IPSEC Site-to-Site

tselischev

Перепроверил информацию насчет VLAN.
Оказалось, что в офисе1 сетка 192.168.1.0/24 тегируется vid 10.
Если я правильно понимаю, то на pfsnce интерфейс lan я должен тегировать сеть 192.168.2.0.24 vlan 10 ?
Данное тегирование работает на управляемом свитче, но на DFL-860E никакой инвормации о vlan нет.

tselischev

Везде отказался от VLANов.
Сейчас стала можно передавать файлы между сетями, но в fw IPSEC до сих пор какие-то дропы есть.
Блокируются только TCP:A, TCP, и TCP:RA

NegoroX

тут небольшое описание
https://doc.pfsense.org/index.php/Why_do_my_logs_show_%22blocked%22_for_traffic_from_a_legitimate_connection

werter

2 tselischev

Я же давал скрины с настройками, в к-ых указано - разрешать TCP пакеты с любыми флагами. Это оно и есть.
Только Reset states после сделать необходимо.
МультиВАНа у Вас же нет?

tselischev

2werter
Я изменил в fw в правиле IPSEC данные изменения еще в прошлый раз. Сделал state reset, но все-равно пакеты дропятся.
от всех ванов ушел полностью.
Не могу победить данную ситуацию.

werter

@tselischev:

2werter
Я изменил в fw в правиле IPSEC данные изменения еще в прошлый раз. Сделал state reset, но все-равно пакеты дропятся.
от всех ванов ушел полностью.
Не могу победить данную ситуацию.

В правиле (-ах) fw на LAN , касающихся доступа в удален. сеть также.

tselischev

Поправил, не помогло. Ребутнул даже.
Блокируются только TCP:A, TCP, и TCP:RA

Заметил, что между офисами подключаюсь к FTP, но содержимое не отображается.

werter

@tselischev:

Поправил, не помогло. Ребутнул даже.
Блокируются только TCP:A, TCP, и TCP:RA

Заметил, что между офисами подключаюсь к FTP, но содержимое не отображается.

Покажите скрины всего, что поправили. На LAN, IPSec etc.

tselischev

LAN

что изменил в LAN

IPSEC

в IPSEC сделал так же как и на картинке 2 ("что изменил в LAN")

tselischev

В таблице маршрутизации(Diagnostics->Routes) я не могу найти маршрут до офиса1 из Цода

werter

@tselischev:

В таблице маршрутизации(Diagnostics->Routes) я не могу найти маршрут до офиса1 из Цода

Скрины обеих фаз IPSEC покажите.

tselischev

Phase1

Phase2

werter

Т.е. ipsec-линк поднимается и все ок ?
А в табл. марш-ции роут в 192.168.1.0 не появляется ?
Чудеса …

А что в логах железного роутера ?
Прошивка на dfl-860e последняя ? Если нет - сохраните конфиг dfl-860e, обновите прошивку, удалите ipsec, перезагрузите его
и настройте ipsec заново.

На pf удалите ipsec, перезагрузите его и настройте ipsec заново.

vadimkara

Всегда когда есть дропы в логе добавляйте разрешения по плюсу и анализируйте правило,в крайнем случае просто поставьте всю сеть вместо выделенного ип.