Netgate Discussion Forum
    • Categories
    • Recent
    • Tags
    • Popular
    • Users
    • Search
    • Register
    • Login

    вопрос по NAT Reflection в 2.2.6

    Scheduled Pinned Locked Moved Russian
    29 Posts 9 Posters 5.4k Views
    Loading More Posts
    • Oldest to Newest
    • Newest to Oldest
    • Most Votes
    Reply
    • Reply as topic
    Log in to reply
    This topic has been deleted. Only users with topic management privileges can see it.
    • werterW
      werter
      last edited by

      @Shaman2:

      @werter:

      Надо бы попасть с LAN1 по внешнему (те. через один из WAN) адресу на RDP в LAN2.

      А зачем ? Что мешает ходить через внутреннюю адресацию ? Добавьте правила с LAN1 на LAN2.

      Все очень просто: гулющие "по миру" менеджеры, заходящие в офис ненадолго. Работают по внешней адресации, ради работы в офисе перестраивать им клиента? Мы же админы, люди ленивые :)

      С пом. Portforward можно перенаправить все что идет во вне - перенаправлять во внутрь для этих менеджеров.
      Может я непонятно выразился, пардон.

      1 Reply Last reply Reply Quote 0
      • U
        U-351
        last edited by

        Проблема с внутренними/внешними подключениями изящно решается с помощью DNS без NAT.

        • Создаете "белый" домен, прописываете в него "белый" адрес.
        • Создаете в DNS Forwarders в Host Overrides запись хоста с тем же именем, но с локальным IP.

        В итоге своим менеджерам прописываете FQDN хоста, при подключении извне они берут белый адрес сервера. При подключении изнутри, белый адрес перекрывается локальным IP сервера.

        1 Reply Last reply Reply Quote 0
        • P
          pigbrother
          last edited by

          Не используете ли вы limiter?
          Недавно столкнулся с тем, что включение лимитера отключает в 2.2.6 работоспособность NAT Reflection
          как NAT + proxy так и  pure NAT.

          Похоже это баг:
          https://forum.pfsense.org/index.php?topic=96810.0
          https://redmine.pfsense.org/issues/4326

          1 Reply Last reply Reply Quote 0
          • S
            Sobleum
            last edited by

            Видимо это проблема релиза. Сам столкнулся с этим. Вот в этой ветке: https://forum.pfsense.org/index.php?topic=94881.0;all разбирают схожий момент. Как я понял создаются не полные правила, но даже допил руками не спасает. А на счет NAT+Proxy, мне кажется вы зря переживаете, ибо "… TCP and UDP protocols are supported." (в описании к режиму). А другие протоколы я, по крайней мере, еще ни разу не прокидывал.

            1 Reply Last reply Reply Quote 0
            • P
              pigbrother
              last edited by

              Я бы не назвал это конкретно проблемой релиза.

              Использую  NAT Reflection в 2.2.6, начал использовать еще в 2.0.
              2.2.6, правда не чистая, а получена обновлениями с 2.0.

              1 Reply Last reply Reply Quote 0
              • S
                Sobleum
                last edited by

                А в той ветке как раз и говорится, что в обновленных версиях с 2.1.5 все работает, а при чистой перестановке перестает

                1 Reply Last reply Reply Quote 0
                • K
                  Kuraleb
                  last edited by

                  Здравстуйте.

                  У меня на NAT Reflection на 2.3.2 в режиме NAT+proxy притормаживают или вовсе теряется связь с внутренними сервисами. Это критичный момент, так как взаиомдействие должно производиться непрерывно. А при включении Pure Nat, за зоной DMZ, почта на Zimbra начинает отклонять все письма.

                  Прочел я https://doc.pfsense.org/index.php/Why_can%27t_I_access_forwarded_ports_on_my_WAN_IP_from_my_LAN/OPTx_networks.

                  И подумал, что DNS forwarding было бы действительно неплохим решением, но как тут обстоят дела с необходимостью перенаправления к нестандартным портом?

