Netgate Discussion Forum
    • Categories
    • Recent
    • Tags
    • Popular
    • Users
    • Search
    • Register
    • Login

    вопрос по NAT Reflection в 2.2.6

    Russian
    9
    29
    5.4k
    Loading More Posts
    • Oldest to Newest
    • Newest to Oldest
    • Most Votes
    Reply
    • Reply as topic
    Log in to reply
    This topic has been deleted. Only users with topic management privileges can see it.
    • U
      U-351
      last edited by

      Проблема с внутренними/внешними подключениями изящно решается с помощью DNS без NAT.

      • Создаете "белый" домен, прописываете в него "белый" адрес.
      • Создаете в DNS Forwarders в Host Overrides запись хоста с тем же именем, но с локальным IP.

      В итоге своим менеджерам прописываете FQDN хоста, при подключении извне они берут белый адрес сервера. При подключении изнутри, белый адрес перекрывается локальным IP сервера.

      1 Reply Last reply Reply Quote 0
      • P
        pigbrother
        last edited by

        Не используете ли вы limiter?
        Недавно столкнулся с тем, что включение лимитера отключает в 2.2.6 работоспособность NAT Reflection
        как NAT + proxy так и  pure NAT.

        Похоже это баг:
        https://forum.pfsense.org/index.php?topic=96810.0
        https://redmine.pfsense.org/issues/4326

        1 Reply Last reply Reply Quote 0
        • S
          Sobleum
          last edited by

          Видимо это проблема релиза. Сам столкнулся с этим. Вот в этой ветке: https://forum.pfsense.org/index.php?topic=94881.0;all разбирают схожий момент. Как я понял создаются не полные правила, но даже допил руками не спасает. А на счет NAT+Proxy, мне кажется вы зря переживаете, ибо "… TCP and UDP protocols are supported." (в описании к режиму). А другие протоколы я, по крайней мере, еще ни разу не прокидывал.

          1 Reply Last reply Reply Quote 0
          • P
            pigbrother
            last edited by

            Я бы не назвал это конкретно проблемой релиза.

            Использую  NAT Reflection в 2.2.6, начал использовать еще в 2.0.
            2.2.6, правда не чистая, а получена обновлениями с 2.0.

            1 Reply Last reply Reply Quote 0
            • S
              Sobleum
              last edited by

              А в той ветке как раз и говорится, что в обновленных версиях с 2.1.5 все работает, а при чистой перестановке перестает

              1 Reply Last reply Reply Quote 0
              • K
                Kuraleb
                last edited by

                Здравстуйте.

                У меня на NAT Reflection на 2.3.2 в режиме NAT+proxy притормаживают или вовсе теряется связь с внутренними сервисами. Это критичный момент, так как взаиомдействие должно производиться непрерывно. А при включении Pure Nat, за зоной DMZ, почта на Zimbra начинает отклонять все письма.

                Прочел я https://doc.pfsense.org/index.php/Why_can%27t_I_access_forwarded_ports_on_my_WAN_IP_from_my_LAN/OPTx_networks.

                И подумал, что DNS forwarding было бы действительно неплохим решением, но как тут обстоят дела с необходимостью перенаправления к нестандартным портом?

                Т.е. пользователь набирает в браузере www.nameserver.ru, а его переадресует грубо говоря на http://10.0.0.99:8080/index.htm?
                Плюс ко всему, на этом же самом IP у нас есть еще ресурсы на порту 8081, на который должно обращаться при указании например http://10.0.0.99:8081/resources/2.
                Что бы для пользователя это выглядело просто как набор www.nameserver.ru/resources/2

                Реализуемо ли это данным средством?

                Спасибо.

                1 Reply Last reply Reply Quote 0
                • werterW
                  werter
                  last edited by

                  Доброе.
                  Пользователь набирает www.nameserver.ru:8080 и при вкл. dns resolver попадает на 10.0.0.99:8080
                  Разве это проблема порт добавить ? Закладку им сделайте в браузере, а лучше - сами пусть сделают.

                  1 Reply Last reply Reply Quote 0
                  • K
                    Kuraleb
                    last edited by

                    @werter:

                    Доброе.
                    Пользователь набирает www.nameserver.ru:8080 и при вкл. dns resolver попадает на 10.0.0.99:8080
                    Разве это проблема порт добавить ? Закладку им сделайте в браузере, а лучше - сами пусть сделают.

