Netgate Discussion Forum
    • Categories
    • Recent
    • Tags
    • Popular
    • Users
    • Search
    • Register
    • Login

    PfSense Блокирует трафик от Cisco

    Scheduled Pinned Locked Moved Russian
    48 Posts 3 Posters 8.6k Views
    Loading More Posts
    • Oldest to Newest
    • Newest to Oldest
    • Most Votes
    Reply
    • Reply as topic
    Log in to reply
    This topic has been deleted. Only users with topic management privileges can see it.
    • M
      Miles27 @werter
      last edited by

      @werter У меня эта галка с самого начала отключена

      1 Reply Last reply Reply Quote 0
      • werterW
        werter
        last edited by werter

        С чем и "поздравляю". А у меня в продакшене на полутора десятках инсталляций установлена.

        1 Reply Last reply Reply Quote 0
        • M
          Miles27
          last edited by

          @werter У меня система обновлялась еще с версии 2.2 до последней возможной 2.3.4-RELEASE-p1 (i386) и я с тех времен эти настройки не менял.

          1 Reply Last reply Reply Quote 0
          • werterW
            werter
            last edited by

            Вполне возможно, что в процессе обновлений что-то пошло не так.

            Зы. А галку поставьте.

            1 Reply Last reply Reply Quote 0
            • D
              derwin @werter
              last edited by

              @werter said in PfSense Блокирует трафик от Cisco:

              Добрый.

              Вы ж выставили 1500 у себя, т.е. эффективный макс. размер пакета данных будет 1500-28=1472 байта. С чего бы

              Ну сдрасьте вам. А как же jumbo frame?? ну и ещё беспроводные пакеты содержат в себе байты от протокола нижнего уровня - всякие там меточки, wds, номер слота на частоте и т.п.
              Протоколов беспроводной передачи данных помимо 802 - много(nv2 у микротика например)

              M werterW 2 Replies Last reply Reply Quote 0
              • M
                Miles27 @derwin
                last edited by

                @derwin Не лез в настройки всё работало залез всё испортил пришлось отключить эту вафлю а что именно ей нужно одному создателю известно

                M 1 Reply Last reply Reply Quote 0
                • M
                  Miles27 @Miles27
                  last edited by

                  @miles27 said in PfSense Блокирует трафик от Cisco:

                  @derwin Не лез в настройки всё работало залез всё испортил пришлось отключить эту вафлю а что именно ей нужно одному создателю известно
                  0_1528867767165_cisco.png

                  1 Reply Last reply Reply Quote 0
                  • werterW
                    werter @derwin
                    last edited by werter

                    Добрый.
                    @derwin said in PfSense Блокирует трафик от Cisco:

                    Ну сдрасьте вам. А как же jumbo frame?? ну и ещё беспроводные пакеты содержат в себе байты от протокола нижнего уровня - всякие там меточки, wds, номер слота на частоте и т.п.

                    И вам не хворать.
                    Я описал классический вариант. Для понимания.

                    P.s. На циске wired-пакет может быть и более 16К, насколько помню.

                    M D 2 Replies Last reply Reply Quote 0
                    • M
                      Miles27 @werter
                      last edited by

                      @werter Одним словом нечего связываться с циско! гемороя наживёте уйму

                      1 Reply Last reply Reply Quote 0
                      • D
                        derwin @werter
                        last edited by

                        @werter said in PfSense Блокирует трафик от Cisco:

                        Ну сдрасьте вам. А как же jumbo frame?? ну и ещё беспроводные пакеты содержат в себе байты от протокола нижнего уровня - всякие там меточки, wds, номер слота на частоте и т.п.

                        оно везде может быть большого размера.
                        про ipv6 в своё время была шутка про гигабайтные пинг-пакеты.

                        M 1 Reply Last reply Reply Quote 0
                        • M
                          Miles27 @derwin
                          last edited by Miles27

                          Очень интересную штуку заметил, PfSense не воспринимает TTL пакеты больше 1597 (1625) байт только именно от Андроид устройств со всеми PC проблем нет фрагментация проходит. А вот именно Андроид устройства не пропускает, попробовал через старую точку доступа DWL-2100 тоже самое. Так что же такое в трафике у андроида ?

                          M 1 Reply Last reply Reply Quote 0
                          • M
                            Miles27 @Miles27
                            last edited by Miles27

                            @miles27 said in PfSense Блокирует трафик от Cisco:

                            Очень интересную штуку заметил, PfSense не воспринимает TTL пакеты больше 1597 (1625) байт только именно от Андроид устройств со всеми PC проблем нет фрагментация проходит. А вот именно Андроид устройства не пропускает, попробовал через старую точку доступа DWL-2100 тоже самое. Так что же такое в трафике у андроида ?

