• Categories
  • Recent
  • Tags
  • Popular
  • Users
  • Search
  • Register
  • Login
Netgate Discussion Forum
  • Categories
  • Recent
  • Tags
  • Popular
  • Users
  • Search
  • Register
  • Login

Reglas para configurar correctamente trafico por MPLS (SOLUCIONADO)

Scheduled Pinned Locked Moved Español
16 Posts 3 Posters 4.4k Views
Loading More Posts
  • Oldest to Newest
  • Newest to Oldest
  • Most Votes
Reply
  • Reply as topic
Log in to reply
This topic has been deleted. Only users with topic management privileges can see it.
  • M
    matiweertz
    last edited by May 11, 2016, 2:42 PM May 8, 2016, 10:01 PM

    Estimados como están?

    Les cuento un poco de que se trata mi consulta. Resulta que estamos implementando una red de tipo MPLS que nos provee nuestro ISP para unir 3 sucursales de nuestra empresa.

    Hace tiempo tengo implementado pfsense en cada una de mis sucursales, hasta hace unos días las unía por medio de OpenVPN y todo funcionaba de maravillas.

    Luego de contratar el nuevo servicio de MPLS debo conectar las sucursales por ese medio y centralizar el trafico web de cada sucursal a la casa central.

    Les paso aproximadamente como es el esquema actual:

    Casa Central: pfsense 2.3

    WAN1
    WAN2
    LAN
    SYNC
    WIFI
    MPLS(nueva)

    Tengo configurado un a grupo de balanceo entre las dos WAN, los AP del edificio salen directamente por la interfaz WIFI y uso la SYNC para sincronizar con otro pfsense para tener HA

    Actualmente agregue un nuevo adaptador denominado MPLS el cual esta conectado directamente a un router Cisco que provee mi ISP.

    La ip del router cisco de mi ISP es 172.10.10.1 y la de mi interfaz MPLS es 172.10.10.2

    Sucursal 1: Pfsense 2.2.4

    WAN1
    LAN
    MPLS(nueva)

    En esta sucursal los clientes deben conectarse a la casa central por medio de la MPLS y todo el trafico de Internet y demás debe salir por el Squid de casa central

    La ip del router cisco de mi ISP es 172.10.11.1 y la de mi interfaz MPLS es 172.10.11.2

    Mis dudas sobre este esquema son las sig:

    • Monitoreo de gateway MPLS de casa central:  No puedo hacer que el monitor de Gateway envíe los Ping por la interfaz MPLS, es decir el monitor de Gatway de la nueva interfaz MPLS siempre esta Offline.(Ver imagen 1). He probado hacer un ping desde la herramienta Ping del GUI y forzando que el trafico salga por la placa MPLS y en ese caso el gateway de mi ISP contesta correctamente, por lo tanto me hace pensar que el servicio de monitoreo de gateway intenta enviar el ping de monitoreo por un gateway que no es el correcto.

    • Reglas para permitir el trafico entre las sucursales:  Me gustaría saber cuales serian las reglas básicas que debo tener configuradas para poder direccionar el trafico desde las sucursales hacia la casa central.

    Espero que me entiendan y desde ya agradezco sus aportes.

    Saludos

    1.png
    1.png_thumb

    1 Reply Last reply Reply Quote 0
    • J
      javcasta
      last edited by May 12, 2016, 8:13 PM May 9, 2016, 9:39 AM

      Hola

      MPLS es un protocolo de "etiquetado" (al estilo Frame Relay) que trabaja en capa ( 4 NO, corregido el dato, gracias a Aleximper)  2 y 3 … No entiendo eso de reglas para MPLS, ya que las reglas de un firewall son de capa 3 (capa de red: IP), y le da igual si su tráfico va a salir por un medio/protocolo que otro (ethernet, ppoe, vpn, frame-relasy, isdn, mpls, etc), cada capa trabaja en su ámbito.

