PfSense 2.4.4-RELEASE-p2 + Mikrotik

[vladimirlind]

В качестве source для пинга что берете на офис 2? Укажите интерфейс Lan c 192.168.1.x
Или вы с хоста в 192.168.1.0/24 пингуете?

[Mister511]

@vladimirlind с PfSense и с хоста

[vladimirlind]

вы укажите все-таки source address LAN в пинге, и смотрите в это время diagnostic>packet capture на офис 1 интерфейсах openvpn с фильтром icmp - есть ли пинги от офис 2.

[Mister511]

@vladimirlind said in PfSense 2.4.4-RELEASE-p2 + Mikrotik:

вы укажите все-таки source address LAN в пинге

Не понял

[vladimirlind]

в Diagnostics>ping видно, что можно задать source address - третья строчка сверху

[Konstanti]

@Mister511
Имеется в виду ping из Web интерфейса
Я бы тоже порекомендовал использовать Packet capture или tcpdump , чтобы понять , где пакеты теряются

[Konstanti]

@Mister511 Кстати,
Правила проверьте пож на интерфейсах , возможно , где-то блок может стоять

[Mister511]

@vladimirlind
14:49:36.802711 IP 10.10.1.2 > 192.168.10.250: ICMP echo request, id 22747, seq 5091, length 8
14:49:36.844755 IP 192.168.10.250 > 10.10.1.2: ICMP echo reply, id 22747, seq 5091, length 8
14:49:37.216011 IP 10.20.20.2 > 192.168.1.10: ICMP echo request, id 6499, seq 2425, length 36
14:49:37.216229 IP 192.168.1.10 > 10.20.20.2: ICMP echo reply, id 6499, seq 2425, length 36
14:49:37.304403 IP 10.10.1.2 > 192.168.10.250: ICMP echo request, id 22747, seq 5092, length 8
14:49:37.346351 IP 192.168.10.250 > 10.10.1.2: ICMP echo reply, id 22747, seq 5092, length 8
14:49:37.804719 IP 10.10.1.2 > 192.168.10.250: ICMP echo request, id 22747, seq 5093, length 8
14:49:37.846703 IP 192.168.10.250 > 10.10.1.2: ICMP echo reply, id 22747, seq 5093, length 8
14:49:38.215580 IP 10.20.20.2 > 192.168.1.10: ICMP echo request, id 6499, seq 2426, length 36
14:49:38.215769 IP 192.168.1.10 > 10.20.20.2: ICMP echo reply, id 6499, seq 2426, length 36
14:49:38.306701 IP 10.10.1.2 > 192.168.10.250: ICMP echo request, id 22747, seq 5094, length 8
14:49:38.348634 IP 192.168.10.250 > 10.10.1.2: ICMP echo reply, id 22747, seq 5094, length 8
14:49:38.808332 IP 10.10.1.2 > 192.168.10.250: ICMP echo request, id 22747, seq 5095, length 8
14:49:38.850155 IP 192.168.10.250 > 10.10.1.2: ICMP echo reply, id 22747, seq 5095, length 8
14:49:39.214939 IP 10.20.20.2 > 192.168.1.10: ICMP echo request, id 6499, seq 2427, length 36
14:49:39.215166 IP 192.168.1.10 > 10.20.20.2: ICMP echo reply, id 6499, seq 2427, length 36
14:49:39.309698 IP 10.10.1.2 > 192.168.10.250: ICMP echo request, id 22747, seq 5096, length 8
14:49:39.352356 IP 192.168.10.250 > 10.10.1.2: ICMP echo reply, id 22747, seq 5096, length 8

Я так понимаю они доходят до 10.20.20.2
но 10.20.20.2 это интерфейс vpn на микротике

[Konstanti]

@Mister511
Можно попробовать так сделать (пинг)

1. 192.168.1.10 > 10.10.1.1
2. 192.168.1.10 > 10.20.20.1
3. 192.168.1.10 > 10.20.20.2
4. 192.168.1.10 > 192.168.88.x

на каком из тестов идет затык ?

[Mister511]

@Konstanti
192.168.1.10 > 10.20.20.2 -затык
192.168.1.10 это хост (PC)

[Konstanti]

This post is deleted!

[Mister511]

@Konstanti маршрут есть с 192.168.88.0 на 192.168.1.10 есть пинг
А вот на оборот нет

[vladimirlind]

@Mister511 said in PfSense 2.4.4-RELEASE-p2 + Mikrotik:

192.168.1.10 > 10.20.20.2 -затык

может, у микрота фаервольное правило на овпн висит

[Mister511]

@vladimirlind тоже так думал, nat чистый rules тоже чистый

[Mister511]

@vladimirlind 10.10.1.2 > 192.168.88.1: ICMP echo request, id 53656, seq 9, length 64

[vladimirlind]

вы главное убедитесь с помощью Packet capture на интерфейсе ovpn сервера микротика, что пинги из 192.168.1.х уходит к 192.168.88.х
Пока не совсем ясно, где затык. Надо послушать трафик на всех интерфейсах по пути следования.

Хотя мне кажется, что микротик не впускает. В обратную сторону ведь все пингуется.

[werter]

@vladimirlind said in PfSense 2.4.4-RELEASE-p2 + Mikrotik:

Пока не совсем ясно, где затык

Ясность появится, если с 192.168.1.10 запустить tracert -d 192.168.88.X

[Mister511]

@vladimirlind
На всякий случай выложу настройки сервера микротика

Client Specific Overrides

Если не прописать эти настройки в Client Specific Overrides то не будет пинга с сервера (192.168.10.0 на 192.168.88.0)

[Mister511]

@werter
C:\Users\Admin>tracert -d 192.168.88.199

Трассировка маршрута к 192.168.88.199 с максимальным числом прыжков 30

1 <1 мс <1 мс <1 мс 192.168.1.1
2 42 ms 42 ms 42 ms 10.10.1.1
3 * * * Превышен интервал ожидания для запроса.
4 * * * Превышен интервал ожидания для запроса.
5 ^C

[werter]

У 192.168.88.199 шлюзом ДОЛЖЕН стоять ЛАН-адрес его МТ. Это так? Проверили?

Таблицу маршрутизации на пф в Офис 2 покажите