PfSense: настройка межсетевого экрана
-
@zabiyako Читайте документацию на tcpdump
запускайте его на lan интерфейсе pf (порт , к примеру 80 ) хост назначения видеорегистратор и смотрите , что происходит в момент установления соединения -
...а то что за галочками нет значков "разрешить" или "Связанное правило" это норм? -
@zabiyako
При создании правила проброса должно быть так
Вы показали картинку , где видно что правила на wan интерфейсе созданы
Попробуйте удалить правила проброса и создать заново -
А к стати, в правилах параметр "назначение" правильно указан?
-
@Konstanti said in PfSense: настройка межсетевого экрана:
@zabiyako Читайте документацию на tcpdump
запускайте его на lan интерфейсе pf (порт , к примеру 80 ) хост назначения видеорегистратор и смотрите , что происходит в момент установления соединения...это на досуге. Сейчас времени нет. Кровь из носу, в кротчайший срок необходимо "найти" видеосигнал.
-
@Konstanti said in PfSense: настройка межсетевого экрана:
@zabiyako
Пункт 1 в ссылке был указан , чтобы создать 1 алиас для группы портов
чтобы Вам жизнь облегчить
Остается пункт 4
Так визуально проброс сделан верно
Теперь покажите правила файрвола на WAN интерфейсе
Если у Вас работает проброс , к примеру , на 1с сервер
то должно и работать на видеорегистратор
тут все аналогично
покажите правила файрвола на wan интерфейсеТ.е. можно было обойтись одной записью в диапазоне портов 80:6036? Как в первом пункте, так и в пробросах портов? А правило автоматически ассоциируется с записью?
-
@zabiyako Если создадите алиас , то PF сам "разложит" правила по портам как надо на основе этого алиаса
Насчет , на досуге ... Я Вам говорю про инструмент, который поможет Вам локализовать проблему и понять , где идет потеря пакетов .
Подсказать Вам как действовать никто тут не сможет
Для этого надо знать и конфигурацию оборудования и топологию сети , как минимум -
This post is deleted! -
Может не самая явная ситуация... а IP то белый?
-
@borg said in PfSense: настройка межсетевого экрана:
Может не самая явная ситуация... а IP то белый?
IP выделен провайдером для юр. лица.
-
tcpdump -i igb0 -nnn host 1.1.1.1
где igb0 - wan интерфейс
1.1.1.1 - ip клиента -
@borg Судя по размеру пакета в 40 байт , дальше SYN пакета дело не двигается
и я бы рекомендовал ТС tcpdump запустить на lan интерфейсе , чтобы увидеть уходят ли пакеты к регистратору и отвечает ли он на них
Но на wan тоже можно
Один вопрос - Вы уверены , что у ТС интеловская сетевая карта ? -
@Konstanti это был пример, я думаю это очевидно что нужно подставлять свои параметры.. не думаю что у ТСа есть возможность подключиться с dns cf :)
-
igb0 - wan интерфейс - имеется в виду внешний IP?
1.1.1.1 - ip pfSense?извините, я не селен в терминологии..
-
@zabiyako igb0 это имя интерфейса, который смотрит в интернет, 1.1.1.1 это ip, от которого пытаетесь попасть на видеорегистратор
И вкладку LAN тоже будьте добры, может банально запрет/нет разрешения взаимодействовать с wan из-под lan -
@borg Тогда я бы лично немного подкорректировал бы команду
tcpdump -nettti название lan интерфейса tcp and host ip адрес регистратора and port 80название интерфейса можно узнать командой ifconfig или в меню /status/interfaces
например ,
igb1 , em1, re1 и тд и тп -
@Konstanti said in PfSense: настройка межсетевого экрана:
@borg Тогда я бы лично немного подкорректировал бы команду
tcpdump -nettti название lan интерфейса tcp and host ip адрес регистратора and port 80название интерфейса можно узнать командой ifconfig или в меню /status/interfaces
например ,
igb1 , em1, re1 и тд и тптак и указывать "(lan, em1)"?
