Вопросы новичка по pfsense

werter

Доброе

1. Уточните для чего именно списки. Веб - вполне (группы в сквиде) или ip alias, если не веб.
2. Да.
3. Да
4. Пока нет.

Ищите книгу pfsense cookbook. Есть и на русском (не вся) и не для 2.3.х-версии, но вполне.

P.s. Видео-уроки https://www.youtube.com/playlist?list=PL2BaVmpX7hX8fJtOkTD7M_pUHryQzVl8v

deicide

Доброе

1. Уточните для чего именно списки. Веб - вполне (группы в сквиде) или ip alias, если не веб.
2. Да.
3. Да
4. Пока нет.

Ищите книгу pfsense cookbook. Есть и на русском (не вся) и не для 2.3.х-версии, но вполне.

P.s. Видео-уроки https://www.youtube.com/playlist?list=PL2BaVmpX7hX8fJtOkTD7M_pUHryQzVl8v

1. Наверное я неточно объяснил: я хотел уточнить можно ли средствами pfsense отсканировать локальную сеть и выбрать оттуда пользователей имеющих доступ к интернету или самому загрузить такой список, чтобы не вводить их руками.

2. По 4 пункту Может все-таки существуют способы блокировки определенным группам пользователей доступа в социальные сети, просмотр видео и некоторым сайтам ?

Заранее спасибо.
P.s. книгу нашел, изучаю видео-уроки.

NetWoolf

@PbIXTOP:

@NetWoolf:

у меня роутер на pfSense имеет локальный ip:192.168.100.254, по dhcp выдаются адреса в диапазоне 192.168.100.100-192.168.100.200, как сделать так чтобы эти клиенты не могли получать доступ в локальную сеть(192.168.0.1-192.168.0.255 и вторая сеть 192.168.1.1-192.168.1.255) поскольку в ней есть компьютеры с расшаряными дисками.

Опишите подробнее — откуда взялись сети 0.255 и 1.255? куда они подключены?
При обычной нормальной настройке Windows, её брандмауэр не позволяет производить доступ к SMB из не своей подсети.

http://img-host.org.ua/images/00000000fqf.jpg
Вот карта сети, нужно изолировать (чтобы не могли видеть в сети компьютеры) с сети "Здание 1", это вай файт хотспот

werter

1. Наверное я неточно объяснил: я хотел уточнить можно ли средствами pfsense отсканировать локальную сеть и выбрать оттуда пользователей имеющих доступ к интернету или самому загрузить такой список, чтобы не вводить их руками.

Это что-то из мира фантастики.

2. По 4 пункту Может все-таки существуют способы блокировки определенным группам пользователей доступа в социальные сети, просмотр видео и некоторым сайтам ?

Вот тут реализовали mitm для squidguard (форк пф) - http://distrowatch.com/?newsid=09714 . И вот тут http://www.nethserver.org/nethserver-7-final-released/

PbIXTOP

@NetWoolf:

@PbIXTOP:

@NetWoolf:

у меня роутер на pfSense имеет локальный ip:192.168.100.254, по dhcp выдаются адреса в диапазоне 192.168.100.100-192.168.100.200, как сделать так чтобы эти клиенты не могли получать доступ в локальную сеть(192.168.0.1-192.168.0.255 и вторая сеть 192.168.1.1-192.168.1.255) поскольку в ней есть компьютеры с расшаряными дисками.

Опишите подробнее — откуда взялись сети 0.255 и 1.255? куда они подключены?
При обычной нормальной настройке Windows, её брандмауэр не позволяет производить доступ к SMB из не своей подсети.

http://img-host.org.ua/images/00000000fqf.jpg
Вот карта сети, нужно изолировать (чтобы не могли видеть в сети компьютеры) с сети "Здание 1", это вай файт хотспот

Так разделенные сегменты L2 и так не покажут через окружение сети друг-друга, если только не знать на какой IP ломиться, но тут спасает по умолчанию бранмауэр Windows

NetWoolf

@PbIXTOP:

@NetWoolf:

@PbIXTOP:

@NetWoolf:

у меня роутер на pfSense имеет локальный ip:192.168.100.254, по dhcp выдаются адреса в диапазоне 192.168.100.100-192.168.100.200, как сделать так чтобы эти клиенты не могли получать доступ в локальную сеть(192.168.0.1-192.168.0.255 и вторая сеть 192.168.1.1-192.168.1.255) поскольку в ней есть компьютеры с расшаряными дисками.

Опишите подробнее — откуда взялись сети 0.255 и 1.255? куда они подключены?
При обычной нормальной настройке Windows, её брандмауэр не позволяет производить доступ к SMB из не своей подсети.

http://img-host.org.ua/images/00000000fqf.jpg
Вот карта сети, нужно изолировать (чтобы не могли видеть в сети компьютеры) с сети "Здание 1", это вай файт хотспот

Так разделенные сегменты L2 и так не покажут через окружение сети друг-друга, если только не знать на какой IP ломиться, но тут спасает по умолчанию бранмауэр Windows

что делать с расшаряными папками и принтерами?

millenium

помогите с проблемой..

Есть сервер в локальной сети.
Есть клиенты , которые подключаются к нему через свой клиент, по порту 8085. ( по http )

При установке в браузере прописываю проксю, клиент перестают соединяться с сервером.

Как реализовать ?

1. сервер: 192.168.29.10
2. клиент: 192.168.23.11

amrdb

Подскажите что это за правило?

The rule that triggered this action is:
@107(1000010015) pass out log inet all flags S/SA keep state allow-opts label "let out anything IPv4 from firewall host itself"

Создаю правило на влане запретить всё, а пакеты проходят и в логе это правило светится. :(

A Former User

@amrdb:

Подскажите что это за правило?

