Вопросы новичка по pfsense

PbIXTOP

Всем доброго утра. Подскажите пожалуйста каким образом заблокировать социальные сети aliase-ми всем пользователям LAN сети, но чтобы на определённые ip адреса эти ограничения не распространялись.

Используйте прокси для всех в сети в обязательном порядке. И блокируйте-разрешайте через него.

nvm

Люди объясните чайнику.
Сейчас разбираюсь с IPFW и тут есть такой блок Source и Destination (логически я понимаю что первое это источник а второе место назначение)
НО не могли бы для чайника на пальцах рассказать или ткнуть в мануал где описывается логика этих блоков.

И самое главное какую роль играет чекбокс Invert match.

Заранее большое спасибо!

pigbrother

@nvm:

Люди объясните чайнику.
Сейчас разбираюсь с IPFW и тут есть такой блок Source и Destination (логически я понимаю что первое это источник а второе место назначение)
НО не могли бы для чайника на пальцах рассказать или ткнуть в мануал где описывается логика этих блоков.

И самое главное какую роль играет чекбокс Invert match.

Заранее большое спасибо!

Упрощенно:

Для того, что исходит из LAN - Любые IP вашей LAN\Вся LAN - это Source, то куда уходит (WAN\иной интерфейс) - Destination.

Для WAN - наоборот.

Invert match меняет логику работы правила, напрмер

правило

drop IPv4 * 10.11.11.250 * **!**10.0.2.5 * * none

будет отбрасывать все пакеты, которые приходят от 10.11.11.250, кроме тех, котрые предназначены для 10.0.2.5

а правило

drop IPv4 * 192.168.0.0/24 * **!**10.0.2.5 * * none

будет отбрасывать все пакеты, которые приходят из сети 192.168.0.0/24, кроме тех, котрые предназначены для 10.0.2.5

!- общепринятое обозначение Invert match

nvm

Всем добрый день.
Я снова с вопросом.
Поставил на сервере связку squid + SquidGuard
вопрос такой, мне нужно максимально заблокировать доступ на скачку файлов.
Делал по инструкции: http://www.thin.kiev.ua/router-os/50-pfsense/530-pfsense-squid.html

Но тут два вопроса:

в этих регулярных приложениях допустим стоит параметр wav в правиле (mp3|wav|avi|mp4|mpeg4|ac3|flv|torrent)
то он будет блокировать любой сайт где в URL есть совпадения слова wav ????
если идет скачка с https то эти правила на скачку как я понимаю не работают?

PS вопрос именно такой что бы блокировка шла именно по расширению при скачке (например http://cdndl.zaev.net/259213/4107062/carla_s_dreams_-sub_pielea_mea(zaycev.net).mp3** ) а не при совпадении в URL (хорошийсайт.ру/полезные статьи/chem-open-file-mp3-na-kompe.html)

Заранее большое спасибо.
PSS если я тут сморозил глупость простите(

werter

Доброе.

Попробуйте
.(.mp3$|.avi$|.mp4$) или ..(mp3|wav|avi|mp4|mpeg4|ac3|flv|torrent)$

Или же поищите как блокировать по mime-типу.

И не забудьте Apply жать.

Маски:
. - одиночный символ
* - неограниченное повторение последнего символа
.* - соотв любая последовательность
. - точка
\ - один слеш
^ - от начала строки
$ - конец строки
() - скобки ограничивают токен
[] - скобки допустимые символы
| - знак или

http:\\..mail.ru. - соответствует http:\.mail.ru
..mail.ru.((.exe$)|(.php$)|(.zip$)) - соответствует .mail.ru.exe или .mail.ru.php или .mail.ru.zip

[0-9]* - любая строка из цифр
[a-zA-Z0-9] - любая цифро-буквенная строка с латиницей

nvm

werter спасибо большое за шпаргалку.

Возник другой вопрос.
у меня в конторе стоит шлюз на freebsd через который все бегают в интернет
и стоит второй шлюз который соединяется с головной конторой и там пакетики бегают только между нашими сетями.

