PfSense Блокирует трафик от Cisco
-
Доброе.
Скрины. Всего. -
Прям всего всего? всё что настраивал под циску уже снёс т.к ничего не помогло.
-
Доброе.
1. Что такое .175 - сеть ?2. На скрине ниже видно, что выделенное правило перекрывает нижнее. Поменяйте местами.
![2017-08-28 11_04_38.png](/public/imported_attachments/1/2017-08-28 11_04_38.png)
![2017-08-28 11_04_38.png_thumb](/public/imported_attachments/1/2017-08-28 11_04_38.png_thumb) -
Поменял, тестирую
-
Без изменений
-
Доброе.
Вкл. логирование fw на пф и смотрите. Может дело и не в пф. -
Посмотрел логи фаервола в них не единственного блока
Непонятным образом сам PFsense блокирует трафик LAN=>WAN
А доступ на LAN есть! -
Доброе.
Внимательно проверьте все еще раз - сетевые настройки циски и пф (постоянные маршруты, указанные шлюзы и т.д.), правила fw на пф и циске. Надампите пакеты на пф и циске, просмотрите надампленное в wireshark-е https://turbofuture.com/computers/How-to-Run-Wireshark-on-pfSense-Using-X11-Forwarding-Over-SSH -
Похоже проблема решилась. Удалил правила шейпера и пока полет нормальный. Случайно в голову пришло попробовать. Пока тестирую.
-
Проблему решил давно Отписываюсь может кому поможет .
Поигрался с настройками Wi-Fi а именно Fragmentation Threshold и RTS Threshold
и всё заработало (У себя выставил на 1500). Но потом появился странный глюк пакеты больше 1597 байт не проходили пришлось заного выставлять галочки в меню System\Advanced\Networking\ Hardware TCP Segmentation Offloading и Hardware Large Receive Offloading теперь всё работает. -
Добрый.
и всё заработало (У себя выставил на 1500). Но потом появился странный глюк пакеты больше 1597 байт не
проходилиВы ж выставили 1500 у себя, т.е. эффективный макс. размер пакета данных будет 1500-28=1472 байта. С чего бы
проходить от вас пакетам размером 1597?пришлось заного выставлять галочки в меню System\Advanced\Networking\ Hardware TCP Segmentation Offloading и Hardware Large Receive Offloading теперь всё работает.
Эти галки стоят по дефолту. И трогать их настроятельно не рекомендуется.
-
@werter Ну мало ли что не рекомендуется Но если это мешает жить то можно и перестроить. Кстати раньше пакеты разной длинны проходили а почему перестали не понятно.
-
Ну мало ли что не рекомендуется Но если это мешает жить то можно и перестроить.
Почему-то уверен, что проблема не в пф.
Кстати раньше пакеты разной длины проходили а почему перестали
Они и не проходили не дробясь. Может у вас галка на Clear invalid DF bits стояла и вы ее сняли.
-
@werter У меня эта галка с самого начала отключена
-
С чем и "поздравляю". А у меня в продакшене на полутора десятках инсталляций установлена.
-
@werter У меня система обновлялась еще с версии 2.2 до последней возможной 2.3.4-RELEASE-p1 (i386) и я с тех времен эти настройки не менял.
-
Вполне возможно, что в процессе обновлений что-то пошло не так.
Зы. А галку поставьте.
-
@werter said in PfSense Блокирует трафик от Cisco:
Добрый.
Вы ж выставили 1500 у себя, т.е. эффективный макс. размер пакета данных будет 1500-28=1472 байта. С чего бы
Ну сдрасьте вам. А как же jumbo frame?? ну и ещё беспроводные пакеты содержат в себе байты от протокола нижнего уровня - всякие там меточки, wds, номер слота на частоте и т.п.
Протоколов беспроводной передачи данных помимо 802 - много(nv2 у микротика например) -
@derwin Не лез в настройки всё работало залез всё испортил пришлось отключить эту вафлю а что именно ей нужно одному создателю известно
-
@miles27 said in PfSense Блокирует трафик от Cisco:
@derwin Не лез в настройки всё работало залез всё испортил пришлось отключить эту вафлю а что именно ей нужно одному создателю известно
-
Добрый.
@derwin said in PfSense Блокирует трафик от Cisco:Ну сдрасьте вам. А как же jumbo frame?? ну и ещё беспроводные пакеты содержат в себе байты от протокола нижнего уровня - всякие там меточки, wds, номер слота на частоте и т.п.
И вам не хворать.
Я описал классический вариант. Для понимания.P.s. На циске wired-пакет может быть и более 16К, насколько помню.
-
@werter Одним словом нечего связываться с циско! гемороя наживёте уйму
-
@werter said in PfSense Блокирует трафик от Cisco:
Ну сдрасьте вам. А как же jumbo frame?? ну и ещё беспроводные пакеты содержат в себе байты от протокола нижнего уровня - всякие там меточки, wds, номер слота на частоте и т.п.
оно везде может быть большого размера.
про ipv6 в своё время была шутка про гигабайтные пинг-пакеты. -
Очень интересную штуку заметил, PfSense не воспринимает TTL пакеты больше 1597 (1625) байт только именно от Андроид устройств со всеми PC проблем нет фрагментация проходит. А вот именно Андроид устройства не пропускает, попробовал через старую точку доступа DWL-2100 тоже самое. Так что же такое в трафике у андроида ?
