Netgate Discussion Forum
    • Categories
    • Recent
    • Tags
    • Popular
    • Users
    • Search
    • Register
    • Login

    Закрыть интрнет только на втором WAN\OPT1

    Scheduled Pinned Locked Moved Russian
    35 Posts 4 Posters 2.2k Views
    Loading More Posts
    • Oldest to Newest
    • Newest to Oldest
    • Most Votes
    Reply
    • Reply as topic
    Log in to reply
    This topic has been deleted. Only users with topic management privileges can see it.
    • M
      merdzd
      last edited by

      Посмотрите пож скрин с поста №6. ОРТ1
      Там нет блокировки вообще.
      Или вы про роутер перед pfsense?

      Интернет на OPT1 работает.

      Не пойму как правило LAN  для второго шлюза.  (в приложенном)
      Блокирует интернет на WAN.

      LAN-10.30.png
      LAN-10.30.png_thumb

      1 Reply Last reply Reply Quote 0
      • werterW
        werter
        last edited by

        Ну по факту правило работает, сразу только блокирует 10.0.0.30 при любом wan.

        Это не так. Правило блокирует доступ в Сеть для указанного ip только через явно указанный шлюз OPT1.
        И при рабочем в данный момент WAN-е указанный ip будет иметь доступ в Сеть через шлюз WAN.

        Или вы про роутер перед pfsense?

        У вас на ОПТ1 - адсл? Если адсл и поднимается pppoe - перевести модем в режим бриджа\моста и пусть пф поднимает pppoe- сессию. Если же там железка провайдера - тады ничего не пожелаешь и на ОПТ1 действительно будет серый ip.
        Если же ни то ни другое - на кой ляд он (железный роутер) там нужен?

        Что такое алиас LOCSERV и почему правило висит на внешнем интерфейсе ОПТ1 ? Если это локальные серверы в ЛАН - правило неверное.

        Повторюсь еще раз. На всех фото в правилах есть ошибки. Нарисуйте схему сети и переосмыслите правила fw еще раз. За вас это никто лучше не сделает.

        Ps. У проблемного ip шлюзом и ДНС-ом что в сетевых настройках? Должен быть локал. ip пф. Установлен ли сквид + гвард ? Какие-то доп. пакеты вообще присутствуют ?

        1 Reply Last reply Reply Quote 0
        • M
          merdzd
          last edited by

          И при рабочем в данный момент WAN-е указанный ip будет иметь доступ в Сеть через шлюз WAN.

          Именно это не происходит, с первого поста. Доступа нет.
          Если я включу правило для 10.0.0.30 по ОРТ1  то при рабочем и не рабочем wan интернета нет.

          для OPT на конце 4G антена.

          1 Reply Last reply Reply Quote 0
          • werterW
            werter
            last edited by

            для OPT на конце 4G антена.

            Может 4G USB-модем ?

            1 Reply Last reply Reply Quote 0
            • M
              merdzd
              last edited by

              Ethernet modem.
              Но это не важно мне кажется?

              Сейчас добавил в правило для 10.0.0.30 сайты на исключения которые должны открываться и всё работает с этими сайтами.

              Но опция Gateway в  Advanced  не как не влияет на правило, любой шлюз указанный\не указанный там блокирует доступ.

              1 Reply Last reply Reply Quote 0
              • M
                merdzd
                last edited by

                @werter:

                для OPT на конце 4G антена.

                Может 4G USB-модем ?

                Mikrotik SXT LTE

                1 Reply Last reply Reply Quote 0
                • M
                  merdzd
                  last edited by

                  Добавив в Aliases тип networks имя хоста а не ip вроде всё заработало как надо.
                  С чем связанно?

                  Тестирую дальше.

                  1 Reply Last reply Reply Quote 0
                  • werterW
                    werter
                    last edited by

                    Добрый.
                    IP динамический, видимо.

                    1 Reply Last reply Reply Quote 0
                    • M
                      merdzd
                      last edited by

                      @werter:

                      Добрый.
                      IP динамический, видимо.

                      Часть локалки да. часть зарезервирована на DHCP/
                      Сейчас перестало работать по имени и работает только по IP.

                      1 Reply Last reply Reply Quote 0
                      • M
                        merdzd
                        last edited by

                        В итоге Aliases работает по IP для  OPT1 и по имени для WAN
                        И  Aliases наверное не причём.
                        Даже если создать правило в котором Single host or Alias указывать IP или имя хоста.
                        результат такой же.

