Netgate Discussion Forum
    • Categories
    • Recent
    • Tags
    • Popular
    • Users
    • Search
    • Register
    • Login

    Закрыть интрнет только на втором WAN\OPT1

    Scheduled Pinned Locked Moved Russian
    35 Posts 4 Posters 2.2k Views
    Loading More Posts
    • Oldest to Newest
    • Newest to Oldest
    • Most Votes
    Reply
    • Reply as topic
    Log in to reply
    This topic has been deleted. Only users with topic management privileges can see it.
    • werterW
      werter
      last edited by

      Ну по факту правило работает, сразу только блокирует 10.0.0.30 при любом wan.

      Это не так. Правило блокирует доступ в Сеть для указанного ip только через явно указанный шлюз OPT1.
      И при рабочем в данный момент WAN-е указанный ip будет иметь доступ в Сеть через шлюз WAN.

      Или вы про роутер перед pfsense?

      У вас на ОПТ1 - адсл? Если адсл и поднимается pppoe - перевести модем в режим бриджа\моста и пусть пф поднимает pppoe- сессию. Если же там железка провайдера - тады ничего не пожелаешь и на ОПТ1 действительно будет серый ip.
      Если же ни то ни другое - на кой ляд он (железный роутер) там нужен?

      Что такое алиас LOCSERV и почему правило висит на внешнем интерфейсе ОПТ1 ? Если это локальные серверы в ЛАН - правило неверное.

      Повторюсь еще раз. На всех фото в правилах есть ошибки. Нарисуйте схему сети и переосмыслите правила fw еще раз. За вас это никто лучше не сделает.

      Ps. У проблемного ip шлюзом и ДНС-ом что в сетевых настройках? Должен быть локал. ip пф. Установлен ли сквид + гвард ? Какие-то доп. пакеты вообще присутствуют ?

      1 Reply Last reply Reply Quote 0
      • M
        merdzd
        last edited by

        И при рабочем в данный момент WAN-е указанный ip будет иметь доступ в Сеть через шлюз WAN.

        Именно это не происходит, с первого поста. Доступа нет.
        Если я включу правило для 10.0.0.30 по ОРТ1  то при рабочем и не рабочем wan интернета нет.

        для OPT на конце 4G антена.

        1 Reply Last reply Reply Quote 0
        • werterW
          werter
          last edited by

          для OPT на конце 4G антена.

          Может 4G USB-модем ?

          1 Reply Last reply Reply Quote 0
          • M
            merdzd
            last edited by

            Ethernet modem.
            Но это не важно мне кажется?

            Сейчас добавил в правило для 10.0.0.30 сайты на исключения которые должны открываться и всё работает с этими сайтами.

            Но опция Gateway в  Advanced  не как не влияет на правило, любой шлюз указанный\не указанный там блокирует доступ.

            1 Reply Last reply Reply Quote 0
            • M
              merdzd
              last edited by

              @werter:

              для OPT на конце 4G антена.

              Может 4G USB-модем ?

              Mikrotik SXT LTE

              1 Reply Last reply Reply Quote 0
              • M
                merdzd
                last edited by

                Добавив в Aliases тип networks имя хоста а не ip вроде всё заработало как надо.
                С чем связанно?

                Тестирую дальше.

                1 Reply Last reply Reply Quote 0
                • werterW
                  werter
                  last edited by

                  Добрый.
                  IP динамический, видимо.

                  1 Reply Last reply Reply Quote 0
                  • M
                    merdzd
                    last edited by

                    @werter:

                    Добрый.
                    IP динамический, видимо.

                    Часть локалки да. часть зарезервирована на DHCP/
                    Сейчас перестало работать по имени и работает только по IP.

                    1 Reply Last reply Reply Quote 0
                    • M
                      merdzd
                      last edited by

                      В итоге Aliases работает по IP для  OPT1 и по имени для WAN
                      И  Aliases наверное не причём.
                      Даже если создать правило в котором Single host or Alias указывать IP или имя хоста.
                      результат такой же.

                      Возвращаемся к топику:
                      Правило в LAN для шлюза OPT1 по Ip,
                      блокирует интернет на WAN шлюзе.

                      OPT1GW.png
                      OPT1GW.png_thumb

                      1 Reply Last reply Reply Quote 0
                      • M
                        merdzd
                        last edited by

                        Есть мысли как починить?
                        Я так понимаю что связано с тем что на ОРТ1 ip из локальных.
                        Но пробросить на него белый я не могу.

