Закрыть интрнет только на втором WAN\OPT1
-
Ну по факту правило работает, сразу только блокирует 10.0.0.30 при любом wan.
Отключал Wan c этим правилом, блокировка так и осталась, как и должно быть.
или я не понял? что то?
Нам надо чтоб оно блокировало при падении wan.
-
Добрый.
Так у вас на OPT1 - серый адрес. Чего ж молчали ? Роутер железный есть на OPT1?
Откл. блокирование серых сетей на OPT1. -
Посмотрите пож скрин с поста №6. ОРТ1
Там нет блокировки вообще.
Или вы про роутер перед pfsense?Интернет на OPT1 работает.
Не пойму как правило LAN для второго шлюза. (в приложенном)
Блокирует интернет на WAN.
-
Ну по факту правило работает, сразу только блокирует 10.0.0.30 при любом wan.
Это не так. Правило блокирует доступ в Сеть для указанного ip только через явно указанный шлюз OPT1.
И при рабочем в данный момент WAN-е указанный ip будет иметь доступ в Сеть через шлюз WAN.Или вы про роутер перед pfsense?
У вас на ОПТ1 - адсл? Если адсл и поднимается pppoe - перевести модем в режим бриджа\моста и пусть пф поднимает pppoe- сессию. Если же там железка провайдера - тады ничего не пожелаешь и на ОПТ1 действительно будет серый ip.
Если же ни то ни другое - на кой ляд он (железный роутер) там нужен?Что такое алиас LOCSERV и почему правило висит на внешнем интерфейсе ОПТ1 ? Если это локальные серверы в ЛАН - правило неверное.
Повторюсь еще раз. На всех фото в правилах есть ошибки. Нарисуйте схему сети и переосмыслите правила fw еще раз. За вас это никто лучше не сделает.
Ps. У проблемного ip шлюзом и ДНС-ом что в сетевых настройках? Должен быть локал. ip пф. Установлен ли сквид + гвард ? Какие-то доп. пакеты вообще присутствуют ?
-
И при рабочем в данный момент WAN-е указанный ip будет иметь доступ в Сеть через шлюз WAN.
Именно это не происходит, с первого поста. Доступа нет.
Если я включу правило для 10.0.0.30 по ОРТ1 то при рабочем и не рабочем wan интернета нет.для OPT на конце 4G антена.
-
для OPT на конце 4G антена.
Может 4G USB-модем ?
-
Ethernet modem.
Но это не важно мне кажется?Сейчас добавил в правило для 10.0.0.30 сайты на исключения которые должны открываться и всё работает с этими сайтами.
Но опция Gateway в Advanced не как не влияет на правило, любой шлюз указанный\не указанный там блокирует доступ.
-
-
Добавив в Aliases тип networks имя хоста а не ip вроде всё заработало как надо.
С чем связанно?Тестирую дальше.
-
Добрый.
IP динамический, видимо. -
Добрый.
IP динамический, видимо.Часть локалки да. часть зарезервирована на DHCP/
Сейчас перестало работать по имени и работает только по IP. -
В итоге Aliases работает по IP для OPT1 и по имени для WAN
И Aliases наверное не причём.
Даже если создать правило в котором Single host or Alias указывать IP или имя хоста.
результат такой же.Возвращаемся к топику:
Правило в LAN для шлюза OPT1 по Ip,
блокирует интернет на WAN шлюзе.
-
Есть мысли как починить?
Я так понимаю что связано с тем что на ОРТ1 ip из локальных.
Но пробросить на него белый я не могу. -
мне кажется вы не совсем понимаете назначение gateway в настройках фаервола.
Это не условия типа "если", это прямое предписание. Если условиЯ выполняются, ТО ДЕЛАТЬ такой гейт. Судя по вашему скрину логика такая: "если IP отправителя такой то, то назначить маршрутизацию через гейт OPT1 и дропнуть"
-
Как я понимаю- Это прямое предписание дропать трафик на шлюзе OPT1 ресурсу в локальной сети IP 10.0.0.30. Если по скрину.
Просто для одного шлюза это работает по ip для втрого по имени. #21
"Задача закрыть для хоста\сети инет при работе через ОРТ1. " https://forum.pfsense.org/index.php?topic=146495.0
-
- а почему каунтер пакетов на правиле нулевой?
- почему только TCP? а как же всякие там UDP, ICMP ??
Алгорим должен быть такой:
- если IP-src = 10.0.0.30 действие PASS и гейт WAN (не OPT)
- все IP сети интерфейса (по маске) действие PASS и гейт FAILOWER_GROUP
остальное сами додумаете?
-
- все IP сети интерфейса (по маске) действие PASS и гейт FAILOWER_GROUP
остальное сами додумаете?
Начал додумывать но смутило
2) все IP сети интерфейса (по маске) действие PASS и гейт FAILOWER_GROUP
Почему не сразу блок 10.0.0.30 для OPT1? -
патамушта я уже писал, если указываете гетвейт в рулесе - это не блок "если", это предписание. Читайте моё сообщение выше.
Судя по вашему скрину логика такая: "если IP отправителя такой то, то назначить маршрутизацию через гейт OPT1 и дропнуть"
больше внимательности пожалуйста!
PS: не забываем, всё что не попало под рулесы автоматически дропается.
-
То есть так (скрин) правила не сработают если wan упадёт?
-
второе правило никогда не сработает
