Подмена IP при пробросе портов
-
Он пришел на WAN, порт форвардом поменял destination, а потом через WAN же к целевому хосту и вылетел, пройдя WAN outbound NAT
А у меня давно вопрос имеется как раз по движению траффика: есть ли у кого подробная схема движения траффика в pfsense, как к примеру для микротика:
-
А у меня давно вопрос имеется как раз по движению траффика: есть ли у кого подробная схема движения траффика в pfsense, как к примеру для микротика
-
Почему он снова через WAN вылетает? Как ему указать идти на LAN интерфейс?
Поменял правило, теперь с любой сети идешь и соурс меняется на WAN. Почему на 1.2.3 он менял на LAN соурс и поворачивал трафик на LAN? А новой, продвинутой версии перестал??
-
2 rubic
Спасибо. -
Почему он снова через WAN вылетает? Как ему указать идти на LAN интерфейс?
Почему я вам выше все объяснил, читайте. А по сути проблемы попробуйте отключить LAN pfSense от сети, пусть в ней только WAN будет, на нем все и настройте, адрес ему дайте 105, если это принципиально.
ЗЫ c 10.x.x.x не подменяет источник потому, что на WAN outbound NAT нет правила для этой сети.
UPD: LANу дайте адрес и маску из любой левой подсети. В принципе можно и не отключать его из свитча -
rubic, извини если был груб. Просто не понимаю почему старая версия работает, новая нет… (вот серьезно, в чем причина и логика?) А какое нужно прописать правило чтобы с сетью 10.х заработало?
ЗЫ А как pfsense будет работать на одном интерфейсе? -
В NAT Outbound:
WAN 10.x.x.x * * * * *
То же, что и для LAN прописано, только Source 10.x.x.x
Так же как и сейчас будет работать, вы просто привыкли думать, что трафик должен влететь через один интерфейс, а вылететь через именно другой. Но это не так, входной интерфейс может быть тем же, что и выходной, при этом пакет проходит все этапы на картинке выше. Выходной интерфейс определяется на этапе routing и может быть тем же, как по вашему иначе локальные сервисы, тот же GUI бы работали? Ведь вы шлете на LAN запрос и получаете с него же веб-морду pfSense. -
Если я откллючу LAN веб морда не отвалится? Ведь она именно с LAN раздается. Что является кретерием для выбора маршрутизации идити на LAN или только остваться на WAN? Только наличие разных сетей? Можно через shell подкрутить и вернуть "баг" версии 1.2.3 для работы между интерфейсами?
-
Есть поля System - Routes - там можно принудительно прописать маршрут с WAN на LAN в моем дурацком случае?
-
Если я откллючу LAN веб морда не отвалится? Ведь она именно с LAN раздается. Что является кретерием для выбора маршрутизации идити на LAN или только остваться на WAN? Только наличие разных сетей? Можно через shell подкрутить и вернуть "баг" версии 1.2.3 для работы между интерфейсами?
- Морда раздается на всех интерфейсах, другое дело, что на некоторых (LAN) доступ к ней по умолчанию разрешен правилами firewall, а на других (WAN) - запрещен. Просто создайте правило разрешающее доступ к 80-му порту на WAN.
- Да, роутер видит адрес назначения пакета и ищет в своей таблице маршрутов подсеть, которой этот адрес принадлежит, затем свой интерфейс который смотрит в эту подсеть. По результатам пакет отправляется на нужный интерфейс.
- Нет.
-
Есть поля System - Routes - там можно принудительно прописать маршрут с WAN на LAN в моем дурацком случае?
Нет. Где вы возьмете gateway для такого маршрута? При маршрутизации (см. выше, п2), всегда выбирается более специфичный маршрут (с большей маской). Т.е. если бы у вас на WAN была подсеть 192.168.0.0/16, а на LAN 192.168.252.0/24 и оба интерфейса смотрели в один свитч, то пакет с адресом назначения 192.168.252.x улетал бы через LAN и ваша схема бы работала. Попробуйте так сделать. Не понятно зачем это нужно, но вам виднее.
-
Спасибо большое за терпение и помощь. Попробую.
Теперь отвечу на всех мучающий вопрос ЗАЧЕМ твсе это )
Есть офисная рабочая сеть, есть выделенная под тесты сеть. Есть нат из интернета на один адрес и несколько портов в тестовую сеть.
Доступ к аппаратным маршрутизаторам пробрасывающим нат из интеренета по портам отсуствует. Нужно самостоятельно из тестовой сети пробросить наружу несколько сервисов работающих на других, нежеле разрешенные порты.
Ничего другого, как сделать ПАТ (порт адрес транслейт) внутри тестовой сети в голову не пришло.
Да, задача вырожденная и надуманная. Если есть другое более грамотное решение, буду не против сулышать. -
2 Feral
А схему сети (по-подробнее) еще никто от Вас не просил? Тогда я - первый :)
-
rubic, поменял маску. WAN\16, LAN\22 - все заработало. Приходит в сорсах LAN интерфейс. Спасибо тебе ЧЕЛОВЕЧЕСКОЕ!
Напьюсь… Чуть не поседел за неделю...
Так и не понимаю как это с одной маской работало 1.х... Просто не понимаю если нет логики маршрутизации принудительной между интефейсами, а только логика размера сети...
жесть... -
werter, посили и уже выкладывал ) на третей страничке аж два раза выложил. Там не нарисован только линк в интернет. А так все есть.
-
Еще раз всем просто человеческое спасибо за помощь и потраченное время на меня бездаря )…
Спасибо парни (вроде были только парни))) -
Так проблема решилась?
-
Так и не понимаю как это с одной маской работало 1.х… Просто не понимаю если нет логики маршрутизации принудительной между интефейсами, а только логика размера сети...
жесть...Ну при равных масках 1.х ведь все-равно как-то должна выбрать один интерфейс, вот она почему-то и выбрала LAN. А в 2.1 у вас же явно разные маски были, так что теперь вы понимаете почему изначально был выбран WAN. Это не жесть, это так и должно быть, и в винде все точно так же. Играет более конкретный маршрут. Если маршруты одинаково конкретны, то играют метрики (во FreeBSD метрик нет).
Во всем железная логика, ибо дай вам волю, вы бы бросили пакет через интерфейс, на котором он не нашел бы своего адресата, а потом бы еще устроили головняк апостолам своими вопросами: почему? Просто поставьте себя на их место))
Этой логике вам придется подчинятся, хотите вы этого или нет. Но вот теперь вы хотя бы знаете о ее существовании)) -
Да, проблема решилась заменой маски на WAN.
Логику с разными масками я понимаю. Но вот тут - "1.2 вот она почему-то и выбрала LAN" - я не понимаю логики…
