Netgate Discussion Forum
    • Categories
    • Recent
    • Tags
    • Popular
    • Users
    • Search
    • Register
    • Login

    Закрыть интрнет только на втором WAN\OPT1

    Scheduled Pinned Locked Moved Russian
    35 Posts 4 Posters 2.2k Views
    Loading More Posts
    • Oldest to Newest
    • Newest to Oldest
    • Most Votes
    Reply
    • Reply as topic
    Log in to reply
    This topic has been deleted. Only users with topic management privileges can see it.
    • werterW
      werter
      last edited by

      Добрый.
      @ merdzd
      Скрины правил fw покажите.

      1 Reply Last reply Reply Quote 0
      • M
        merdzd
        last edited by

        @Uranus:

        мультиван - ДА
        любой - gateway в Advanced Option правил отключает инет?
        В  System - Advanced - Miscellaneous галочки,  Нет.  Группами переключается?

        1 Reply Last reply Reply Quote 0
        • M
          merdzd
          last edited by

          @werter:

          Добрый.
          @ merdzd
          Скрины правил fw покажите.

          WAN.png
          WAN.png_thumb
          OPT1.png
          OPT1.png_thumb
          lan.png
          lan.png_thumb

          1 Reply Last reply Reply Quote 0
          • werterW
            werter
            last edited by

            Добрый.
            На всех фото в правилах есть ошибки.

            Касаемо LAN. Верхнее пускает всё TCP (на кой ляд?) через main, остальное идет согласно правилу ниже через default gw.
            Разберитесь с этим.

            1 Reply Last reply Reply Quote 0
            • M
              merdzd
              last edited by

              Убрал но создание правила как описано выше, Всё равно выключает интернет на обоих wan.

              lan2.png
              lan2.png_thumb

              1 Reply Last reply Reply Quote 0
              • werterW
                werter
                last edited by

                Добрый.
                WAN - шлюз по умолчанию и до его падения все и для всех будет идти через него.
                И то, что создано вами на скрине выше работать будет только, если WAN упадет.

                Всё равно выключает интернет на обоих wan.

                Покажите скрин настроек System- General Setup

                1 Reply Last reply Reply Quote 0
                • M
                  merdzd
                  last edited by

                  Ну по факту правило работает, сразу только блокирует 10.0.0.30 при любом wan.
                  Отключал Wan c этим правилом, блокировка так и осталась, как и должно быть.
                  или я не понял? что то?
                  Нам надо чтоб оно блокировало при падении wan.

                  GS1.png
                  GS1.png_thumb

                  1 Reply Last reply Reply Quote 0
                  • werterW
                    werter
                    last edited by

                    Добрый.
                    Так у вас на OPT1 - серый адрес. Чего ж молчали ? Роутер железный есть на OPT1?
                    Откл. блокирование серых сетей на OPT1.

                    1 Reply Last reply Reply Quote 0
                    • M
                      merdzd
                      last edited by

                      Посмотрите пож скрин с поста №6. ОРТ1
                      Там нет блокировки вообще.
                      Или вы про роутер перед pfsense?

                      Интернет на OPT1 работает.

                      Не пойму как правило LAN  для второго шлюза.  (в приложенном)
                      Блокирует интернет на WAN.

                      LAN-10.30.png
                      LAN-10.30.png_thumb

                      1 Reply Last reply Reply Quote 0
                      • werterW
                        werter
                        last edited by

                        Ну по факту правило работает, сразу только блокирует 10.0.0.30 при любом wan.

                        Это не так. Правило блокирует доступ в Сеть для указанного ip только через явно указанный шлюз OPT1.
                        И при рабочем в данный момент WAN-е указанный ip будет иметь доступ в Сеть через шлюз WAN.

                        Или вы про роутер перед pfsense?

                        У вас на ОПТ1 - адсл? Если адсл и поднимается pppoe - перевести модем в режим бриджа\моста и пусть пф поднимает pppoe- сессию. Если же там железка провайдера - тады ничего не пожелаешь и на ОПТ1 действительно будет серый ip.
                        Если же ни то ни другое - на кой ляд он (железный роутер) там нужен?