                        Возвращаемся к топику:
                        Правило в LAN для шлюза OPT1 по Ip,
                        блокирует интернет на WAN шлюзе.

                        OPT1GW.png
                        OPT1GW.png_thumb

                        1 Reply Last reply Reply Quote 0
                        • M
                          merdzd
                          last edited by

                          Есть мысли как починить?
                          Я так понимаю что связано с тем что на ОРТ1 ip из локальных.
                          Но пробросить на него белый я не могу.

                          1 Reply Last reply Reply Quote 0
                          • D
                            derwin
                            last edited by

                            мне кажется вы не совсем понимаете назначение gateway в настройках фаервола.

                            Это не условия типа "если", это прямое предписание. Если условиЯ выполняются, ТО ДЕЛАТЬ такой гейт. Судя по вашему скрину логика такая: "если IP отправителя такой то, то назначить маршрутизацию через гейт OPT1 и дропнуть"

                            1 Reply Last reply Reply Quote 0
                            • M
                              merdzd
                              last edited by

                              Как я понимаю-  Это прямое предписание дропать трафик на шлюзе OPT1  ресурсу в локальной сети IP 10.0.0.30. Если по скрину.

                              Просто для одного шлюза это работает по ip для втрого по имени. #21

                              "Задача закрыть для хоста\сети инет при работе через ОРТ1. " https://forum.pfsense.org/index.php?topic=146495.0

                              1 Reply Last reply Reply Quote 0
                              • D
                                derwin
                                last edited by

                                1. а почему каунтер пакетов на правиле нулевой?
                                2. почему только TCP? а как же всякие там UDP, ICMP ??

                                Алгорим должен быть такой:

                                1. если IP-src = 10.0.0.30 действие PASS и гейт WAN (не OPT)
                                2. все IP сети интерфейса (по маске) действие PASS и гейт FAILOWER_GROUP

                                остальное сами додумаете?

                                1 Reply Last reply Reply Quote 1
                                • M
                                  merdzd
                                  last edited by

                                  @derwin:

                                  1. все IP сети интерфейса (по маске) действие PASS и гейт FAILOWER_GROUP

                                  остальное сами додумаете?

                                  Начал додумывать но смутило 
                                  2) все IP сети интерфейса (по маске) действие PASS и гейт FAILOWER_GROUP
                                  Почему не сразу блок  10.0.0.30  для OPT1?

                                  1 Reply Last reply Reply Quote 0
                                  • D
                                    derwin
                                    last edited by

                                    патамушта я уже писал, если указываете гетвейт в рулесе - это не блок "если", это предписание. Читайте моё сообщение выше.

                                    Судя по вашему скрину логика такая: "если IP отправителя такой то, то назначить маршрутизацию через гейт OPT1 и дропнуть"

                                    больше внимательности пожалуйста!

                                    PS: не забываем, всё что не попало под рулесы автоматически дропается.

                                    1 Reply Last reply Reply Quote 0
                                    • M
                                      merdzd
                                      last edited by

                                      То есть так (скрин) правила не сработают если wan упадёт?

                                      passwan.png
                                      passwan.png_thumb

                                      1 Reply Last reply Reply Quote 0
                                      • D
                                        derwin
                                        last edited by

                                        второе правило никогда не сработает

                                        1 Reply Last reply Reply Quote 0
                                        • M
                                          merdzd
                                          last edited by

                                          Quote>второе правило никогда не сработает

                                          « Reply #21 on: May 08, 2018, 03:28:54 am »

                                          ПО Ip второе правило работает.
                                          По Имени хоста нет.

                                          Проблема только в этом сейчас.

                                          В то же время для WAN правило работает по имени но не работает по ip
                                          Если бы для обоих правил работало по ip или имени достаточно было бы одного правила.
                                          Или я что то не понял опять.

                                          1 Reply Last reply Reply Quote 0
                                          • M
                                            merdzd
                                            last edited by

                                            Попытаюсь ещё так объяснить.

                                            Вот (скрин) правило блокировки для Source - Aliases  "IPs2block"  всего, кроме яндекса. (Aliases)
                                            В Alias "IPs2block"  вписано имя (хост) локального ПК "COMP30".
                                            Правило работает.

                                            Вписываем в Alias "IPs2block"  IP пк 10.0.0.30  или прям в правило Source ip 10.0.0.30
                                            yandex на COMP30  не работает.

                                            IPblock.png
                                            IPblock.png_thumb

                                            1 Reply Last reply Reply Quote 0
                                            • First post
                                              Last post
                                            Copyright 2025 Rubicon Communications LLC (Netgate). All rights reserved.