Ipsec туннель между Pfsence и Keenetic
-
Добрый день !
Подскажите такая проблема: есть ipsec туннель между pfsence и keenetic.
проблема такая туннель поднялся но подсети туннеля не пингуются через pfsence -
@ruslan9494 Здр
Покажите настройки фазы 2 с обеих сторон туннеля
И покажите правила на ipsec интерфейсе PF
и поподробнее , что конкретно не пингуется -
![alt text]( image url)
-
@ruslan9494
а со стороны Кинетика ?
И правила на интерфейсе IPSEC покажите пожалуйста -
-
-
@ruslan9494 Если это правила на IPSEC интерфейсе, то оставьте только 3-е сверху правило для начала , его будет достаточно
Дальше , по картинке видно , что со стороны Кинетика ничего не приходит
Вопрос такой Lan net на PF - это 10.0.0.0/24 ? -
lan 10.0.0.2 на pfsence
-
@ruslan9494
А сеть какая на lan интерфейсе ?
10.0.0.0/24 ? -
-
шлюз lan вы это имеете ввиду ?
-
@ruslan9494 Так визуально , настройки со стороны PF сделаны верно
Кроме кучи ненужных правил на IPSEC интерфейсе
Я бы сделал так
1 со стороны любого хоста из сети 10.0.0.0/24 запускаете бесконечный пинг любого хоста 192.168.8.0/24
Запускаем tcpdump /Diagnostics/Packet Capture на ipsec интерфейсе
и смотрим , уходят ли пакеты в сторону 192.168.8.XX
2 можно запустить тот же tcpdump на стороне PF , но уже на интерфейсе WAN с хостом назначения IP Keeneticа 79.164.X.X и посмотреть , уходят ли ESP пакеты в сторону Keenetic-а)3 если тут все ок - надо разбираться с Kenetic-ом
-
сеть 10.0.0.0? это lan pfsence ?
-
@ruslan9494 Я не знаю , что у Вас такое 10.0.0.0/24
Но на всех настройках IPSEC туннеля присутствует именно эта сеть -
у меня 10.0.0.2 lan pfsence
192.168.8.0 это Keenetic .
а что такое 10.0.0.0 я сам не пойму .
уже 4 фрилансера ковырялись сделали только хуже -
-
глупость скажу : Там должна была указана маска ?
-
@ruslan9494 Не совсем понимаю сути вопроса
Но , где там ????
у Вас везде присутствует маска подсети /24 или 255.255.255.0 - что является эквивалентной записью маски подсети -
в кинетике указывалась удаленная сеть 10.0.0.0
чем она является в pfsence? -
@ruslan9494 По логике настроек - это сеть , подключенная к интерфейсу LAN PFSense
-
@ruslan9494 Сделаем проще - покажите картинку настроек интерфейса LAN , особенно раздел , касающийся Static IPv4 Configuration
или /Status/ Interfaces -
ip v4 ,было 10.0.0.2
шлюз не было -
@ruslan9494 Будет лучше , если покажите картинку из меню
/Status/interfaces
Я лично больше подозреваю проблему со стороны Keenetic-а -
я указал шлюз в lan 10.0.0.0
и теперь могу попасть только из дома где как раз 8 подсеть -
@ruslan9494 Простите меня еще раз
Я ничего не понимаю из ваших слов , будет проще , если покажите картинки
/Status/interfaces
там я увижу все , что мне надоПовторю еще раз , я думаю , что проблема не со стороны PFSense , но чтобы быть уверенным в этом , надо убедиться , что тут настроено все верно
-
@ruslan9494 И еще вопрос вдогонку
Какой шлюз по умолчанию у
Хостов сети 10.0.0.0/24
и хостов сети 192.168.8.0/24 ? -
-
@ruslan9494 интересная конфигурация. У Вас lan интерфейс не имеет ip адреса, и, если я не ошибаюсь, он реализован как vlan на базе Wan интерфейса. Получается, что все это должно быть соединёно с коммутатором . Интересно взглянуть на схему вашей сети.
Я не знаю, кто Вам настраивал Pfsense, но, по-моему, тут допущена куча ошибок. Но опять же, это моё суб'' ективное мнение. Обратите внимание на кол-во ошибок на Wan интерфейсе. Так быть не должно.Или есть ещё интерфейсы?
-
@ruslan9494
А где ip-адрес на ЛАН? Вам бы сперва пф настроить по-людски, а потом за ipsec браться. Сколько у вас физических сетевых интерфейсов?@Konstanti
ВЛАН - не ВЛАН, но на ЛАНе ТОЧНО должен быть ip.
Как оно вообще у ТС работает - я хз. Или в кач-ве ЛАН есть еще и OPT? Первый раз ТАКОЕ вижу. -
@werter самое удивительное тут в том, что явно pf знает про сеть 10.0.0.0/24. Иначе, туннель бы не поднимался. Надо смотреть настройки LAN интерфейса. И количество ошибок на Wan интерфейсе зашкаливает
-
@Konstanti
ТСу сбросить бы пф в нуль, настроить его в миним. конф-ции. А после ipsec городить. -
@werter и ещё удивляет факт того, как ТС получает доступ к pf, не имея ip адреса. Получается, что должны быть ещё физические интерфейсы. Или открыт доступ через wan
-
@Konstanti упсссс, так и есть.
Открыт доступ. Тс, это проблема. Это крайне не рекомендуется делать.ТС. Покажите настройки LAN интерфейса, думаю, что проблема там
-
-
@ruslan9494 Посмотрите личные сообщения , я Вам письмо отправил
-
@ruslan9494
есть у Вас связь с сетью 192.168.8.0
-
а почему тогда с сети 8.1 не видно сеть 7.1 ?
-
@ruslan9494 и не будет видно
это 2 разных ipsec туннеля
а ipsec в классическом понимании - немаршрутизируемый тип соединения
-
@ruslan9494 тут 3 варианта
1 VTI - если Кинетик поддерживает такой тип соединения
2 Openvpn сервер на базе PFSense ( и 2 клиента - 7.1 и 8.1)
3 прямой туннель между 8.1 и 7.1 на базе ipsecи еще рекомендации - у Вас полный бардак с правилами на интерфейсах
их желательно привести в порядок , после того , как все настроите -
Спасибо всем огромное за помощь !