                    Увы - это не устроит мое руководство.

                    Можно было бы сделать так, что бы по определенным адресам прописанным в правиле, пользователя кидало на нужный внутренний сервер с нужным портом. И что бы он не догадывался об этом?

                    1 Reply Last reply Reply Quote 0
                    • werterW
                      werter
                      last edited by

                      Попробуйте создать правило portforward на LAN. Только оно не сработает, если необходимо заворачивать неск. портов на один и тот же адрес.

                      Увы - это не устроит мое руководство.

                      Не повезло Вам с  руководством.

                      1 Reply Last reply Reply Quote 0
                      • P
                        PbIXTOP
                        last edited by

                        @Kuraleb:

                        Здравстуйте.

                        У меня на NAT Reflection на 2.3.2 в режиме NAT+proxy притормаживают или вовсе теряется связь с внутренними сервисами. Это критичный момент, так как взаиомдействие должно производиться непрерывно. А при включении Pure Nat, за зоной DMZ, почта на Zimbra начинает отклонять все письма.

                        Прочел я https://doc.pfsense.org/index.php/Why_can%27t_I_access_forwarded_ports_on_my_WAN_IP_from_my_LAN/OPTx_networks.

                        И подумал, что DNS forwarding было бы действительно неплохим решением, но как тут обстоят дела с необходимостью перенаправления к нестандартным портом?

                        Т.е. пользователь набирает в браузере www.nameserver.ru, а его переадресует грубо говоря на http://10.0.0.99:8080/index.htm?
                        Плюс ко всему, на этом же самом IP у нас есть еще ресурсы на порту 8081, на который должно обращаться при указании например http://10.0.0.99:8081/resources/2.
                        Что бы для пользователя это выглядело просто как набор www.nameserver.ru/resources/2

                        Реализуемо ли это данным средством?

                        Спасибо.

                        А как тогда же работают внешние пользователи если их перекидывает на серые IP?

                        1 Reply Last reply Reply Quote 0
                        • K
                          Kuraleb
                          last edited by

                          @PbIXTOP:

                          А как тогда же работают внешние пользователи если их перекидывает на серые IP?

                          А их никуда не перекидывает.

                          1 Reply Last reply Reply Quote 0
                          • P
                            PbIXTOP
                            last edited by

                            @Kuraleb:

                            @PbIXTOP:

                            А как тогда же работают внешние пользователи если их перекидывает на серые IP?

                            А их никуда не перекидывает.

                            Так может стоит настроить сервисы, чтоб и внутренних не перекидывало, а работало для всех одинаково?

                            1 Reply Last reply Reply Quote 0
                            • werterW
                              werter
                              last edited by

                              Настройте split dns .

                              1 Reply Last reply Reply Quote 0
                              • K
                                Kuraleb
                                last edited by

                                @PbIXTOP:

                                @Kuraleb:

                                @PbIXTOP:

                                А как тогда же работают внешние пользователи если их перекидывает на серые IP?

                                А их никуда не перекидывает.

                                Так может стоит настроить сервисы, чтоб и внутренних не перекидывало, а работало для всех одинаково?

                                У нас попросту нет серых IP)

                                1 Reply Last reply Reply Quote 0
                                • werterW
                                  werter
                                  last edited by

                                  Т.е. у вас в сети у всех белые ip ?

                                  1 Reply Last reply Reply Quote 0
                                  • B
                                    bill_open
                                    last edited by

                                    Такая же проблема.
                                    Необходимо предоставить доступ к TCP порту из сети LAN1 в сеть lan2 через белый ip адрес WAN(необходимость такая же как и предыдущего оратора, поэтому прямой доступ между сетям исключен, так же исключен метод через fqdn).
                                    Pure NAT и NAT proxy боюсь использовать так как уже очень много проброшено портов(не знаю к каким последствиям приведет).
                                    Если есть какой нибудь дельный совет, подскажите, а то придется всю топологию сети переделывать, да бы исключить похожие ситуации в будущем.
                                    p.s. pf2.1.2