      De todas formas hay info en el foro:

      https://forum.pfsense.org/index.php?topic=58891.0
      https://forum.pfsense.org/index.php?topic=79000.0

      Salu2

      Javier Castañón
      Técnico de comunicaciones, soporte y sistemas.

      Mi web: https://javcasta.com/

      Soporte scripting/pfSense https://javcasta.com/soporte/

      1 Reply Last reply Reply Quote 0
      • M
        matiweertz
        last edited by May 9, 2016, 12:58 PM

        Buenas

        Hablo de reglas por que la mpls esta conectada ala interfaz MPLS la cual es una WAN, es decir mi placa MPLS tiene la ip 172.10.10.2 y esa placa tiene configurado una gateway cuya ip es 172.10.10.1 (router del ISP).

        Es por eso que necesito configurar reglas que me permitan traficar todo desde las sucursales hacia casa central.

        Saludos

        1 Reply Last reply Reply Quote 0
        • J
          javcasta
          last edited by May 9, 2016, 2:54 PM May 9, 2016, 2:50 PM

          Hola

          Respecto al GW mplsgw 172.10.10.1

          Prueba: Ve al menú:    System> Routing > Gateways

          Edita el gw mplsgw y define una Monitor IP (podria ser la ip de otra sucursal 172.10.x.y, que responda a icmp o ping)

          Imagino que las máscaras de red estarán correctas (eso se define en el menú interfaces, para cada interfaz, a no ser que obtengan la conf vía dhcp) …

          Para saber por donde se enruta el tráfico (qué gw se usa), usa traceroute en lugar de ping ( desde el menú Diagnostics > traceroute o desde shell)

          Salu2

          Javier Castañón
          Técnico de comunicaciones, soporte y sistemas.

          Mi web: https://javcasta.com/

          Soporte scripting/pfSense https://javcasta.com/soporte/

          1 Reply Last reply Reply Quote 0
          • M
            matiweertz
            last edited by May 10, 2016, 5:19 PM

            El principal problema es que no encuentro la manera de lograr que el trafico de mi red 192.168.101.0/24 llegue a la 192.168.200.0/24 por medio de la MPLS.

            Es decir yo en mi red 101.0/24 tengo un pfsense con una WAN que es la 172.10.11.2 la cual tiene un gateway 172.10.11.1, yo por esa WAN debería enviar el trafico con destino a mi red 200.0/24.

            el problema es que no logro configurar la manera de que ese trafico salga por esa WAN en especifico y del otro lado configurar que acepte ese trafico

            Si alguien me puede dar una mano se lo agradecería

            Saludos

            1 Reply Last reply Reply Quote 0
            • J
              javcasta
              last edited by May 10, 2016, 7:04 PM May 10, 2016, 6:49 PM

              Hola

              https://forum.pfsense.org/index.php?topic=79000.0

              The solution is ;

              1. You need to make and allow the rules for interface OPT1 to LAN interface, set your destination (all MPLS network)
              2. Create a gateway for OPT1 and do a static route for each MPLS network.

              Salu2

              –- add --

              En la img se crea la ruta a 192.168.200.0/24 con el comando route, via gw 172.a.b.c, en un equipo win

              Podrias probar, para crear la ruta en el pfSense y no tener que hacerlo en los clientes de la LAN:

              System > Routing > Gateways > add
              Interface: la del mpls
              GW: 192.168.200.x (el gw de la lan remota)

              Javier Castañón
              Técnico de comunicaciones, soporte y sistemas.

              Mi web: https://javcasta.com/

              Soporte scripting/pfSense https://javcasta.com/soporte/

              1 Reply Last reply Reply Quote 0
              • J
                javcasta
                last edited by May 10, 2016, 7:25 PM

                Hola

                Por cierto, el router Cisco con mpls. ¿Como publica las rutas? ¿Con el protocolo de enrutamiento RIP?¿Ya tienes definidas las rutas en el Cisco para mpls?

