Netgate Discussion Forum
    • Categories
    • Recent
    • Tags
    • Popular
    • Users
    • Search
    • Register
    • Login

    PfSense гонит маршруты через внешку

    Scheduled Pinned Locked Moved Russian
    26 Posts 2 Posters 2.2k Views
    Loading More Posts
    • Oldest to Newest
    • Newest to Oldest
    • Most Votes
    Reply
    • Reply as topic
    Log in to reply
    This topic has been deleted. Only users with topic management privileges can see it.
    • K
      Konstanti @max5775
      last edited by

      @max5775 Фильтровать также , правилами . Или нужна какая-то особая фильтрация ? Например , на уровне содержимого пакетов

      M 1 Reply Last reply Reply Quote 0
      • M
        max5775 @Konstanti
        last edited by max5775

        @Konstanti нет, просто закрыть все и открыть нужное (http/s, dns, ftp и пр).
        Вроде тестово выпустил в интернет пока по правилу все разрешено от 192.168.10.0/24 to any. Интернет работает, потом отрегулирую как нужно.
        Но возникла другая проблема.
        Из сети vlan 1 я могу достучаться на ПК сети vlan 10, тот же rdp работает.
        А вот из vlan 10 на vlan 1 - никак. Хотя пинги гуляют туда-обратно без проблем.
        Запустил на PfSense tcpdump, но он мне ничего нового не сказал:

        Снимок экрана в 2019-05-30 13-07-31.png

        Тут я пытаюсь законнектиться с ПК vlan 10 на http-сервер с зеркалом пакетов, который находится в vlan 1.
        Для исключения зарезания пакетов на PfSense, в firewall сверху добавил 2 правила:
        от 192.168.10.0/24 к 192.198.1.1/24 все разрешено через defroute
        от 192.168.1.1/24 к 192.168.10.10/24 все разрешено через defroute
        Счетчики бегут, но толку нет.
        Шлюз по дефолту у vlan 1 - 192.168.1.254 (pfsense,) у ПК из vlan 10 - коммутатор ядра SW (192.168.10.254).
        На самом коммутаторе ядра defruote - 192.168.1.254 (pfsense)

        K 1 Reply Last reply Reply Quote 0
        • K
          Konstanti @max5775
          last edited by Konstanti

          @max5775 ну , почему же
          эта картинка говорит о многом , например, о том что syn пакет идет , а вот ответа нет
          судя по тому , что у Вас реалтек , включите в настройках pf
          System/Advanced/ Networking

          bf0e144e-8b24-4c2d-9b73-70d9e8afb029-image.png

          M 1 Reply Last reply Reply Quote 0
          • M
            max5775 @Konstanti
            last edited by max5775

            @Konstanti
            Включил, перезагрузил.
            Но ничего не поменялось.
            Заметил еще такую проблему, что через несколько секунд rdp на ПК из VLAN10 отваливается.
            Сделал еще скрин wireshark при попытке зайти на http-сервер сети vlan 1.

            Снимок экрана в 2019-05-30 13-44-22.png
            У меня пока даже нет мыслей, в чем может быть проблема...

            K 1 Reply Last reply Reply Quote 0
            • K
              Konstanti @max5775
              last edited by

              @max5775 предлагаю начать с правил. Покажите правила на re0. И вывод команды ifconfig - m

              M 1 Reply Last reply Reply Quote 0
              • M
                max5775 @Konstanti
                last edited by max5775

                удалил

                K 1 Reply Last reply Reply Quote 0
                • K
                  Konstanti @max5775
                  last edited by

                  @max5775 а остальные интерфейсы?
                  Желательно видеть всю картину

                  1 Reply Last reply Reply Quote 0
                  • M
                    max5775
                    last edited by

                    Вы имеете в виду внешние интерфейсы?

                    K 1 Reply Last reply Reply Quote 0
                    • K
                      Konstanti @max5775
                      last edited by

                      @max5775
                      Я смотрю на картинку ,
                      у Вас на ней изображено , что у PF есть 2 интерфейса , подключенных к сети 192.168.1.0/24 . Это так ?