в Pfsense прописал

System - Routing - Gateways - ip(внутренний 192.168.0.0) второго шлюза который соединяет наши конторы
System - Routing - Static Routes прописал подсети и второй шлюз который создал в первом пункте.

и вроде все работает и проходит подключение, но через каждые 5 секунд сбрасывается или происходит переподключение.

и не могу понять что может быть не так, сравнивал netstat -rn они одинаковые что на freebsd что на pfsense

Дайте совет в какую сторону копать почему может идти сброс соединения?

PbIXTOP

@nvm:

werter спасибо большое за шпаргалку.

Возник другой вопрос.
у меня в конторе стоит шлюз на freebsd через который все бегают в интернет
и стоит второй шлюз который соединяется с головной конторой и там пакетики бегают только между нашими сетями.

в Pfsense прописал

System - Routing - Gateways - ip(внутренний 192.168.0.0) второго шлюза который соединяет наши конторы

System - Routing - Static Routes прописал подсети и второй шлюз который создал в первом пункте.

и вроде все работает и проходит подключение, но через каждые 5 секунд сбрасывается или происходит переподключение.

и не могу понять что может быть не так, сравнивал netstat -rn они одинаковые что на freebsd что на pfsense

Дайте совет в какую сторону копать почему может идти сброс соединения?

Сброс соединения происходит из-за асимметричной конфигурации сети.
Если для всех шлюзом является pfSense и второй маршрутизатор находится в одной подсети с клиентами, то самый простой вариант дополнительно NAT'ить пакеты в соседнюю сеть

nvm

@PbIXTOP:

@nvm:

werter спасибо большое за шпаргалку.

Возник другой вопрос.
у меня в конторе стоит шлюз на freebsd через который все бегают в интернет
и стоит второй шлюз который соединяется с головной конторой и там пакетики бегают только между нашими сетями.

в Pfsense прописал

System - Routing - Gateways - ip(внутренний 192.168.0.0) второго шлюза который соединяет наши конторы

System - Routing - Static Routes прописал подсети и второй шлюз который создал в первом пункте.

и вроде все работает и проходит подключение, но через каждые 5 секунд сбрасывается или происходит переподключение.

и не могу понять что может быть не так, сравнивал netstat -rn они одинаковые что на freebsd что на pfsense

Дайте совет в какую сторону копать почему может идти сброс соединения?

Сброс соединения происходит из-за асимметричной конфигурации сети.
Если для всех шлюзом является pfSense и второй маршрутизатор находится в одной подсети с клиентами, то самый простой вариант дополнительно NAT'ить пакеты в соседнюю сеть

Да pfSense является шлюзом по умолчанию
второй маршрутизатор - да он находится в одой сети и lan у него имеет наш внутренний ip

подскажите как настроить теперь nat?
Заранее большое спасибо

PbIXTOP

@nvm:

@PbIXTOP:

@nvm:

werter спасибо большое за шпаргалку.

Возник другой вопрос.
у меня в конторе стоит шлюз на freebsd через который все бегают в интернет
и стоит второй шлюз который соединяется с головной конторой и там пакетики бегают только между нашими сетями.

в Pfsense прописал

System - Routing - Gateways - ip(внутренний 192.168.0.0) второго шлюза который соединяет наши конторы

System - Routing - Static Routes прописал подсети и второй шлюз который создал в первом пункте.

и вроде все работает и проходит подключение, но через каждые 5 секунд сбрасывается или происходит переподключение.

и не могу понять что может быть не так, сравнивал netstat -rn они одинаковые что на freebsd что на pfsense

Дайте совет в какую сторону копать почему может идти сброс соединения?

Сброс соединения происходит из-за асимметричной конфигурации сети.
Если для всех шлюзом является pfSense и второй маршрутизатор находится в одной подсети с клиентами, то самый простой вариант дополнительно NAT'ить пакеты в соседнюю сеть

Да pfSense является шлюзом по умолчанию
второй маршрутизатор - да он находится в одой сети и lan у него имеет наш внутренний ip

подскажите как настроить теперь nat?
Заранее большое спасибо

Варианта кстати 2:

через DHCP или статически на клиентах указать маршрут на удаленную сеть через второй маршрутизатор.
воспользоваться закрепленными темами и поискать статью о настройке доступа к RDP через pfSense когда он не является маршрутизатором по умолчанию для сети.

gulin

Приветствую.

