архивного), подгрузили… проверили, вставили , подгрузили проверили. и т. д. Пакеты в конце!

заодно узнаем на чем затык. скорее всего в миграции со старой на более новую версию pf. и интерфейсы...

L0gin86

Доброго времени суток!
Работаю на Pfsence 2.1+Lightsquid+Squid. Прокси прозрачный.
Почему то "тормозят" некоторые сайты, типа сбербанка онлайн. Сайты открываются, т.е. порты открыты, но с сильной задержкой. Если открыть сайт без PFsence, то всё прекрасно(т.е. скорость нормальная:)
Как сделать правило для выхода "напрямую" в интернет, без участия прокси?

werter

В настройке Squid -

Bypass source IP \ Bypass destination IP

L0gin86

Ага, вроде заработало, Спасибо за подсказку!
P.s. для нубасов вроде меня:
Servis- Proxy Server- Bypass proxy for these source IPs - вбить IP который нужно пропускать наружу без прокси.
Мне пришлось в настройках браузера отключить прокси и прописать шлюз в настройках сети.
или\и
Servis- Proxy Server- Bypass proxy for these destination IPs - вбить IP на который нужно пропускать без прокси.

werter

Мне пришлось в настройках браузера отключить прокси и прописать шлюз в настройках сети.
или\и

Он у вас не прозрачный (transparent) ?

L0gin86

Он у вас не прозрачный (transparent) ?

Да, я это выше писал, в вопросе:)
Попробовал отключить эти настройки (Bypass proxy for these destination IPs\Bypass proxy for these source IPs) всё прекрасно работает и без них…
Т.е. получается все кто подключаются через шлюз обходят прокси и правила?

werter

@ L0gin86

Работаю на Pfsence 2.1+Lightsquid+Squid. Прокси прозрачный.

Мне пришлось в настройках браузера отключить прокси и прописать шлюз в настройках сети.
или\и

На кой ляд вы прописываете явно прокси в браузере , если он ПРОЗРАЧНЫЙ ?!

L0gin86

Ну например чтобы другие проги не тянулись в инет:)
и собсно по факту получается правила применяются только ч\з браузер.

werter

Ну например чтобы другие проги не тянулись в инет

Если для "защиты" только, т.е. софт читает данные о прокси, а там "левый" указан, то такой вариант возможен. Но у вас другой случай, по-моему.

и собсно по факту получается правила применяются только ч\з браузер.

Не понял этой фразы.

P.s. Сквид "перехватывает" все что идет во вне на 80-й порт (HTTP) и "пропускает" через себя. Все остальные правила рисуются ручками в fw.