                  Т.е. пользователь набирает в браузере www.nameserver.ru, а его переадресует грубо говоря на http://10.0.0.99:8080/index.htm?
                  Плюс ко всему, на этом же самом IP у нас есть еще ресурсы на порту 8081, на который должно обращаться при указании например http://10.0.0.99:8081/resources/2.
                  Что бы для пользователя это выглядело просто как набор www.nameserver.ru/resources/2

                  Реализуемо ли это данным средством?

                  Спасибо.

                  1 Reply Last reply Reply Quote 0
                  • werterW
                    werter
                    last edited by

                    Доброе.
                    Пользователь набирает www.nameserver.ru:8080 и при вкл. dns resolver попадает на 10.0.0.99:8080
                    Разве это проблема порт добавить ? Закладку им сделайте в браузере, а лучше - сами пусть сделают.

                    1 Reply Last reply Reply Quote 0
                    • K
                      Kuraleb
                      last edited by

                      @werter:

                      Доброе.
                      Пользователь набирает www.nameserver.ru:8080 и при вкл. dns resolver попадает на 10.0.0.99:8080
                      Разве это проблема порт добавить ? Закладку им сделайте в браузере, а лучше - сами пусть сделают.

                      Увы - это не устроит мое руководство.

                      Можно было бы сделать так, что бы по определенным адресам прописанным в правиле, пользователя кидало на нужный внутренний сервер с нужным портом. И что бы он не догадывался об этом?

                      1 Reply Last reply Reply Quote 0
                      • werterW
                        werter
                        last edited by

                        Попробуйте создать правило portforward на LAN. Только оно не сработает, если необходимо заворачивать неск. портов на один и тот же адрес.

                        Увы - это не устроит мое руководство.

                        Не повезло Вам с  руководством.

                        1 Reply Last reply Reply Quote 0
                        • P
                          PbIXTOP
                          last edited by

                          @Kuraleb:

                          Здравстуйте.

                          У меня на NAT Reflection на 2.3.2 в режиме NAT+proxy притормаживают или вовсе теряется связь с внутренними сервисами. Это критичный момент, так как взаиомдействие должно производиться непрерывно. А при включении Pure Nat, за зоной DMZ, почта на Zimbra начинает отклонять все письма.

                          Прочел я https://doc.pfsense.org/index.php/Why_can%27t_I_access_forwarded_ports_on_my_WAN_IP_from_my_LAN/OPTx_networks.

                          И подумал, что DNS forwarding было бы действительно неплохим решением, но как тут обстоят дела с необходимостью перенаправления к нестандартным портом?

                          Т.е. пользователь набирает в браузере www.nameserver.ru, а его переадресует грубо говоря на http://10.0.0.99:8080/index.htm?
                          Плюс ко всему, на этом же самом IP у нас есть еще ресурсы на порту 8081, на который должно обращаться при указании например http://10.0.0.99:8081/resources/2.
                          Что бы для пользователя это выглядело просто как набор www.nameserver.ru/resources/2

                          Реализуемо ли это данным средством?

                          Спасибо.

                          А как тогда же работают внешние пользователи если их перекидывает на серые IP?

                          1 Reply Last reply Reply Quote 0
                          • K
                            Kuraleb
                            last edited by

                            @PbIXTOP:

                            А как тогда же работают внешние пользователи если их перекидывает на серые IP?

                            А их никуда не перекидывает.

                            1 Reply Last reply Reply Quote 0
                            • P
                              PbIXTOP
                              last edited by

                              @Kuraleb:

                              @PbIXTOP:

                              А как тогда же работают внешние пользователи если их перекидывает на серые IP?

                              А их никуда не перекидывает.

                              Так может стоит настроить сервисы, чтоб и внутренних не перекидывало, а работало для всех одинаково?

                              1 Reply Last reply Reply Quote 0
                              • werterW
                                werter
                                last edited by

                                Настройте split dns .