В школе вместо ограниченного 15-ю сессиями usergate поставил отдельную железку с pfsense (набрел на него в поисках альтернативы usergate).

Схема получилась такая:

192.168.17.1 - pfsense
192.168.17.2 - контроллер домена (AD, WS2008r2)

В настройках DNS для рабочих станций в pfsense указан первым 192.168.17.2
Вторым 192.168.17.1
С этими настройками сетевые папки работают и авторизация пользователей в AD проходит на ура.

Теперь необходимо компьютерный класс (с ученическими машинами) пропустить через Яндекс.ДНС.

Подскажите, возможно ли это сделать (и как, если да) средствами pfsense?

Благодарю за помощь.

PbIXTOP

@gulin:

Теперь необходимо компьютерный класс (с ученическими машинами) пропустить через Яндекс.ДНС.

А зачем выделять - просто выпускайте всех. У меня так клиенты сидят по умолчанию, хоть бы кто пожаловался, что некоторые сайты не открываються.
Как вариант squid умеет задавать отдельный DNS для работы.

werter

2 gulin

1. Вы молодец, что начали исп. открытое ПО.
2. Можно принудительно заставить пол-лей исп. те адреса DNS, к-ые вам необходимы. В настройках пф вы выставляете исп. Я. ДНС.
Вкл. DHCP на пф. Пол-ли будут автоматом по DHCP получать в кач-ве ДНС (и шлюза) лок. адрес. пф.
Далее, для принуд. исп. адреса ДНС нужно создать правило портфорв. на LAN, где в src будет LAN net

dak20

Ребят подскажите что делать? Установил пиСенсе последнею версию. Интернет ходит только через https, http - не прогружает страницы. Что делать? Вроде как слышал что надо непрозрачный режим выставить, но как его настроить по шагам если можно детально.

werter

2 dak20
Доброе.
Мало инф-ции.

Скрины правил fw, какие пакеты установлены etc.

dak20

С оф. сайта скачал дистрибутив последний, с флешки установил.В компе две сетевых. Одна на модем другая в сетку. Все раздается. Интернет ходит но Http нет, Https без проблем. Никаких правил, ничего ни делал, инфы нигде нет. Где куда смотреть даже не знаю. Как сделать что бы по http все работало. Потом буду ставить сквид для блокировки сайтов.

@werter:

2 dak20
Доброе.
Мало инф-ции.

Скрины правил fw, какие пакеты установлены etc.

NegoroX

открой закладку Firewall: Rules
там увидишь Floating WAN LAN
на ван лан добавь правила разрешающие все всем примерно так будет выглядеть
IPv4 TCP * * * * * none
должно забегать и ipconfig /all с любого компа выложи, а также схему твоей сетки.
(доп. пакеты типа squid squidguard надеюсь пока не ставил?

pigbrother

Это правило должно быть на LAN, pfSense создает его обычно сам как
IPv4 * LAN net * * * * none Default allow LAN to any rule
и перед ним для начала не должно быть запрещающих правил.

scts

Привет всем !
pfSense является шлюзом по умолчанию
подскажите как запретить пользоваться программой удаленного соединения LogMeIn Hamachi в локальной сети уже замучился ломится на 443 порт и спокойно работает.
443 порт запрещать нельзя .

millenium

вот такая ошибка всплывает, когда по началу открывается браузер и сайты на https

помогите победить.. :)

asadasd.jpg_thumb

werter

Доброе
1. Отобрать права Администратора у всех пол-лей.

2. http://bfy.tw/9i0n
Цитата с сайта этого же ПО . Первая ссылка в гугле :
I

f you would like to prevent your employees from installing LogMeIn on their work computer, you should block secure.logmein.com on your firewall(s).