                        Что такое алиас LOCSERV и почему правило висит на внешнем интерфейсе ОПТ1 ? Если это локальные серверы в ЛАН - правило неверное.

                        Повторюсь еще раз. На всех фото в правилах есть ошибки. Нарисуйте схему сети и переосмыслите правила fw еще раз. За вас это никто лучше не сделает.

                        Ps. У проблемного ip шлюзом и ДНС-ом что в сетевых настройках? Должен быть локал. ip пф. Установлен ли сквид + гвард ? Какие-то доп. пакеты вообще присутствуют ?

                        1 Reply Last reply Reply Quote 0
                        • M
                          merdzd
                          last edited by

                          И при рабочем в данный момент WAN-е указанный ip будет иметь доступ в Сеть через шлюз WAN.

                          Именно это не происходит, с первого поста. Доступа нет.
                          Если я включу правило для 10.0.0.30 по ОРТ1  то при рабочем и не рабочем wan интернета нет.

                          для OPT на конце 4G антена.

                          1 Reply Last reply Reply Quote 0
                          • werterW
                            werter
                            last edited by

                            для OPT на конце 4G антена.

                            Может 4G USB-модем ?

                            1 Reply Last reply Reply Quote 0
                            • M
                              merdzd
                              last edited by

                              Ethernet modem.
                              Но это не важно мне кажется?

                              Сейчас добавил в правило для 10.0.0.30 сайты на исключения которые должны открываться и всё работает с этими сайтами.

                              Но опция Gateway в  Advanced  не как не влияет на правило, любой шлюз указанный\не указанный там блокирует доступ.

                              1 Reply Last reply Reply Quote 0
                              • M
                                merdzd
                                last edited by

                                @werter:

                                для OPT на конце 4G антена.

                                Может 4G USB-модем ?

                                Mikrotik SXT LTE

                                1 Reply Last reply Reply Quote 0
                                • M
                                  merdzd
                                  last edited by

                                  Добавив в Aliases тип networks имя хоста а не ip вроде всё заработало как надо.
                                  С чем связанно?

                                  Тестирую дальше.

                                  1 Reply Last reply Reply Quote 0
                                  • werterW
                                    werter
                                    last edited by

                                    Добрый.
                                    IP динамический, видимо.

                                    1 Reply Last reply Reply Quote 0
                                    • M
                                      merdzd
                                      last edited by

                                      @werter:

                                      Добрый.
                                      IP динамический, видимо.

                                      Часть локалки да. часть зарезервирована на DHCP/
                                      Сейчас перестало работать по имени и работает только по IP.

                                      1 Reply Last reply Reply Quote 0
                                      • M
                                        merdzd
                                        last edited by

                                        В итоге Aliases работает по IP для  OPT1 и по имени для WAN
                                        И  Aliases наверное не причём.
                                        Даже если создать правило в котором Single host or Alias указывать IP или имя хоста.
                                        результат такой же.

                                        Возвращаемся к топику:
                                        Правило в LAN для шлюза OPT1 по Ip,
                                        блокирует интернет на WAN шлюзе.

                                        OPT1GW.png
                                        OPT1GW.png_thumb

                                        1 Reply Last reply Reply Quote 0
                                        • M
                                          merdzd
                                          last edited by

                                          Есть мысли как починить?
                                          Я так понимаю что связано с тем что на ОРТ1 ip из локальных.
                                          Но пробросить на него белый я не могу.

                                          1 Reply Last reply Reply Quote 0
                                          • D
                                            derwin
                                            last edited by

                                            мне кажется вы не совсем понимаете назначение gateway в настройках фаервола.

                                            Это не условия типа "если", это прямое предписание. Если условиЯ выполняются, ТО ДЕЛАТЬ такой гейт. Судя по вашему скрину логика такая: "если IP отправителя такой то, то назначить маршрутизацию через гейт OPT1 и дропнуть"

                                            1 Reply Last reply Reply Quote 0
                                            • First post
                                              Last post
                                            Copyright 2025 Rubicon Communications LLC (Netgate). All rights reserved.