Перенаправление запроса PFsense

ler0i

Вот можете на примере пояснить может я не до понимаю чего. Есть Клиент с ip 192.168.1.1, есть pfsense 192.168.1.200, и есть тот шлюз 192.168.1.100, так же забыл сказать что в программе прописан адрес и порт 10.10.11.1:4433

ler0i

Делаю Tracert до 10.10.11.1 Сначала идет на PFsense потом сразу на шлюз провайдера, а не на 192.168.1.00

derwin

дайте скрин рулеса.
Применять рулес нужно к интерфейсу pf-а, на который приходит пакет. Как вы думаете, это LAN или WAN ?
Можно ещё статик маршрутизацию прописать в pf-e

ler0i

8.253 это клиент, 10.10.11.1 это туда куда пытается программа подключиться, baza_obl (192.168.8.72) это шлюз

derwin

а почему вы думаете что tracert (UDP/ICMP) должен показывать маршрут, если у вас рулесе указано TCP ?

ler0i

я изменил на any.

derwin

tracert что говорит?
статус шлюза PF как показывает? зелёный?

я уверен, что если сделаете сниф, то будет видно, что траф Улетает.
А вы уверены, что 10.10.11.1 знает про вашу сеть 192.168.8.0/24? А то надо бы погомыриться с NAT (наверное...)

А если подумать, приходит пакет на внешний интерфейс шлюза 8.72..... как он попадает на LAN ? надо бы снифать на нём. А то и NAT тут нужно смотреть, и маршрутизацию, и снифать

ler0i

Tracert после PFsense сразу идет на шлюз провайдера и всё. Статут зеленый. По поводу 10.10.11.1 да, т.к если прописать вместо pfSensa шлюз 8.72, то всё работает. Суть в том, что пакет даже не идет до 8.72, он сразу с PFsense идет на провайдера и всё

derwin

правило поднимите вверх ёпт.
И обратите внимание, у вас по anti-lockout рулю какие бешеные цырфы, что то не нормально.

ler0i

Поднял заработало. Спасибо вам большое. А anti-lockout за что отвечает?

derwin

посмотрите внимательно на условия и подумайте. за доступ к pf-у отвечает.

ler0i

Спасибо. Понять не могу только с чем это связанно, от одного клиента постоянно идет на pfsense на 443 порт.

ler0i

Постоянно FIN_WAIT_2:FIN_WAIT_2. Вирусы?

werter

Добрый.

И обратите внимание, у вас по anti-lockout рулю какие бешеные цырфы, что то не нормально.

Сменить порт веб-морды пф на что-то >10000 (напр., 20143).
Создать правило fw на ЛАН, где в src - ваш локальный статический ip ,в dst - локальный ip пф и порт с номером выше. Поставить это правило выше всех.
Отключить anti-lockout правило.

ler0i

Сделал как вы описали, но доступ к интерфейсу все равно есть у всех. если зайти на https://PF:22222

werter

Добрый.

@ler0i
Всмотритесь внимательно в правила fw на ЛАН. И подумайте почему.