                Si así fuera, creo recordar que pfSense traia un paquete para RIP, pero ya no lo veo en la ver 2.3

                El meollo está en que pfSense sepa que ruta tomar a las subredes vía interfaz mpls, por ejemplo la 192.168.200.0/24

                Otra idea seria que implementaras openVPN hub-and-spoke (una central con servidor openvpn y sucursales con cliente openvpn que se conecten a la central), o tuneles IPsec (doblando la seguridad en el tráfico vía mpls)

                Salu2

                Javier Castañón
                Técnico de comunicaciones, soporte y sistemas.

                Mi web: https://javcasta.com/

                Soporte scripting/pfSense https://javcasta.com/soporte/

                1 Reply Last reply Reply Quote 0
                • M
                  matiweertz
                  last edited by May 10, 2016, 10:03 PM

                  Estimado muchas gracias por su ayuda.

                  El vinculo LAN-to-LAN lo provee la empresa Claro (Telmex) ellos la llaman RPV

                  http://www.claro.com.co/wps/portal/co/pc/corporaciones/multinacionales/rpv-multiservicios

                  Al momento de la configuración del servicio el ISP me envió lo sig:

                  Mxxxxxx:            172.10.10.1/24 - 192.168.200.0/24 x la 172.10.10.2
                  Sxxxxxx:            172.10.11.1/24 - 192.168.101.0/24 x la 172.10.11.2
                  Lxxxxxx:            172.10.12.1/24 - 192.168.102.0/24 x la 172.10.12.2
                  Bxxxxxx:            172.10.13.1/24 - 192.168.100.0/24 x la 172.10.13.2

                  Según ellos el trafico sobre la MPLS funciona perfectamente y ya tiene todas las rutas internamente cargadas

                  Ahora me gustaría mostrarle la configuración actual de mis pfsense para descartar que exista un error en ella

                  He configurado todo de acuerdo a lo poco que se y lo que usted me ha recomendado pero aun así esto no funciona

                  Configuración SITE1

                  Esta es la interfaz MPLS configurada en el PFsense del Site1

                  Esta es la configuración del GW MPLS de esa interfaz

                  Esta es la ruta estática configurada en el Site1

                  Finalmente esta es la única regla definida dentro de la interfaz MPLS

                  Configuración Casa Central

                  Esta es la interfaz MPLS configurada en el PFsense de Casa Central

                  Esta es la configuración del GW MPLS de esa interfaz

                  Esta es la ruta estática configurada en Casa Central

                  Finalmente esta es la única regla definida dentro de la interfaz MPLS

                  Claramente algo esta mal por que con esa configuración no funciona

                  Saludos

                  1 Reply Last reply Reply Quote 0
                  • J
                    javcasta
                    last edited by May 11, 2016, 8:02 AM

                    Hola.

                    Las rutas estáticas, según la doc de pfSense:
                    https://doc.pfsense.org/index.php/Static_Routes

                    Que, creo a simple vista, es como lo tienes ahora.

                    Ahora deberias depurar. Desde un equipo de la lan de central (192.168.101.0/24) hacer un traceroute a un host de la lan remota 192.168.200.x y comprobar que enruta como debe, luego intentar conectarte a un servicio (telnet, ssh, ftp, sftp, http, https, etc) que tengas en ese host, y observar donde el tráfico es bloqueado (SYN_SENT). Ya sea mediante sniffer, en los logs del pfSense, etc

                    Salu2

                    Javier Castañón
                    Técnico de comunicaciones, soporte y sistemas.

                    Mi web: https://javcasta.com/

                    Soporte scripting/pfSense https://javcasta.com/soporte/

                    1 Reply Last reply Reply Quote 0
                    • J
                      javcasta
                      last edited by May 11, 2016, 12:47 PM May 11, 2016, 10:48 AM

                      Hola

                      Por cierto, rectifico, sí existe el paquete para pfSense 2.3 routed 1.2.3_2 RIP v1 and v2 daemon

                      Salu2

                      –add--

                      Si configuras los routers cisco de la central y de las sucursales MPLS para que publiquen las redes vía el protocolo de enrutamiento RIP (aconsejable rip v2, ya que proporciona seguridad con clave), y el pfSense le instalas el paquete Routed y lo configuras para que escuche y publique (la red lan) las tablas de rutas  en su interfaz MPLS, asunto resuelto el tema de enrutamiento.