-
@zabiyako
покажите вывод команды ifconfig -m
так будет проще
tcpdump -i em1 - это ответ на Ваш вопрос -
@zabiyako Судя по всему
Вам надо такую команду выполнить
tcpdump -i em1 tcp and host 192.168.1.18 and port 80и пробовать установить соединение извне
и показать , что получилось -
@zabiyako said in PfSense: настройка межсетевого экрана:
IP статичен, шлюз указан, он же pfSense. В сети работает, через инет - нет.
Проверяете ИЗВНЕ (с телефона, напр.) ? Или долбитесь на внешние порты из этой же ЛАН?
Т.е. можно было обойтись одной записью в диапазоне портов 80:6036?
Не надо так делать. Это ОЧ. БОЛЬШОЙ диапазон. Нужно ТОЧНО определить, КАКИЕ порты пользует ваш DVR.
У вас сколько DVR?
Покажите скрины настроек правил fw LAN, WAN , Port forward.
-
Ребята, огромное спасибо всем за участие! Извините что пропал, очень занят был. Завтра все попробую, и отпишусь.
-
@werter said in PfSense: настройка межсетевого экрана:
@zabiyako said in PfSense: настройка межсетевого экрана:
IP статичен, шлюз указан, он же pfSense. В сети работает, через инет - нет.
Проверяете ИЗВНЕ (с телефона, напр.) ? Или долбитесь на внешние порты из этой же ЛАН?
Т.е. можно было обойтись одной записью в диапазоне портов 80:6036?
Не надо так делать. Это ОЧ. БОЛЬШОЙ диапазон. Нужно ТОЧНО определить, КАКИЕ порты пользует ваш DVR.
У вас сколько DVR?
Покажите скрины настроек правил fw LAN, WAN , Port forward.
-
@zabiyako что показывает tcpdump ????
-
This post is deleted! -
-
@zabiyako Эту команду надо запускать из консоли PFSense
Или из меню /Diagnostics/Packet Capture -
@Konstanti said in PfSense: настройка межсетевого экрана:
@zabiyako Эту команду надо запускать из консоли PFSense
Или из меню /Diagnostics/Packet CaptureЧерез "Захват пакетов" ни чего не произошло.
После запуска захвата пытался подключиться с мобильного инета.
-
@zabiyako Любопытно
а старт нажимали ???
1 теперь тоже самое на wan интерфейсе , без указания хоста
2 и посмотрите журналы файрвола , нет ли там заблокированных пакетов от вашего телефона -
This post is deleted! -
@Konstanti said in PfSense: настройка межсетевого экрана:
@zabiyako Любопытно
а старт нажимали ???
1 теперь тоже самое на wan интерфейсе , без указания хоста
2 и посмотрите журналы файрвола , нет ли там заблокированных пакетов от вашего телефона12:03:11.255052 IP 77.220.172.236.80 > 84.47.165.178.42496: tcp 0
12:03:11.255501 IP 84.47.165.178.42496 > 77.220.172.236.80: tcp 0
12:03:12.785782 IP 163.171.130.132.80 > 84.47.165.178.18817: tcp 0
12:03:13.161297 IP 176.59.46.164.45955 > 84.47.165.178.80: tcp 0
12:03:13.732349 IP 84.47.165.178.30649 > 71.209.205.246.80: tcp 0
12:03:13.907804 IP 84.47.165.178.53227 > 31.177.76.4.80: tcp 0
12:03:13.910135 IP 31.177.76.4.80 > 84.47.165.178.53227: tcp 0