The rule that triggered this action is:
@107(1000010015) pass out log inet all flags S/SA keep state allow-opts label "let out anything IPv4 from firewall host itself"

Создаю правило на влане запретить всё, а пакеты проходят и в логе это правило светится. :(

Что за вилан? Топологию сети расскажите и конф интерфейсов пфскнса.
Могу предположить что правило запрета в списке ниже чем разрешающее правило. Первым применяется то, которое выше в списке.

amrdb

@Bansardo:

Что за вилан? Топологию сети расскажите и конф интерфейсов пфскнса.
Могу предположить что правило запрета в списке ниже чем разрешающее правило. Первым применяется то, которое выше в списке.

Самые обычные вланы, созданные через Interfaces -> VLANs.
Пока писал ответ выяснилось что если хоть на одном из интерфейсов есть правило разрешить всё и всюду, то никакие запрещающие правила на втором интерфейсе не помогут. Странно конечно, но получается так.

werter

@amrdb:

Странно конечно, но получается так.

Доброе.
Это логично. Т.е. если это касается LAN, то и работать оно будет только для того, что имеет _src=_LAN net, _dst=_что-то-вовне\др. интерфейс. Аналогично и по др. интерфейсам.
Поймете это правило - все сразу оформится в единую картину.

workitnik

Добрый день прошу присутствующих гуру просветить , есть сеть 10.100.100.0/24 с внешним ип
111.111.111.111 , есть вторая подсеть 10.10.10.10/24 с внешним ип 222.222.222.222 между сетями поднят шифрованный впн туннель ikev2 site to site . Задача состоит в том чтобы допустим хост 10.100.100.101 взаимодействовал с внешней сетью с внешним ип 222.222.222.222. Тоесть выход во внешнюю сеть осуществляется через туннель и внешний ип подсети 10.10.10.0/24 . весь исходящий и входящий трафик для сети 10.100.100.0/24 идет через туннель . Сейчас это реализовано с помощью asa 5515 (10.100.100.0/24) и 5505 (10.10.10.0/24). Возможно ли заменить 5505 на pfsense и реализовать текущий функционал???
Заранее извиняюсь если такая тема рассматривалась но форуме но более менее четкого гайда по настройке связки s ty s ikev 2 между asa и pfsense на форуме так и не нашёл . Также готов к сотрудничеству если кто то возьмётся реализовать данный функционал на демо стенде

werter

2 workitnik
Доброе.
Схему нарисуйте. Так нагляднее будет.

P.s. Демостенд готов ?

pigbrother

За основу можно взять общую инструкцию для site to site с выходом в интернет через IP другой стороны туннеля:
https://doc.pfsense.org/index.php/Routing_internet_traffic_through_a_site-to-site_IPsec_tunnel

В интернет через туннель должен ходить только 10.100.100.101 или вся сеть 10.100.100.0/24?

workitnik

@werter:

2 workitnik
Доброе.
Схему нарисуйте. Так нагляднее будет.

P.s. Демостенд готов ?

Схему сейчас изображу
Демо стенд готов доступы в личку после обсуждения условий и контакта ,

workitnik

@pigbrother:

За основу можно взять общую инструкцию для site to site с выходом в интернет через IP другой стороны туннеля:
https://doc.pfsense.org/index.php/Routing_internet_traffic_through_a_site-to-site_IPsec_tunnel

В интернет через туннель должен ходить только 10.100.100.101 или вся сеть 10.100.100.0/24?

Планируется что структура имеет большое количество ветвей и оконичников
По этому доступ для определённого хоста в свой туннель и оконечный внешний ип

01.png_thumb

workitnik

@pigbrother:

За основу можно взять общую инструкцию для site to site с выходом в интернет через IP другой стороны туннеля:
https://doc.pfsense.org/index.php/Routing_internet_traffic_through_a_site-to-site_IPsec_tunnel

В интернет через туннель должен ходить только 10.100.100.101 или вся сеть 10.100.100.0/24?

И да данная схема в полнее приемлема но с условием что доступ идет не для подсети а для конкретного ип и со стороны ип должна быть ASA

Sheva

Подскажите, с чем связано и на что обратить внимание, логи забиты:
Apr 4 14:51:15 kernel (ada0:ata3:0:1:0): Retrying command
Apr 4 14:51:17 kernel (ada0:ata3:0:1:0): READ_DMA48. ACB: 25 00 1f 81 b6 40 22 00 00 00 08 00
Apr 4 14:51:17 kernel (ada0:ata3:0:1:0): CAM status: ATA Status Error
Apr 4 14:51:17 kernel (ada0:ata3:0:1:0): ATA status: 51 (DRDY SERV ERR), error: 40 (UNC )
Apr 4 14:51:17 kernel (ada0:ata3:0:1:0): RES: 51 40 21 81 b6 22 22 00 00 06 00
Apr 4 14:51:17 kernel (ada0:ata3:0:1:0): Retrying command

pigbrother

Диск\кабель\контроллер
(ada0:ata3:0:1:0): READ_DMA48. ACB: 25 00 1f 81 b6 40 22 00 00 00 08 00 - судя по всему ошибка чтения сектора.

Sheva

SATA. 280Гб., точнее не скажу, не рядом.
попробую поменять винт…

@oleg1969:

Какой у Вас HDD ??

=========================

Было у меня что-то подобное давно – помогла смена HDD (древний он был)

у меня вроде как наоборот, поставил древнюю 20ку Samsung, посмотрим…
10.04 ред. Ошибки пропали, помогла замена HDD.
Спасибо!