                            Вот блин поймал себя. У меня в правилах фаервола + лимитер для мобильных устройств диапазон 192.168.1.17-46 стояло правило фильтрации для всех протоколов (Protocol Any). Я поменял на TCP/UDP и трафик начал бегать. Пока поставил на тестирование авось и поможет.
                            Пинг стал ходить а вот интернет трафик так и глючит.
                            Удалил сквид,

                            1 Reply Last reply Reply Quote 0
                            • werterW
                              werter
                              last edited by werter

                              Добрый.

                              Прям филиал твиттера.

                              1 Reply Last reply Reply Quote 0
                              • D
                                derwin
                                last edited by

                                я тоже заметил, что большие пакеты от андроида дропаются. Ничего и как победить не смог. Но, вроде, всё работает без проблем

                                M 1 Reply Last reply Reply Quote 0
                                • M
                                  Miles27 @derwin
                                  last edited by

                                  @derwin У меня дропались из-за лимитера который в правилах действовал на все протоколы. Тут интересен вопрос как моя приблуда Cisco Wi-Fi трафик пережовывает через себя полагаю проблема именно в самих служебных пакетах.

                                  1 Reply Last reply Reply Quote 0
                                  • werterW
                                    werter
                                    last edited by werter

                                    Добрый.

                                    У меня дропались из-за лимитера который в правилах действовал на все протоколы.

                                    Можно скрин этого правила. А лучше скрин всех правил fw на LAN, WAN, floating etc. Чтобы не гадать.

                                    P.s. Модель циски?

                                    M 1 Reply Last reply Reply Quote 0
                                    • M
                                      Miles27 @werter
                                      last edited by Miles27

                                      @werter 2_1529415624139_lan.jpg 1_1529415624139_wan.jpg 0_1529415624138_cisco.jpg0_1529421618715_Clipboard02.jpg
                                      Обратите на IP 192.168.1.29 происходит блокировка не проходит синхронизация в интернете описывается как TCP SYN Flooding Attacks

                                      1 Reply Last reply Reply Quote 0
                                      • werterW
                                        werter
                                        last edited by werter

                                        Добрый.

                                        Скрин ЛАН :
                                        На .1.9 действует блокирование только HTTP (TCP\80), но ему разрешено все остальное + на него распространяется лимитер ниже. Так надо?

                                        На 1.1\28 действует лимитер на любой протокол v4. На 1.16\28 лимитер действует только на TCP\UDP. Почему ?

                                        На адреса же более лимитер вообще не рапространяется и им вообще можно куда угодно.

                                        Все же правила лимитера правильнее рисовать во Флоатинг рулез.

                                        Скрин ВАН:
                                        Правило, к-ое касается ICMP. Т.е. кто-то извне пингует ВАН, но получается, что пингуется .175.36. Зачем так?

                                        И главное. Откуда у вас на LAN белые внешние ip-адреса ? А на WAN - серые. Это что за юмор такой?
                                        0_1529922220488_2018-06-25 13_19_43-1529421619515-clipboard02.jpg.png

                                        P.s. На вашем месте я бы сбросил конф-цию пф в нуль. И настроил бы сперва самое элементарное - доступ в Сеть. А уж после - Лимитеры, Сквиды etc. Потому как разбираться с вашей котовасией (а она у вас жирнющая) ни времени ни желания уже нет. Поверьте, что так будет быстрее и для вас самого.

                                        1 Reply Last reply Reply Quote 0
                                        • M
                                          Miles27
                                          last edited by Miles27

                                          На .1.9 действует блокирование только HTTP (TCP\80) комп только для приборов учета тепла воды и газа +RDP (просто психанул когда увидел что на нём лазят по тырнету запретил 80 порт, лень было рисовать правило народ всё ровно кроме как открыть страничку в ОК ничего не умеет.)

                                          192.168.175.36 это pfsense который через WI-FI канал длинной 990м получает интернет от провайдера через роутер

                                          192.168.175.36 ICMP пинг открыт для проверки связи из домашней сети для контроля
                                          На 1.1\28 действует лимитер на любой протокол v4 ( скрин не совсем свежий там стоит только TCP-UDP

                                          1 Reply Last reply Reply Quote 0
                                          • werterW
                                            werter
                                            last edited by

                                            Добрый.
                                            Повторюсь. Откуда у вас на LAN белые внешние адреса? Вы понимаете о чем я?

                                            M 2 Replies Last reply Reply Quote 0
                                            • First post
                                              Last post
                                            Copyright 2025 Rubicon Communications LLC (Netgate). All rights reserved.