                      Javier Castañón
                      Técnico de comunicaciones, soporte y sistemas.

                      Mi web: https://javcasta.com/

                      Soporte scripting/pfSense https://javcasta.com/soporte/

                      1 Reply Last reply Reply Quote 0
                      • M
                        matiweertz
                        last edited by May 11, 2016, 1:57 PM

                        Estimado buenos días

                        Acabo de hacer un tracert desde Site1 a CasaCentral desde el mismo pfsense

                        Si lo hago desde un win da el mismo resultado

                        Me llamo la atención la IP del rango 156 por lo tanto realice un reclamo al proveedor y la respuesta de ellos es la siguiente.

                        _**Matias,

                        Según observo en las trazas estas llegando OK a las puntas, paso a continuación como están armadas:

                        • MENDOZA
                        GREE02RT01#sh ip int br
                        Interface                  IP-Address      OK? Method Status                Protocol
                        FastEthernet0              unassigned      YES unset  up                    up     
                        FastEthernet1              unassigned      YES unset  administratively down down   
                        FastEthernet2              unassigned      YES unset  administratively down down   
                        FastEthernet3              unassigned      YES unset  administratively down down   
                        FastEthernet4              unassigned      YES NVRAM  up                    up     
                        FastEthernet4.52          154.1.83.102   YES NVRAM  up                    up     
                        Vlan1                      unassigned      YES unset  administratively down down   
                        Vlan100                    172.10.10.1    YES manual up                    up

                        GREE02RT01#sh ip route 192.168.200.1
                        Routing entry for 192.168.200.0/24
                          Known via "static", distance 1, metric 0
                          Redistributing via bgp 65194
                          Advertised by bgp 65194
                          Routing Descriptor Blocks:
                          * 172.10.10.2
                              Route metric is 0, traffic share count is 1

                        • SAN LUIS
                        GREE01RT02#sh ip int br         
                        Interface                  IP-Address      OK? Method Status                Protocol
                        FastEthernet0              unassigned      YES unset  up                    up     
                        FastEthernet1              unassigned      YES unset  administratively down down   
                        FastEthernet2              unassigned      YES unset  administratively down down   
                        FastEthernet3              unassigned      YES unset  administratively down down   
                        FastEthernet4              unassigned      YES NVRAM  up                    up     
                        FastEthernet4.21          154.1.69.186    YES NVRAM  up                    up     
                        Vlan1                      unassigned      YES unset  administratively down down   
                        Vlan100                    172.10.11.1    YES manual up                    up

                        GREE01RT02#sh ip route 192.168.101.1
                        Routing entry for 192.168.101.0/24
                          Known via "static", distance 1, metric 0
                          Redistributing via bgp 65194
                          Advertised by bgp 65194
                          Routing Descriptor Blocks:
                          * 172.10.11.2
                              Route metric is 0, traffic share count is 1

                        Posiblemente la falla sea en la ruta default de los host 172.10.X.2 en Mendoza y San Luis los cuales no saben cómo volver.-**_

                        Según lo que me comentan telefónicamente es que los pfsense son los que no encuentran la manera de retornar el trafico o algo así.

                        Que opina usted??

                        Saludos y Gracias

                        1 Reply Last reply Reply Quote 0
                        • J
                          javcasta
                          last edited by May 11, 2016, 2:31 PM

                          Hola

                          Lo que te dice tu isp es que los routers intermedios tienen sus interfaces levantadas y operativas y la ruta

                          Son Cisco, y usa los comandos:

                          show ip interface brief # muestra el estado de las interfaces
                          show ip route 192.168.200.1 # muestra la ruta a esa ip

                          Y se ve que usan BGP (Border Gateway Protocol) como procolo de enrutamiento.