                                1 Reply Last reply Reply Quote 0
                                • K
                                  Kuraleb
                                  last edited by

                                  @PbIXTOP:

                                  @Kuraleb:

                                  @PbIXTOP:

                                  А как тогда же работают внешние пользователи если их перекидывает на серые IP?

                                  А их никуда не перекидывает.

                                  Так может стоит настроить сервисы, чтоб и внутренних не перекидывало, а работало для всех одинаково?

                                  У нас попросту нет серых IP)

                                  1 Reply Last reply Reply Quote 0
                                  • werterW
                                    werter
                                    last edited by

                                    Т.е. у вас в сети у всех белые ip ?

                                    1 Reply Last reply Reply Quote 0
                                    • B
                                      bill_open
                                      last edited by

                                      Такая же проблема.
                                      Необходимо предоставить доступ к TCP порту из сети LAN1 в сеть lan2 через белый ip адрес WAN(необходимость такая же как и предыдущего оратора, поэтому прямой доступ между сетям исключен, так же исключен метод через fqdn).
                                      Pure NAT и NAT proxy боюсь использовать так как уже очень много проброшено портов(не знаю к каким последствиям приведет).
                                      Если есть какой нибудь дельный совет, подскажите, а то придется всю топологию сети переделывать, да бы исключить похожие ситуации в будущем.
                                      p.s. pf2.1.2

                                      1 Reply Last reply Reply Quote 0
                                      • P
                                        PbIXTOP
                                        last edited by

                                        @bill_open:

                                        Такая же проблема.
                                        Необходимо предоставить доступ к TCP порту из сети LAN1 в сеть lan2 через белый ip адрес WAN(необходимость такая же как и предыдущего оратора, поэтому прямой доступ между сетям исключен, так же исключен метод через fqdn).
                                        Pure NAT и NAT proxy боюсь использовать так как уже очень много проброшено портов(не знаю к каким последствиям приведет).
                                        Если есть какой нибудь дельный совет, подскажите, а то придется всю топологию сети переделывать, да бы исключить похожие ситуации в будущем.
                                        p.s. pf2.1.2

                                        Намного проще разрешить трафик на этот порт из LAN1 чем заморачиваться с NAT Proxy
                                        Если сервисы в LAN2 не принимают трафик из подсетей LAN1, тогда можно еще добавить правило NAT'а на интерфейсе LAN2 для подсетей c LAN1

                                        1 Reply Last reply Reply Quote 0
                                        • B
                                          bill_open
                                          last edited by

                                          @PbIXTOP:

                                          @bill_open:

                                          Такая же проблема.
                                          Необходимо предоставить доступ к TCP порту из сети LAN1 в сеть lan2 через белый ip адрес WAN(необходимость такая же как и предыдущего оратора, поэтому прямой доступ между сетям исключен, так же исключен метод через fqdn).
                                          Pure NAT и NAT proxy боюсь использовать так как уже очень много проброшено портов(не знаю к каким последствиям приведет).
                                          Если есть какой нибудь дельный совет, подскажите, а то придется всю топологию сети переделывать, да бы исключить похожие ситуации в будущем.
                                          p.s. pf2.1.2

                                          Намного проще разрешить трафик на этот порт из LAN1 чем заморачиваться с NAT Proxy
                                          Если сервисы в LAN2 не принимают трафик из подсетей LAN1, тогда можно еще добавить правило NAT'а на интерфейсе LAN2 для подсетей c LAN1

                                          Это уже сделано, но так же как и в предыдущем случае это не нравится руководству)) Единственный вариант который я вижу, это ударить себя в голову и не заниматься ерундой и сменить профессию строить универсальные топологии.

                                          1 Reply Last reply Reply Quote 0
                                          • ?
                                            A Former User
                                            last edited by

                                            Хочу спросить спецов:
                                            Разница между днс форвардером и днс резольвером

                                            1 Reply Last reply Reply Quote 0
                                            • First post
                                              Last post
                                            Copyright 2025 Rubicon Communications LLC (Netgate). All rights reserved.