Netgate Discussion Forum
    • Categories
    • Recent
    • Tags
    • Popular
    • Users
    • Search
    • Register
    • Login

    Настройка доступа между подсетями

    Scheduled Pinned Locked Moved Russian
    22 Posts 4 Posters 6.7k Views
    Loading More Posts
    • Oldest to Newest
    • Newest to Oldest
    • Most Votes
    Reply
    • Reply as topic
    Log in to reply
    This topic has been deleted. Only users with topic management privileges can see it.
    • S
      Scodezan
      last edited by

      @Invader_Zim:

      Если делать как мне надо, машины из разных подсетей не видят друг друга в сетевом окружении.

      В общем то могут и видеть, но доступа всё равно не будет. Если только по ipv6…

      @Invader_Zim:

      А в чём выражается безопасность не ахти? у юзеров админских прав нет, привяжу мак адрес машины к нужному айпишнику из нужной подсети, в чём ещё могут быть проблемы?

      У меня по тому же принципу более 4-х лет работает. Лично я проблем не имел, за исключением тех случаев когда на одной машине одновременно назначены несколько сетей, тоесть  192.168.[101-109].33/24
      Только у меня нет сервера в "админской сети". Для него я рекомендую вставить ещё одну сетевую карту.

      1 Reply Last reply Reply Quote 0
      • S
        Scodezan
        last edited by

        @Invader_Zim:

        @Scodezan:

        Будут ходить пакеты или нет определяют правила.

        Ну так я и просил помощи в написании таких правил :)

        например
        pass * * * LAN Address 80 * * Anti-Lockout Rule
        pass IPv4 UDP * * This Firewall 53 (DNS) * none    
        pass IPv4 * * * ! 192.168.0.0/16 * * none
        остальные правила нужно удалить

        1 Reply Last reply Reply Quote 0
        • I
          Invader_Zim
          last edited by

          @Scodezan:

          @Invader_Zim:

          @Scodezan:

          Будут ходить пакеты или нет определяют правила.

          Ну так я и просил помощи в написании таких правил :)

          например
          pass * * * LAN Address 80 * * Anti-Lockout Rule
          pass IPv4 UDP * * This Firewall 53 (DNS) * none    
          pass IPv4 * * * ! 192.168.0.0/16 * * none
          остальные правила нужно удалить

          Спасибо! Я приблизительно так и сделал, только необходимые подсети загнал в алиас и его прописал после !

          Странно что везде где искал решение по данной теме, натыкался на советы что без vlan'ов нельзя, надо покупать цыску, или на худой конец, микротик, и управляемые свичи. Такое чувство что людям производители доплачивают за такие советы.

          1 Reply Last reply Reply Quote 0
          • werterW
            werter
            last edited by

            @Invader_Zim:

            Такое чувство что людям производители доплачивают за такие советы.

            Ага, это картельный сговор. VLAN-ы враги придумали.
            То что сделали вы - это костыль и по бедности. Так сети не изолируешь.

            http://linkmeup.ru/tag/сети%20для%20самых%20маленьких/

            1 Reply Last reply Reply Quote 0
            • S
              Scodezan
              last edited by

              Лан, хорош ссориться. VLAN способствует защите от шума, шторма и сниффера.

              1 Reply Last reply Reply Quote 0
              • I
                Invader_Zim
                last edited by

                И снова здравствуйте  ;D

                В продолжении темы, захотел на одной подсети (так которая сидит на физическом интерфейсе и раздаётся автоматом), ограничить скорость(типа гостевая сеть). Но столкнулся с проблемой, что если правило стоит ниже того, где запрещается доступ между всеми подсетями, то ограничение скорости не работает, а если выше то гостевая сеть видит другие подсети и они её.

                Подскажите как быть? Или нельзя чтоб одна подсеть была в двух правилах фаерволла?

                1 Reply Last reply Reply Quote 0
                • I
                  Invader_Zim
                  last edited by

                  сам спросил, сам ответил
                  в правиле ограничивающим скорость надо было поставить галку "Allow IP Options" и всё заработало  :o

                  1 Reply Last reply Reply Quote 0
                  • I
                    Invader_Zim
                    last edited by

                    Вобщем попробовал сегодня заменить ДИР-300 pfsens'ом. Понасоздавал виртуальных айпишников с подсетями(от 192,168,0,0 до 192,168,9,0) и позагонял туда ПК. Поначалу всё было нормально, а где-то через час начала отваливаться подсеть 192,168,1,0/24 где сидит сервер с ПО, пришлось в экстренном порядке возвращать всё как было. Причём складывается такое впечатление что pfsens пытался гнать трафик в подсеть 192,168,1,0/24 через провайдера, тк при пинге машины 192,168,1,230 приходит ответ(что заданный узел недоступен) из 194,,,* который относится к первому провайдеру.

                    Может МультиВан некорректно работает на свежей версии pfsens'а, или я где-то недоставил галочку, куда копать ?

                    1 Reply Last reply Reply Quote 0
                    • P
                      PbIXTOP
                      last edited by

                      Если неправильно пошел пинг — смотреть интерфейсы и таблицу маршрутизации, ну да и правила, которыми вы перенаправляете пакеты на шлюзы. Вы скорее всего забыли простое правило между подсетями, в котором не указан шлюз.
                      Кстати, если вам не требуется блокировать трафик из одной подсети в другую на LAN, рекомендую воспользоваться Classless Route методом, описанный rubic.

                      1 Reply Last reply Reply Quote 0
                      • I
                        Invader_Zim
                        last edited by

                        @PbIXTOP:

                        Если неправильно пошел пинг — смотреть интерфейсы и таблицу маршрутизации, ну да и правила, которыми вы перенаправляете пакеты на шлюзы. Вы скорее всего забыли простое правило между подсетями, в котором не указан шлюз.
                        Кстати, если вам не требуется блокировать трафик из одной подсети в другую на LAN, рекомендую воспользоваться Classless Route методом, описанный rubic.

                        Как раз для блокировки трафика между подсетями и хочу использовать pfsens(ну и для мультивана). Завтра посмотрю что я там намудрил в правилах, если что сброшу скриншоты.

                        1 Reply Last reply Reply Quote 0
                        • P
                          PbIXTOP
                          last edited by

                          Раз все подсети сидят в одном L2 домене, то от ушлых обход трафика через pfSense будет не проблема.
                          Кстати не забывайте, что есть еще и IPv6 и ему все равно на ваши попытки разделения IPv4 трафика.
                          Если файлопомойка должна быть доступна из всех подсетей, то лучше трафик до неё и обратно не прогонять через pfSense — мое ИМХО это просто лишний нагрев воздуха.

                          1 Reply Last reply Reply Quote 0
                          • First post
                            Last post
                          Copyright 2025 Rubicon Communications LLC (Netgate). All rights reserved.