DMZ зона, подсеть белых IP

rubic

На WAN нужно разрешить доступ в сеть 85.10.C.129/?? - какая маска, кстати?

Pass IPv4 * * * 85.10.C.129/?? * * none

vitalylll

Об этом я тоже подумал, правило во вкладке WAN сделал:

IPv4 * DMZ net * * * * none

Маска 28

Да, кстати, эффекта это не дало, и клиенты LAN сети сервера 85.10.C.133 видят через 2ip и остальные сервисы, что у них внешний IP - 85.10.A.186, а должны видеть 85.10.C.133.

rubic

В правиле DMZ net должна стоять в столбце Destination
Source, Source Port и Destination Port должны быть *

rubic

@vitalylll:

клиенты LAN сети сервера 85.10.C.133 видят через 2ip и остальные сервисы, что у них внешний IP - 85.10.A.186, а должны видеть 85.10.C.133.

Это значит, что работает Outbound NAT для 85.10.C.128/28
Переведите Outbound NAT в Manual Outbound NAT rule generation и удалите правила для DMZ net - они не нужны

vitalylll

Кажется понял, спасибо! Вечером попробую, отпишусь.

vitalylll

Это значит, что работает Outbound NAT для 85.10.C.128/28
Переведите Outbound NAT в Manual Outbound NAT rule generation и удалите правила для DMZ net - они не нужны

Точно, удалил два созданных автоматом правила, и все заработало как нужно! Спасибо за помощь!

vitalylll

Рано обрадовался.. Доступа к серверам в подсети нет. Неужели на Pfsense с DMZ придется двойной проброс делать? Получается - на сервере, находящемся в DMZ открытые порты так и не работают. Хотя на компах в LAN виден как внешний: 85.10.C.133

werter

Доступа к серверам в подсети нет

А если правило в fw добавить ?

vitalylll

@werter:

Доступа к серверам в подсети нет

А если правило в fw добавить ?

А какое? У меня получается на основном я делаю проброс например Port:21 до 85.10.C.133, а на 85.10.C.133 уже до адреса в локальной сети. Хотя логично было бы создать правило на 85.10.C.133, и доступ появился, как избежать дополнительного проброса? Тоесть DMZ и не DMZ пока что

vitalylll

Создал правило в PF открыть в DMZ-subnet 1-65000 порты… ;D Конечно все сразу работает, но это же костыль?

werter

Эээ, а если вкл. логирование fw, обращаться к DMZ серверам извне и смотреть логи?

vitalylll

Тут моих знаний уже явно не хватает. В логах вижу что просто блочит мой запрос на 1194.