WAN IP 0.0.0.0
-
Hallo,
habe neulich den pfSense (apu2c4) als Router bei mir im Heimnetzwerk eingerichtet und bin schon über einige Probleme gestolpert. LAN verbindung ist einwandfrei, dafür fehlt der Weg nach draußen. Mein Internetanbieter ist zur Zeit Kabel Deutschland.
Meine Infrastruktur:
Internet < Hitron (Bridge Mode) < pfSense (als Router & Firewall) < PCBei der Konfiguration bin ich über folgende Sachen gestolpert:
1. Die wan IP wird auf 0.0.0.0 gesetzt.
2. Der DHCPDISCOVER schlägt gnadenlos fehl mit dem Response, dass es kein DHCP OFFER gibt.
3. Im Status unter "Gateways" ist zwar der LAN Gateway online, aber der WAN Gateway ist pending (dynamic)
4. Habe schon versucht die Firewall abzuschalten, hat leider keine Wirkung gezeigt.Meine Konfiguration:
1. WAN via DHCP und DHCP6
2. DNS Server sind 8.8.8.8 und 4.4.4.4Als Router hatte ich bisher eine alte Fritz mit einer DMZ davor, das funktioniert alles einwandfrei. Ich wollte auch sicher gehen, dass die WAN an der pfSense überhaupt funktioniert, wenn ich die pfSense an die Fritz anschließe, dann bekommt es eine gültige WAN ip. Das war's aber auch schon, weil ins Internet über die pfSense geht leider auch nicht.
Ich stehe im Moment ein wenig auf dem Schlauch, da die Logs nicht besonders gesprächig sind. Hat jemand ne Idee was man noch überprüfen könnte um der Sache näher zu kommen?
Viele Grüße
Kamil
-
Was sagt denn das Hitron Modem, bzw. dessen Logs? Das Modem muss nachdem es an der pfSense angeschlossen wurde neugestartet werden.
-
3. Im Status unter "Gateways" ist zwar der LAN Gateway online, aber der WAN Gateway ist pending (dynamic)
Das hört sich ebenfalls schon grund-falsch an. Es gibt kein LAN Gateway. Ein Gateway gibt es nur auf WAN Verbindungen, alles andere soll dorthin ja geroutet werden. Ein GW auf einem anderen Interface als WAN gibt es nur in selteneren/spezielleren Fällen.
Zudem war es - glaube ich - so, dass einige Kabel-Nutzer auch schon reportet hatten, dass nach Wechsel des Endgeräts, das Modem resettet, neu gestartet o.ä. werden muss, weil es ansonsten sich noch die MAC oder sonstigen Daten vom vorherigen Router gemerkt hat. Ansonsten würde ich ebenfalls dazu raten, die Diagnose des Modems mal zu bemühen.
-
Danke mrsunfire! Das mit dem reset hat's geholfen. Das hat den ärger bereitet, warum der DHCP von dem ISP nicht geantwortet hat.
Für diejenige, die das gleiche Problem haben sollten. Weitere Schritte, die noch vorgenommen werden:
1. Der NAT (Firewall > NAT > Outbound) soll auf ein Modus gestellt werden, indem man selbst Regeln festlegt (Ich habe mich für das manuelle NAT entschieden). Da muss eine Regel vom lokalen Netzwerk nach außen zugelassen werden.
2. DNS Resolver (Services > DNS Resolver > Access List) muss scharf geschaltet werden, sonst hat man zwar Zugriff auf das Internet, aber ohne Namensauflösung. Dort trägt man einfach die IP Adresse des lokalen Netzwerks.3. Im Status unter "Gateways" ist zwar der LAN Gateway online, aber der WAN Gateway ist pending (dynamic)
Das hört sich ebenfalls schon grund-falsch an. Es gibt kein LAN Gateway. Ein Gateway gibt es nur auf WAN Verbindungen, alles andere soll dorthin ja geroutet werden. Ein GW auf einem anderen Interface als WAN gibt es nur in selteneren/spezielleren Fällen.
Aha? Und wie soll das Traffic aus dem lokalen Netz an die WAN Schnittstelle geroutet werden, wenn kein standardmäßiges Ausgangspunkt festgelegt wurde? Natürlich braucht der LAN einen Gateway. Der LAN GW ist die IP Adresse des Routers in dem lokalem Netzwerksegment (in meinem Falle des pfSense). Dann braucht der WAN noch einen Gateway vom ISP, damit das Traffic von dem lokalen Netzwerk nach außen geroutet werden kann.
Zudem war es - glaube ich - so, dass einige Kabel-Nutzer auch schon reportet hatten, dass nach Wechsel des Endgeräts, das Modem resettet, neu gestartet o.ä. werden muss, weil es ansonsten sich noch die MAC oder sonstigen Daten vom vorherigen Router gemerkt hat. Ansonsten würde ich ebenfalls dazu raten, die Diagnose des Modems mal zu bemühen.
Bei mir war das zum Glück nicht der Fall, aber trotzdem danke für den Hinweis! Ich kann es mir vorstellen, dass es bei den ISPs variiert.
-
Hallo!
1. Der NAT (Firewall > NAT > Outbound) soll auf ein Modus gestellt werden, indem man selbst Regeln festlegt (Ich habe mich für das manuelle NAT entschieden). Da muss eine Regel vom lokalen Netzwerk nach außen zugelassen werden.