-
@miles27 said in PfSense Блокирует трафик от Cisco:
Очень интересную штуку заметил, PfSense не воспринимает TTL пакеты больше 1597 (1625) байт только именно от Андроид устройств со всеми PC проблем нет фрагментация проходит. А вот именно Андроид устройства не пропускает, попробовал через старую точку доступа DWL-2100 тоже самое. Так что же такое в трафике у андроида ?
Вот блин поймал себя. У меня в правилах фаервола + лимитер для мобильных устройств диапазон 192.168.1.17-46 стояло правило фильтрации для всех протоколов (Protocol Any). Я поменял на TCP/UDP и трафик начал бегать. Пока поставил на тестирование авось и поможет.
Пинг стал ходить а вот интернет трафик так и глючит.
Удалил сквид, -
Добрый.
Прям филиал твиттера.
-
я тоже заметил, что большие пакеты от андроида дропаются. Ничего и как победить не смог. Но, вроде, всё работает без проблем
-
@derwin У меня дропались из-за лимитера который в правилах действовал на все протоколы. Тут интересен вопрос как моя приблуда Cisco Wi-Fi трафик пережовывает через себя полагаю проблема именно в самих служебных пакетах.
-
Добрый.
У меня дропались из-за лимитера который в правилах действовал на все протоколы.
Можно скрин этого правила. А лучше скрин всех правил fw на LAN, WAN, floating etc. Чтобы не гадать.
P.s. Модель циски?
-
@werter
Обратите на IP 192.168.1.29 происходит блокировка не проходит синхронизация в интернете описывается как TCP SYN Flooding Attacks -
Добрый.
Скрин ЛАН :
На .1.9 действует блокирование только HTTP (TCP\80), но ему разрешено все остальное + на него распространяется лимитер ниже. Так надо?На 1.1\28 действует лимитер на любой протокол v4. На 1.16\28 лимитер действует только на TCP\UDP. Почему ?
На адреса же более лимитер вообще не рапространяется и им вообще можно куда угодно.
Все же правила лимитера правильнее рисовать во Флоатинг рулез.
Скрин ВАН:
Правило, к-ое касается ICMP. Т.е. кто-то извне пингует ВАН, но получается, что пингуется .175.36. Зачем так?И главное. Откуда у вас на LAN белые внешние ip-адреса ? А на WAN - серые. Это что за юмор такой?
P.s. На вашем месте я бы сбросил конф-цию пф в нуль. И настроил бы сперва самое элементарное - доступ в Сеть. А уж после - Лимитеры, Сквиды etc. Потому как разбираться с вашей котовасией (а она у вас жирнющая) ни времени ни желания уже нет. Поверьте, что так будет быстрее и для вас самого.
-
На .1.9 действует блокирование только HTTP (TCP\80) комп только для приборов учета тепла воды и газа +RDP (просто психанул когда увидел что на нём лазят по тырнету запретил 80 порт, лень было рисовать правило народ всё ровно кроме как открыть страничку в ОК ничего не умеет.)
192.168.175.36 это pfsense который через WI-FI канал длинной 990м получает интернет от провайдера через роутер
192.168.175.36 ICMP пинг открыт для проверки связи из домашней сети для контроля
На 1.1\28 действует лимитер на любой протокол v4 ( скрин не совсем свежий там стоит только TCP-UDP -
Добрый.
Повторюсь. Откуда у вас на LAN белые внешние адреса? Вы понимаете о чем я? -
@werter Понятия не имею почему PfSense их отображает это физически не возможно!
-
Добрый.
Разбирайтесь. Это важно. -
@werter Был в отпуске.
Внешних адресов на LAN интерфейсе нет.
Это странный глюк .
Заменил свич на pfSense трафик ходит нормально сколько гемора то было и так просто исчез.
P.S всёровно время от времени подглючивает. -
@werter Это сама CISCO выдаёт внешние IP в сеть (адская шпионская коробочка )
-
Добрый.
С этого места - подробнее, пож-та. 1-й раз такое слышу. -
@werter Ну начнём с того что эта коробочка получает интернет по коаксиалу через сеть кабельного тв и соответственно вся ось написана так чтоб все интерфейсы общались только с ван портом в первую очередь, а всё что бегает по внутренней сети не столь важно.
Решил посмотреть откуда всё таки эти левые внешние IP, залез в циску статус\локальная сеть\ ARP table и в списке получил кучу внешних и внутренних IP. Часть внешних IP принадлежало CISCO зачем? и откуда? всё начинается после включения wi-fi модулей 2.4-5 гГц. Короче плюнул и разобрал приблуду на зап части. Пощай циска. Больше к этой теме не вернусь. -
Думал не вернусь к теме но понадобился гигабитный свич, пришлось достать эту коробочку ну и как обычно проверить вафлю а вдруг заработает и тут то я нарыл интересную штуку через короткое время 2-10 минут Циска перестаёт видеть мак адрес wi-fi клиентов ( вот прикол ) и естественно PfSens не видя мак адреса клиента не пускает через WAN в интернет.
Временное решение заходишь на веб морду циски и интернет опять начинает работать.
В общем PfSense не виноват в глючности циски!
Интернет работает
Интернет не работает