Доступ к админке ubiquiti nanostation loco m2 за pfsense

flagman

Нарисуйте схему коммутации вашего оборудования, т.к. Не возможно так дать какой либо правильный совет. Как я вас понял вам нужно снаружи, т.е. Обращаяясь на адрес ван интерфейса, попадать на устройство подключенное к лан порту? Тогда настройте правила проброски портов, NAT.

neexon

@flagman:

Нарисуйте схему коммутации вашего оборудования, т.к. Не возможно так дать какой либо правильный совет. Как я вас понял вам нужно снаружи, т.е. Обращаяясь на адрес ван интерфейса, попадать на устройство подключенное к лан порту? Тогда настройте правила проброски портов, NAT.

Схема

?????.jpg
?????.jpg_thumb

MrIgor

Если я все правильно понял, то у вас происходит все приблизительно так как я дорисовал на вашей картинке.
Думаю выхода 2:
1. Изменить адреса устройств на адреса из подсети отличной от LAN. (допустим 10.0.0.20 и 10.0.0.21)
2. можно попробовать сделать так:

создаем алиас my_ubqt = 192.168.1.20, 192.168.1.21

создаем правило в фаерволе:
src LAN_NET
port any
dst my_ubqt
port https
gateway WAN

то есть явно указать через какой шлюз отправлять пакеты предназначенные для wifi-устройств.
Но будет-ли так работать я не знаю ) Нужно пробовать )

З.Ы. Я бы адреса устройств изменил - это правильней и проще )

??????????.png
??????????.png_thumb

flagman

Укажите какой ip присвоем wan порту и какой присвоен lan порту? Каким образом сконфигурирован wan порт? Как он получает доступ в и-нет? И-нет вообще есть на lan порте?

flagman

Когда лан и ван настроены на одну подсеть это не есть гуд, может не работать…

werter

1. Сменить адресацию в WAN-сети на отличную от 192.168.1.х
2. Отключить блокирование "серых" сетей на WAN в настройках fw.

neexon

@MrIgor:

Если я все правильно понял, то у вас происходит все приблизительно так как я дорисовал на вашей картинке.
Думаю выхода 2:
1. Изменить адреса устройств на адреса из подсети отличной от LAN. (допустим 10.0.0.20 и 10.0.0.21)
2. можно попробовать сделать так:

создаем алиас my_ubqt = 192.168.1.20, 192.168.1.21

создаем правило в фаерволе:
src LAN_NET
port any
dst my_ubqt
port https
gateway WAN

то есть явно указать через какой шлюз отправлять пакеты предназначенные для wifi-устройств.
Но будет-ли так работать я не знаю ) Нужно пробовать )

З.Ы. Я бы адреса устройств изменил - это правильней и проще )

я правильно понял - адреса ubiquiti сменить? Достаточно ли будет сменить их на 192.168.0.20 и 192.168.0.21?

neexon

@werter:

1. Сменить адресацию в WAN-сети на отличную от 192.168.1.х
2. Отключить блокирование "серых" сетей на WAN в настройках fw.

2. Отключена, но при текущих настройках не работает, буду пробовать

neexon

@flagman:

Укажите какой ip присвоем wan порту и какой присвоен lan порту? Каким образом сконфигурирован wan порт? Как он получает доступ в и-нет? И-нет вообще есть на lan порте?

ip на wan белый динамический, получает по dhcp. Интернет есть на lan - с этим нет проблем.

werter

Сменить адресацию в WAN-сети на отличную от 192.168.1.х

Если это невозможно - сменить адресацию на LAN (за pf). Любой из этих вариантов - обязателен!

После этого создаете на WAN pfsense Virtual IP со свободным адресом из сети Ubuquiti. После - в Outbond NAT создаете новое правило на WAN, NAT-ите на Virtual IP свою LAN-подсеть и ставите его самым первым (возможно прийдется переключиться в Manual NAT). И в fw на LAN создаете разрешающее правило из LAN subnet к адресам Ubuquiti.

neexon

@werter:

Сменить адресацию в WAN-сети на отличную от 192.168.1.х

Я так понимаю это простейший способ. То есть надо сменить, например, на 192.168.0.x, далее на локальной машине сменить ip на эту же подсеть и пробовать попасть на ubiquiti?

werter

То есть надо сменить, например, на 192.168.0.x

Лучше на 10.10.100.х

далее на локальной машине сменить ip на эту же подсеть

Да, можно руками, а можно настроить DHCP на pf и получать ip-адреса автоматом.

neexon

Да, можно руками, а можно настроить DHCP на pf и получать ip-адреса автоматом.

А на какую подсеть настроить по DHCP в таком случае? Сейчас настроено DCHP но на 192.168.1.x, и соответственно не могу попасть на 192.168.1.21.

werter

@neexon:

Да, можно руками, а можно настроить DHCP на pf и получать ip-адреса автоматом.

А на какую подсеть настроить по DHCP в таком случае? Сейчас настроено DCHP но на 192.168.1.x, и соответственно не могу попасть на 192.168.1.21.

А подумать ?

P.s. Ищите цикл статей "Сети для самых маленьких". Сам его читаю.

neexon

А подумать ?

P.s. Ищите цикл статей "Сети для самых маленьких". Сам его читаю.

Поменял в обоих ubiquiti на 10.10.100.10 и 10.10.100.11. Меняю вручную на локальной машине на 10.10.100.X. Попасть все равно не могу.
Отключены блокировки сетей на WAN и LAN в pfsense.

Что я делаю не так?

alterra755

В настройке wan сними галку "Блокировать частные сети"
В pf:
Block private networks
When set, this option blocks traffic from IP addresses that are reserved for private networks as per RFC 1918 (10/8, 172.16/12, 192.168/16) as well as loopback addresses (127/8). You should generally leave this option turned on, unless your WAN network lies in such a private address space, too.
Собственно, сеть 10/8 блокируется файрволом

werter

Cкрины правил fw на LAN, WAN

neexon

@alterra755:

В настройке wan сними галку "Блокировать частные сети"
В pf:
Block private networks
When set, this option blocks traffic from IP addresses that are reserved for private networks as per RFC 1918 (10/8, 172.16/12, 192.168/16) as well as loopback addresses (127/8). You should generally leave this option turned on, unless your WAN network lies in such a private address space, too.
Собственно, сеть 10/8 блокируется файрволом

Галки сняты и на wan и на lan. Не работает все равно

neexon

@werter:

Cкрины правил fw на LAN, WAN

fw_rule_lan.jpg_thumb

fw_rule_wan.jpg_thumb

werter

Покажите настройки WAN pfsense.