Sehe keine Notwendigkeit dazu in deinem Setup.
Die genannte Regel erstellt pfSense auch automatisch, wenn die Interfaces richtig konfiguriert sind. Wenn du am LAN ein Gateway gesetzt hat, wird wohl auch dafür eine Regel angelegt, was nicht zielführend ist. Aber wie schon erwähnt, am LAN ist kein Gateway zu setzen. -
Wie sollte das denn ohne GW im LAN funktionieren? Das ist meiner Meinung nach, eine irreführende information. Eine Anfrage muss adressiert werden. Deswegen werden die DHCP Anfragen über Broadcast gesendet, weil da noch kein GW gesetzt ist. Unter anderen auch das wird von einem DHCP zugewiesen. Das GW für das lokale Netz. Wenn ich falsch liege (was auch möglich ist) bitte auch um eine Aufklärung mit einer sinnvolen Begründung anstatt zu sagen "Ja ne, ist falsch, weiß ich auch nicht warum".
Von der Firewall automatisch gesetzte Regel hat auch nicht gegriffen. Dürfte es ja auch gar nicht in meinem Fall, denn die Regel lautete From 127.0.0.1 to ANY. Somit war der Zugang nach außen korrekterweise nur von dem Router selbst weiter geleitet, aber das eingehende Traffic durch meine Fehlkonfiguration wurde brav unterbunden.
-
Wie sollte das denn ohne GW im LAN funktionieren? Das ist meiner Meinung nach, eine irreführende information. Eine Anfrage muss adressiert werden. Deswegen werden die DHCP Anfragen über Broadcast gesendet, weil da noch kein GW gesetzt ist. Unter anderen auch das wird von einem DHCP zugewiesen. Das GW für das lokale Netz. Wenn ich falsch liege (was auch möglich ist) bitte auch um eine Aufklärung mit einer sinnvolen Begründung anstatt zu sagen "Ja ne, ist falsch, weiß ich auch nicht warum".
Auf dem Klienten brauchst du ein Gateway im LAN, aber nicht auf der Firewall/im Router. Informiere dich ordentlich über den Sinn und die Funktionsweise von Gateways dann verstehst du das auch.
Von der Firewall automatisch gesetzte Regel hat auch nicht gegriffen. Dürfte es ja auch gar nicht in meinem Fall, denn die Regel lautete From 127.0.0.1 to ANY. Somit war der Zugang nach außen korrekterweise nur von dem Router selbst weiter geleitet, aber das eingehende Traffic durch meine Fehlkonfiguration wurde brav unterbunden.
Da du dem LAN Netzwerk auch ein Gateway zugewiesen hast geht die pfSense davon aus das dieses auch als WAN genutzt wird, und natürlich nattet sie nicht automatisch zwischen zwei WAN Netzen.
-
Bei mir war das zum Glück nicht der Fall, aber trotzdem danke für den Hinweis! Ich kann es mir vorstellen, dass es bei den ISPs variiert.
Doch, das war es. Bei DOCSIS wird anhand der MAC Adresse des Endgerätes die IP durchgereicht. Das geschieht mit der Provisionierung des Modem, welche nur beim Start des Modem stattfindet. Ändert sich die MAC, wird keine IP mehr zugeteilt da die MAC ja nicht mehr existiert. Daher muss das Modem mit jedem MAC Wechsel neu gestartet werden.
Den DNS Resolver brauchst Du auch nicht zwingend. Ins Internet kommst Du durch das Standardgateway welches Dir Dein ISP via DHCP mitteilt. Achtung, hier hin werden auch RFC1918 Adressen geroutet, das ist normal.
-
Natürlich braucht der LAN einen Gateway. Der LAN GW ist die IP Adresse des Routers in dem lokalem Netzwerksegment (in meinem Falle des pfSense). Dann braucht der WAN noch einen Gateway vom ISP, damit das Traffic von dem lokalen Netzwerk nach außen geroutet werden kann.
Dazu sage ich nur, dass du mal dringend dein Netzwerk/Routing Wissen überprüfen oder ausbauen solltest. Welchen Sinn macht es denn bitte AUF dem Gateway sich selbst nochmals als Gateway zu setzen!? Es hat schon einen Grund, wenn unter der Gateway Einstellung auf dem Interface steht:
"If this interface is an Internet connection, select an existing Gateway from the list or add a new one using the "Add" button. On local area network interfaces the upstream gateway should be "none". Gateways can be managed by clicking here."
Frei übersetzt: Beim LAN sollte hier "NONE" stehen. Nur bei einem Upstream/WAN Interface muss hier natürlich das Upstream Gateway eingetragen werden.
Aha? Und wie soll das Traffic aus dem lokalen Netz an die WAN Schnittstelle geroutet werden, wenn kein standardmäßiges Ausgangspunkt festgelegt wurde?
Ganz einfach: jedes LOKAL angegebene Netz des Geräts steht natürlich in seiner Routing Tabelle. Da muss ich selbst nichts mehr für tun, um das zu ergänzen. Und mehr als ein Upstream/Default Gateway braucht es in diesem Szenario nicht! :)
Edit: Ah, Grimson überlesen. Sorry.
