Netgate Discussion Forum
    • Categories
    • Recent
    • Tags
    • Popular
    • Users
    • Search
    • Register
    • Login

    nat local network to vti interface ip

    Scheduled Pinned Locked Moved Russian
    26 Posts 4 Posters 2.0k Views
    Loading More Posts
    • Oldest to Newest
    • Newest to Oldest
    • Most Votes
    Reply
    • Reply as topic
    Log in to reply
    This topic has been deleted. Only users with topic management privileges can see it.
    • K
      Konstanti @sergiybt
      last edited by

      @sergiybt Попробуйте перевести NAT в ручной режим.
      И запускайте tcpdump на VTI интерфейсе, чтобы увидеть, что происходит

      S 1 Reply Last reply Reply Quote 0
      • werterW
        werter
        last edited by werter

        Добрый

        Покажите правила fw на ЛАН и ипсек-интерфейсах.

        Попробуйте явное разреш. правило fw на ЛАН добавить (Src - LAN net, Dst - удаленная сеть) и поставить его выше всех.

        Ps. Пингом проверять - нетолько лишь всё. Применяйте еще и traceroute для диагностики. Но помните, что в никсах трасер работает по udp (дефолт).

        S 1 Reply Last reply Reply Quote 0
        • werterW
          werter
          last edited by werter

          Вижу @Konstanti - пользую tcpdump )

          K 1 Reply Last reply Reply Quote 0
          • K
            Konstanti @werter
            last edited by

            @werter и Вам не хворать)
            Ping не идёт с LAN интерфейса PF.
            Моё мнение, не срабатывает NAT, и пакеты улетают как 192.х.х.х., а вторая сторона про эту сеть не в курсе

            1 Reply Last reply Reply Quote 0
            • werterW
              werter
              last edited by

              Для этого и нужен tracert. Он даст понять КУДА уходят пакеты.

              1 Reply Last reply Reply Quote 0
              • S
                sergiybt @werter
                last edited by

                @werter 4896ac17-2691-48c9-87a1-1e3eaa7a5abf-image.png
                412b0277-6d4b-4d2c-b879-f5362fe225e9-image.png

                K 1 Reply Last reply Reply Quote 0
                • K
                  Konstanti @sergiybt
                  last edited by

                  @sergiybt
                  Насколько я вижу, входящий трафик с той стороны есть ( при условии, что у Вас нет других IPSeC туннелей).
                  Попробуйте сделать так, как я написал выше

                  S 1 Reply Last reply Reply Quote 0
                  • S
                    sergiybt @Konstanti
                    last edited by

                    @Konstanti Пробовал перевести в ручной режим ничего не меняется.(
                    Очень странная ситуация так как и интерфейса VTI пинг проходит и порты открываются.

                    K 1 Reply Last reply Reply Quote 0
                    • K
                      Konstanti @sergiybt
                      last edited by

                      @sergiybt покажите вывод tcpdump на VTI интерфейсе при запущенном ping-е

                      1 Reply Last reply Reply Quote 0
                      • S
                        sergiybt @Konstanti
                        last edited by

                        @Konstanti Есть другие тунели но там всё работает прекрасно так как тамвезде тип tunnel

                        K 1 Reply Last reply Reply Quote 0
                        • K
                          Konstanti @sergiybt
                          last edited by

                          @sergiybt Там логика работы туннеля и маршрутизации трафика несколько иная.
                          Если не хотите показывать, то сами проверьте при помощи tcpdump, что происходит н а VTI интерфейсе.

                          S 1 Reply Last reply Reply Quote 0
                          • S
                            sergiybt @Konstanti
                            last edited by sergiybt

                            @Konstanti
                            Вот если брать и делать пинг с 10.255.2.142 на 141
                            84f02c2d-2dde-4d6c-b225-8e7a4bcd665e-image.png
                            Если я пинг делаю с 192.168.101.1 на 141 не проходит
                            0a6bb980-0e21-4106-8bdb-fa8001c0a331-image.png , правило нат перевёл вручную ниже
                            31993b87-1299-46d3-9960-0c9605774770-image.png

                            K 2 Replies Last reply Reply Quote 0
                            • K
                              Konstanti @sergiybt
                              last edited by Konstanti

                              Исходящий NAT не работает
                              Надо подумать.
                              Как вариант, попросить партнёра, чтобы он у себя прописал Вашу 192.х.х.х сеть в таблице маршрутизации

                              1 Reply Last reply Reply Quote 0
                              • K
                                Konstanti @sergiybt
                                last edited by Konstanti

                                @sergiybt можете показать содержимое файла /tmp/rules.debug? То что касается раздела NAT.
                                Outbound NAT rules
                                Или вывод команды
                                pfctl -s nat

                                1 Reply Last reply Reply Quote 0
                                • werterW
                                  werter
                                  last edited by werter

                                  @sergiybt

                                  Таблицу марш-ции с пф покажите при поднятом туннеле.

                                  Очень странная ситуация так как и интерфейса VTI пинг проходит и порты открываются.
                                  Если я пинг делаю с 192.168.101.1 на 141 не проходит

                                  И не будет проходить ping. Вы правило fw на ЛАН добавьте, о к-ом я говорил. Только выше всех его вклячьте. И проверьте. Пф же все ваши пакеты сует в дефолтный GW согласно правилу fw на ЛАН. И туннельный gw точно не является дефолтным для пф.

                                  В вашем случае и интерфейсы явно для ipsec создавать и НАТить, возможно, не надо.

                                  Зы. У вас пф как ВМ живет? Если да, то чего кошерный virtio не пользуете для сетевых?

                                  S 1 Reply Last reply Reply Quote 0
                                  • S
                                    sergiybt @werter
                                    last edited by

                                    @werter Добрый.
                                    Так да виртуальная машина что сделал и чего добился
                                    1 прописал нат правильный, перевёл нат в ручной режим как везде советуют.
                                    3ee6e9fb-c9b4-4186-aa1f-6b13656a7f76-image.png
                                    Дальше пробовал сделать тест порта отрабатывает ли правило NAT и вот что получается, что правило отрабатывает на VTI интерфейсе
                                    ce302cf8-84e3-48dd-b35c-99278e2adae5-image.png
                                    Но получается что пакеты не проходят.
                                    Ещё читал что есть баги в версии 2.4.4 у меня она именно и стоит.
                                    Вот правила лан
                                    ac6dd09d-23bc-42a0-85ca-9d6685d724a0-image.png

                                    1 Reply Last reply Reply Quote 0
                                    • S
                                      sergiybt
                                      last edited by

                                      Может где галочку какую надо поставить ума не приложу.

                                      1 Reply Last reply Reply Quote 0
                                      • werterW
                                        werter
                                        last edited by werter

                                        @sergiybt

                                        Так. Давайте разбираться.
                                        Вы открыли только TCP в правиле для туннеля и пытаетесь пользовать ping (ICMP) для проверки доступности? Откройте всё (на время). И проверяйте.

                                        Зы. Переведите НАТ в Авто. Не трогайте вы его.

                                        S 1 Reply Last reply Reply Quote 0
                                        • S
                                          sergiybt @werter
                                          last edited by

                                          @werter Уже и так и сяк пробовал и как только не пробовал. Вы не подумайте я немного соображаю и пересмотрел кучу видео но он не взлетает.

                                          K 1 Reply Last reply Reply Quote 0
                                          • werterW
                                            werter
                                            last edited by

                                            @sergiybt
                                            Отписал в чат.

                                            1 Reply Last reply Reply Quote 0
                                            • First post
                                              Last post
                                            Copyright 2025 Rubicon Communications LLC (Netgate). All rights reserved.