                                    1 Reply Last reply Reply Quote 0
                                    • P
                                      PbIXTOP
                                      last edited by

                                      @bill_open:

                                      Такая же проблема.
                                      Необходимо предоставить доступ к TCP порту из сети LAN1 в сеть lan2 через белый ip адрес WAN(необходимость такая же как и предыдущего оратора, поэтому прямой доступ между сетям исключен, так же исключен метод через fqdn).
                                      Pure NAT и NAT proxy боюсь использовать так как уже очень много проброшено портов(не знаю к каким последствиям приведет).
                                      Если есть какой нибудь дельный совет, подскажите, а то придется всю топологию сети переделывать, да бы исключить похожие ситуации в будущем.
                                      p.s. pf2.1.2

                                      Намного проще разрешить трафик на этот порт из LAN1 чем заморачиваться с NAT Proxy
                                      Если сервисы в LAN2 не принимают трафик из подсетей LAN1, тогда можно еще добавить правило NAT'а на интерфейсе LAN2 для подсетей c LAN1

                                      1 Reply Last reply Reply Quote 0
                                      • B
                                        bill_open
                                        last edited by

                                        @PbIXTOP:

                                        @bill_open:

                                        Такая же проблема.
                                        Необходимо предоставить доступ к TCP порту из сети LAN1 в сеть lan2 через белый ip адрес WAN(необходимость такая же как и предыдущего оратора, поэтому прямой доступ между сетям исключен, так же исключен метод через fqdn).
                                        Pure NAT и NAT proxy боюсь использовать так как уже очень много проброшено портов(не знаю к каким последствиям приведет).
                                        Если есть какой нибудь дельный совет, подскажите, а то придется всю топологию сети переделывать, да бы исключить похожие ситуации в будущем.
                                        p.s. pf2.1.2

                                        Намного проще разрешить трафик на этот порт из LAN1 чем заморачиваться с NAT Proxy
                                        Если сервисы в LAN2 не принимают трафик из подсетей LAN1, тогда можно еще добавить правило NAT'а на интерфейсе LAN2 для подсетей c LAN1

                                        Это уже сделано, но так же как и в предыдущем случае это не нравится руководству)) Единственный вариант который я вижу, это ударить себя в голову и не заниматься ерундой и сменить профессию строить универсальные топологии.

                                        1 Reply Last reply Reply Quote 0
                                        • ?
                                          A Former User
                                          last edited by

                                          Хочу спросить спецов:
                                          Разница между днс форвардером и днс резольвером

                                          1 Reply Last reply Reply Quote 0
                                          • P
                                            pigbrother
                                            last edited by

                                            DNS Resolver - это Unbound:
                                            https://doc.pfsense.org/index.php/Unbound_DNS_Resolver
                                            https://en.wikipedia.org/wiki/Unbound_(DNS_server)

                                            DNS Forwarder - это dnsmasq
                                            https://doc.pfsense.org/index.php/DNS_Forwarder
                                            https://en.wikipedia.org/wiki/Dnsmasq
                                            https://ru.wikipedia.org/wiki/Dnsmasq

                                            Если грубо:
                                            Dnsmasq не может работать без указания внешнего DNS, которому он направляет запросы для разрешения имен в Интернет.
                                            Вики:
                                            Dnsmasq — легковесный и быстроконфигурируемый DNS-, DHCP- и TFTP-сервер, предназначенный для обеспечения доменными именами и связанными с ними сервисами небольшие сети. Может обеспечивать именами локальные машины, которые не имеют глобальных DNS-записей. DHCP-сервер интегрирован с DNS-сервером и даёт машинам с IP-адресом доменное имя, сконфигурированное раннее в конфигурационном файле. Поддерживает привязку IP-адреса к компьютеру или автоматическую настройку IP-адресов из заданного диапазона и BOOTP для сетевой загрузки бездисковых машин.
                                            Разработчики позиционируют программу для использования в домашних сетях, использующих NAT, однако Dnsmasq также применим в малых сетях организаций.

                                            Unbound - "полноценный" DNS.

                                            1 Reply Last reply Reply Quote 0
                                            • First post
                                              Last post
                                            Copyright 2025 Rubicon Communications LLC (Netgate). All rights reserved.