12:03:13.910452 IP 84.47.165.178.53227 > 31.177.76.4.80: tcp 0
12:03:13.910595 IP 84.47.165.178.53227 > 31.177.76.4.80: tcp 0
12:03:13.912868 IP 31.177.76.4.80 > 84.47.165.178.53227: tcp 0
12:03:13.913137 IP 84.47.165.178.53227 > 31.177.76.4.80: tcp 0
12:03:13.959172 IP 176.59.46.164.45955 > 84.47.165.178.80: tcp 0
12:03:15.500293 IP 84.47.165.178.55999 > 185.38.12.47.80: tcp 951
12:03:15.542270 IP 185.38.12.47.80 > 84.47.165.178.55999: tcp 415
12:03:15.546154 IP 185.38.12.47.80 > 84.47.165.178.55999: tcp 1460
12:03:15.546165 IP 185.38.12.47.80 > 84.47.165.178.55999: tcp 1460
12:03:15.546404 IP 185.38.12.47.80 > 84.47.165.178.55999: tcp 1460
12:03:15.546414 IP 185.38.12.47.80 > 84.47.165.178.55999: tcp 1460
12:03:15.546529 IP 185.38.12.47.80 > 84.47.165.178.55999: tcp 1460
12:03:15.546654 IP 185.38.12.47.80 > 84.47.165.178.55999: tcp 1460
12:03:15.546779 IP 185.38.12.47.80 > 84.47.165.178.55999: tcp 1460
12:03:15.546904 IP 185.38.12.47.80 > 84.47.165.178.55999: tcp 1460
12:03:15.547028 IP 185.38.12.47.80 > 84.47.165.178.55999: tcp 1460
12:03:15.547153 IP 185.38.12.47.80 > 84.47.165.178.55999: tcp 1460
12:03:15.547277 IP 185.38.12.47.80 > 84.47.165.178.55999: tcp 1460
12:03:15.547402 IP 185.38.12.47.80 > 84.47.165.178.55999: tcp 1460
12:03:15.547527 IP 185.38.12.47.80 > 84.47.165.178.55999: tcp 1460
12:03:15.547652 IP 185.38.12.47.80 > 84.47.165.178.55999: tcp 1460
12:03:15.547777 IP 185.38.12.47.80 > 84.47.165.178.55999: tcp 1460
12:03:15.547903 IP 185.38.12.47.80 > 84.47.165.178.55999: tcp 1460
12:03:15.547914 IP 84.47.165.178.55999 > 185.38.12.47.80: tcp 0
12:03:15.548027 IP 185.38.12.47.80 > 84.47.165.178.55999: tcp 1460
12:03:15.548093 IP 84.47.165.178.55999 > 185.38.12.47.80: tcp 0
12:03:15.548152 IP 185.38.12.47.80 > 84.47.165.178.55999: tcp 1460
12:03:15.548277 IP 185.38.12.47.80 > 84.47.165.178.55999: tcp 1460
12:03:15.548402 IP 185.38.12.47.80 > 84.47.165.178.55999: tcp 1460
12:03:15.548527 IP 185.38.12.47.80 > 84.47.165.178.55999: tcp 1460
12:03:15.548652 IP 185.38.12.47.80 > 84.47.165.178.55999: tcp 1460
12:03:15.548777 IP 185.38.12.47.80 > 84.47.165.178.55999: tcp 1460
12:03:15.548902 IP 185.38.12.47.80 > 84.47.165.178.55999: tcp 1460
12:03:15.549027 IP 185.38.12.47.80 > 84.47.165.178.55999: tcp 1460
12:03:15.549152 IP 185.38.12.47.80 > 84.47.165.178.55999: tcp 1460
12:03:15.549277 IP 185.38.12.47.80 > 84.47.165.178.55999: tcp 1460
12:03:15.549402 IP 185.38.12.47.80 > 84.47.165.178.55999: tcp 1460
12:03:15.549523 IP 84.47.165.178.55999 > 185.38.12.47.80: tcp 0
12:03:15.549528 IP 185.38.12.47.80 > 84.47.165.178.55999: tcp 1460
12:03:15.549653 IP 185.38.12.47.80 > 84.47.165.178.55999: tcp 1460
12:03:15.549778 IP 185.38.12.47.80 > 84.47.165.178.55999: tcp 1460
12:03:15.549903 IP 185.38.12.47.80 > 84.47.165.178.55999: tcp 1460