                        1 Reply Last reply Reply Quote 0
                        • D
                          derwin
                          last edited by

                          мне кажется вы не совсем понимаете назначение gateway в настройках фаервола.

                          Это не условия типа "если", это прямое предписание. Если условиЯ выполняются, ТО ДЕЛАТЬ такой гейт. Судя по вашему скрину логика такая: "если IP отправителя такой то, то назначить маршрутизацию через гейт OPT1 и дропнуть"

                          1 Reply Last reply Reply Quote 0
                          • M
                            merdzd
                            last edited by

                            Как я понимаю-  Это прямое предписание дропать трафик на шлюзе OPT1  ресурсу в локальной сети IP 10.0.0.30. Если по скрину.

                            Просто для одного шлюза это работает по ip для втрого по имени. #21

                            "Задача закрыть для хоста\сети инет при работе через ОРТ1. " https://forum.pfsense.org/index.php?topic=146495.0

                            1 Reply Last reply Reply Quote 0
                            • D
                              derwin
                              last edited by

                              1. а почему каунтер пакетов на правиле нулевой?
                              2. почему только TCP? а как же всякие там UDP, ICMP ??

                              Алгорим должен быть такой:

                              1. если IP-src = 10.0.0.30 действие PASS и гейт WAN (не OPT)
                              2. все IP сети интерфейса (по маске) действие PASS и гейт FAILOWER_GROUP

                              остальное сами додумаете?

                              1 Reply Last reply Reply Quote 1
                              • M
                                merdzd
                                last edited by

                                @derwin:

                                1. все IP сети интерфейса (по маске) действие PASS и гейт FAILOWER_GROUP

                                остальное сами додумаете?

                                Начал додумывать но смутило 
                                2) все IP сети интерфейса (по маске) действие PASS и гейт FAILOWER_GROUP
                                Почему не сразу блок  10.0.0.30  для OPT1?

                                1 Reply Last reply Reply Quote 0
                                • D
                                  derwin
                                  last edited by

                                  патамушта я уже писал, если указываете гетвейт в рулесе - это не блок "если", это предписание. Читайте моё сообщение выше.

                                  Судя по вашему скрину логика такая: "если IP отправителя такой то, то назначить маршрутизацию через гейт OPT1 и дропнуть"

                                  больше внимательности пожалуйста!

                                  PS: не забываем, всё что не попало под рулесы автоматически дропается.

                                  1 Reply Last reply Reply Quote 0
                                  • M
                                    merdzd
                                    last edited by

                                    То есть так (скрин) правила не сработают если wan упадёт?

                                    passwan.png
                                    passwan.png_thumb

                                    1 Reply Last reply Reply Quote 0
                                    • D
                                      derwin
                                      last edited by

                                      второе правило никогда не сработает

                                      1 Reply Last reply Reply Quote 0
                                      • M
                                        merdzd
                                        last edited by

                                        Quote>второе правило никогда не сработает

                                        « Reply #21 on: May 08, 2018, 03:28:54 am »

                                        ПО Ip второе правило работает.
                                        По Имени хоста нет.

                                        Проблема только в этом сейчас.

                                        В то же время для WAN правило работает по имени но не работает по ip
                                        Если бы для обоих правил работало по ip или имени достаточно было бы одного правила.
                                        Или я что то не понял опять.

                                        1 Reply Last reply Reply Quote 0
                                        • M
                                          merdzd
                                          last edited by

                                          Попытаюсь ещё так объяснить.

                                          Вот (скрин) правило блокировки для Source - Aliases  "IPs2block"  всего, кроме яндекса. (Aliases)
                                          В Alias "IPs2block"  вписано имя (хост) локального ПК "COMP30".
                                          Правило работает.

                                          Вписываем в Alias "IPs2block"  IP пк 10.0.0.30  или прям в правило Source ip 10.0.0.30
                                          yandex на COMP30  не работает.

                                          IPblock.png
                                          IPblock.png_thumb

                                          1 Reply Last reply Reply Quote 0
                                          • D
                                            derwin
                                            last edited by

                                            товарищ, ты в алиасы вписываешь ИМЕНА компов? у тебя наверное настроен AD и доверительные запросы? иначе это всё насколько уныло, насколько и глупо.
                                            я Вам уже дал развернутый совет под Вашу реализацию. Свой велосипед можете показать уже после того, как он у Вас заработает. Пока же, не вижу смысла в своём участи в дальнейшем обсуждении.

                                            1 Reply Last reply Reply Quote 1
                                            • First post
                                              Last post
                                            Copyright 2025 Rubicon Communications LLC (Netgate). All rights reserved.