                      M 1 Reply Last reply Reply Quote 0
                      • M
                        max5775 @Konstanti
                        last edited by max5775

                        @Konstanti нет, физический интерфейс один, на нем 3 ip-адреса.
                        192.168.1.254 - основной и 2 алиаса, созданных в Firewall/VirtualIP.
                        В firewall они не применяются вообще, они слушают dns-запросы к серверу pfsense, это остатки от старой сети. Предыдущий админ использовал подсеть 194.1... для внутренней сети. Мы большинство хостов уже перевели на 192.168, но есть часть оборудования, которое мы не обслуживам и доступа к нему нет, поэтому пока вот так. Все 3 адреса из разных подсетей, если что.

                        K 1 Reply Last reply Reply Quote 0
                        • K
                          Konstanti @max5775
                          last edited by Konstanti

                          @max5775 Понятно
                          А если хосту 192.168.1.10 ручками прописать путь до 192.168.10.0/24 через 192.168.1.253 , что будет ??? Я правильно понимаю , что у этого хоста шлюз по умолчанию 1.254 ?

                          1 Reply Last reply Reply Quote 0
                          • M
                            max5775
                            last edited by max5775

                            Вы имеете ввиду прописать этот маршрут на http-сервере?
                            Да, у него defroute 192.168.1.254.
                            Прописал статически маршрут route add -net 192.168.10.0/24 gw 192.168.1.253 и все заработало. ПК из vlan 10 достучался до этого сервера. Значит косяк в pfsense, как я и думал, но вот в чем...

                            K 2 Replies Last reply Reply Quote 0
                            • K
                              Konstanti @max5775
                              last edited by

                              @max5775 Это называется "ассиметричная маршрутизация"

                              M 1 Reply Last reply Reply Quote 0
                              • M
                                max5775 @Konstanti
                                last edited by max5775

                                @Konstanti типа туда идет по одному маршруту, обратно по другому?
                                Почему пинг то проходит?

                                K 1 Reply Last reply Reply Quote 0
                                • K
                                  Konstanti @max5775
                                  last edited by

                                  @max5775 А как вы считаете , куда ответит 1.253 хост , если изначально пакет пришел от 1.10 ?

                                  M 1 Reply Last reply Reply Quote 0
                                  • M
                                    max5775 @Konstanti
                                    last edited by

                                    @Konstanti ну если они в одной сети, то напрямую, минуя 1.254

                                    1 Reply Last reply Reply Quote 0
                                    • K
                                      Konstanti @max5775
                                      last edited by

                                      @max5775 Это не косяк PF , это "косяк" структуры Вашей сети

                                      M 1 Reply Last reply Reply Quote 0
                                      • M
                                        max5775 @Konstanti
                                        last edited by

                                        @Konstanti подскажите, как это все грамотно развести? пока в мыслях убрать маршрут в 192.168.10.0/24 через 1.253 и добавить на pfsense vlan 10 интерфейс и маршрутизировать через него

                                        K 1 Reply Last reply Reply Quote 0
                                        • K
                                          Konstanti @max5775
                                          last edited by

                                          @max5775 сложно так сказать
                                          Но я бы часть работы повесил бы на коммутатор ( он же у Вас 3-го уровня ) ?
                                          Ну , вот пусть и маршрутизирует трафик между внутренними сетями . А всем остальным пусть PF занимается .

                                          1 Reply Last reply Reply Quote 0
                                          • M
                                            max5775
                                            last edited by max5775

                                            Третьего, просто заморочка идет с тем, что есть вот эта старая сеть с неуправляемыми свитчами, без vlan-ов и пр. И в ближайшей перспективе на ее переделку денег не будет, поэтому выкручиваемся как можем.
                                            P.S: удалил скрины из постов выше, раз с проблемой более-менее все понятно

                                            1 Reply Last reply Reply Quote 0
                                            • First post
                                              Last post
                                            Copyright 2025 Rubicon Communications LLC (Netgate). All rights reserved.