12:03:15.550028 IP 185.38.12.47.80 > 84.47.165.178.55999: tcp 1460
12:03:15.550154 IP 185.38.12.47.80 > 84.47.165.178.55999: tcp 1460
12:03:15.550278 IP 185.38.12.47.80 > 84.47.165.178.55999: tcp 1460
12:03:15.550403 IP 185.38.12.47.80 > 84.47.165.178.55999: tcp 1460
12:03:15.550526 IP 185.38.12.47.80 > 84.47.165.178.55999: tcp 1460
12:03:15.550651 IP 185.38.12.47.80 > 84.47.165.178.55999: tcp 1460
12:03:15.550727 IP 84.47.165.178.55999 > 185.38.12.47.80: tcp 0
12:03:15.550776 IP 185.38.12.47.80 > 84.47.165.178.55999: tcp 1460
12:03:15.550901 IP 185.38.12.47.80 > 84.47.165.178.55999: tcp 1460
12:03:15.550967 IP 84.47.165.178.55999 > 185.38.12.47.80: tcp 0
12:03:15.551026 IP 185.38.12.47.80 > 84.47.165.178.55999: tcp 1460
12:03:15.551151 IP 185.38.12.47.80 > 84.47.165.178.55999: tcp 1460
12:03:15.551276 IP 185.38.12.47.80 > 84.47.165.178.55999: tcp 1460
12:03:15.551395 IP 84.47.165.178.55999 > 185.38.12.47.80: tcp 0
12:03:15.551401 IP 185.38.12.47.80 > 84.47.165.178.55999: tcp 1460
12:03:15.551526 IP 185.38.12.47.80 > 84.47.165.178.55999: tcp 1460
12:03:15.551652 IP 185.38.12.47.80 > 84.47.165.178.55999: tcp 1460
12:03:15.551777 IP 185.38.12.47.80 > 84.47.165.178.55999: tcp 1460
12:03:15.551902 IP 185.38.12.47.80 > 84.47.165.178.55999: tcp 1460
12:03:15.552026 IP 185.38.12.47.80 > 84.47.165.178.55999: tcp 1460
12:03:15.552152 IP 185.38.12.47.80 > 84.47.165.178.55999: tcp 1460
12:03:15.552277 IP 185.38.12.47.80 > 84.47.165.178.55999: tcp 1460
12:03:15.552352 IP 84.47.165.178.55999 > 185.38.12.47.80: tcp 0
12:03:15.552402 IP 185.38.12.47.80 > 84.47.165.178.55999: tcp 1460
12:03:15.552527 IP 185.38.12.47.80 > 84.47.165.178.55999: tcp 1460
12:03:15.552652 IP 185.38.12.47.80 > 84.47.165.178.55999: tcp 1460
12:03:15.552777 IP 185.38.12.47.80 > 84.47.165.178.55999: tcp 1460
12:03:15.552902 IP 185.38.12.47.80 > 84.47.165.178.55999: tcp 1460
12:03:15.554263 IP 84.47.165.178.55999 > 185.38.12.47.80: tcp 0
12:03:15.555283 IP 84.47.165.178.55999 > 185.38.12.47.80: tcp 0
12:03:15.589842 IP 185.38.12.47.80 > 84.47.165.178.55999: tcp 1460
12:03:15.589854 IP 185.38.12.47.80 > 84.47.165.178.55999: tcp 1460
12:03:15.590092 IP 185.38.12.47.80 > 84.47.165.178.55999: tcp 1460
12:03:15.590103 IP 185.38.12.47.80 > 84.47.165.178.55999: tcp 1460
12:03:15.590217 IP 185.38.12.47.80 > 84.47.165.178.55999: tcp 1460
12:03:15.591328 IP 84.47.165.178.55999 > 185.38.12.47.80: tcp 0
12:03:15.591443 IP 185.38.12.47.80 > 84.47.165.178.55999: tcp 1460
12:03:15.591454 IP 185.38.12.47.80 > 84.47.165.178.55999: tcp 1460
12:03:15.591693 IP 185.38.12.47.80 > 84.47.165.178.55999: tcp 1460
12:03:15.591703 IP 185.38.12.47.80 > 84.47.165.178.55999: tcp 1460
12:03:15.591819 IP 185.38.12.47.80 > 84.47.165.178.55999: tcp 1460