                          Redistributing via bgp 65194

                          para publicar y obtener las tablas de rutas entre los nodos.

                          La mala noticia es que con RIP en ese entorno no funcionaria.

                          La buena noticia es que pfSense 2.3 dispone de un paquete OpenBGPD 0.11_4 donde puedes configurar BGP para que entienda y hable (reciba y publique) las rutas vía BGP

                          Salu2

                          Javier Castañón
                          Técnico de comunicaciones, soporte y sistemas.

                          Mi web: https://javcasta.com/

                          Soporte scripting/pfSense https://javcasta.com/soporte/

                          1 Reply Last reply Reply Quote 0
                          • M
                            matiweertz
                            last edited by May 11, 2016, 2:41 PM

                            Estimado muchas gracias por su ayuda.

                            He solucionado el problema configurando la siguiente regla en cada pfsense.

                            Reitero mi agradecimiento por su tiempo y ayuda.

                            Saludos

                            1 Reply Last reply Reply Quote 0
                            • J
                              javcasta
                              last edited by May 11, 2016, 3:30 PM May 11, 2016, 3:22 PM

                              Hola

                              Le dejas pasar todo tipo de protocolo

                              protocol "any"

                              Observo que no hay protocolo espécifico para MPLS en las reglas del firewall:

                              Hay

                              TCP
                              UDP
                              TCP/UDP
                              ICMP
                              ESP
                              AH
                              GRE
                              IPV6
                              IGMP
                              PIM
                              OSPF
                              SCTP
                              any
                              CARP
                              PFSYNC

                              Curiosamente sí hay protocolo para OSPF (que es un protocolo de enrutamiento muy usado en Cisco), ergo tienes que poner any, para que pase el tráfico bajo el protocolo MPLS

                              Me alegro que se haya solucionado, gracias a ti también pues también he aprendido :)

                              Salu2

                              Javier Castañón
                              Técnico de comunicaciones, soporte y sistemas.

                              Mi web: https://javcasta.com/

                              Soporte scripting/pfSense https://javcasta.com/soporte/

                              1 Reply Last reply Reply Quote 0
                              • A
                                Aleximper
                                last edited by May 12, 2016, 3:15 PM

                                Buen día Amigos

                                Hay que hacer unas aclaraciónes:

                                • En realidad MPLS opera en las capas 2 y 3 del modelo OSI
                                • Ningún proveedor ofrece MPLS punto a punto, es un tema de marketing, puesto que es demasiado costoso, en realidad tu tráfico es etiquetado utilizando MPLS en el core de la red de tu ISP, y se vale de sistemas de transmisión como lo es metroethernet, o DWDM, SDH entre otros, y como MPLS se puede combinar con todas estas tecnologías.
                                • La regla que creaste está bien, es como si fuera otra interfaz LAN.
                                1 Reply Last reply Reply Quote 0
                                • J
                                  javcasta
                                  last edited by May 12, 2016, 8:11 PM

                                  Hola

                                  Aleximper, he corregido lo de que MPLS trabaje en capa 3 y 4, es 2 y 3, los nºs a veces bailan :)  … gracias.

                                  Lo que sí tengo claro es que MPLS es el sustituto a FrameRelay (por lo menos esa es la tendencia de los ISPs)

                                  Salu2

                                  Javier Castañón
                                  Técnico de comunicaciones, soporte y sistemas.

                                  Mi web: https://javcasta.com/

                                  Soporte scripting/pfSense https://javcasta.com/soporte/

                                  1 Reply Last reply Reply Quote 0
                                  4 out of 16
                                  • First post
                                    4/16
                                    Last post
                                  Copyright 2025 Rubicon Communications LLC (Netgate). All rights reserved.
                                    This community forum collects and processes your personal information.
                                    consent.not_received