12:03:15.591943 IP 185.38.12.47.80 > 84.47.165.178.55999: tcp 1460
12:03:15.592068 IP 185.38.12.47.80 > 84.47.165.178.55999: tcp 1460
12:03:15.592191 IP 185.38.12.47.80 > 84.47.165.178.55999: tcp 1460
12:03:15.592258 IP 84.47.165.178.55999 > 185.38.12.47.80: tcp 0
12:03:15.592318 IP 185.38.12.47.80 > 84.47.165.178.55999: tcp 1460
12:03:15.592624 IP 185.38.12.47.80 > 84.47.165.178.55999: tcp 1460
12:03:15.592634 IP 185.38.12.47.80 > 84.47.165.178.55999: tcp 1460
12:03:15.592874 IP 185.38.12.47.80 > 84.47.165.178.55999: tcp 1460
12:03:15.592884 IP 185.38.12.47.80 > 84.47.165.178.55999: tcp 1460
12:03:15.593000 IP 185.38.12.47.80 > 84.47.165.178.55999: tcp 1460 -
@zabiyako said in PfSense: настройка межсетевого экрана:
77.220.172.236
а как узнать , какой тут ваш ip и ip телефона ???
-
@Konstanti said in PfSense: настройка межсетевого экрана:
@zabiyako said in PfSense: настройка межсетевого экрана:
77.220.172.236
а как узнать , какой тут ваш ip и ip телефона ???
Я понял. В первый раз я пытался войти с мобильника подключенного к wifi. Вот через мобильную сеть (интерфейс LAN шлюз 192.168.1.18 порт 80):
12:12:50.151215 IP 176.59.46.164.46023 > 192.168.1.18.80: tcp 0
12:12:51.021144 IP 176.59.46.164.46023 > 192.168.1.18.80: tcp 0
12:12:53.035119 IP 176.59.46.164.46023 > 192.168.1.18.80: tcp 0
12:12:57.051282 IP 176.59.46.164.46023 > 192.168.1.18.80: tcp 0 -
@zabiyako Ну , вот теперь видно , что пакеты уходят в сторону видеорегистратора , а обратно не возвращаются .
Надо искать проблему в видеорегистраторе , возможно , на нем настроен доступ только с определенных хостов
или у него другой шлюз по умолчанию , отличный от PFSense -
@Konstanti said in PfSense: настройка межсетевого экрана:
@zabiyako Ну , вот теперь видно , что пакеты уходят в сторону видеорегистратора , а обратно не возвращаются .
Надо искать проблему в видеорегистраторе , возможно , на нем настроен доступ только с определенных хостов
или у него другой шлюз по умолчанию , отличный от PFSenseНе могу загрузить фото настроек. Пишет "ошибка"....
-
https://www.dropbox.com/sh/dj7b1r799u487bp/AACFNwfGZmKu0rk0wRitg5lwa?dl=0
вот ссылка на фото. Я не уверен в настройках крайних двух вкладок.
-
...в инструкции к настройкам я прочитал, что роутер должен поддерживать функцию UPnP. В pf есть такое, и если есть, то как активировать?
-
на 3 фото видно, что статус UPnP "не готов", а без него, как написано в документации, работать не будет(.
-
@zabiyako два вопроса
1 какой ip адрес интерфейса lan pfsense?
2 какая модель регистратора? -
192.168.1.1
AXI-162 PRO -
@zabiyako
Вот здесь http://axios.ru/index.php/tsifrovye-registratory/product/view/6/213 есть ссылка на мануал к DVR.
В мануале есть Настройка сети -> Настройка портов.
ДерзайтеUPnP не трогайте. ВЫКЛЮЧИТЕ UPnP и на пф и на DVR.