Netgate Discussion Forum
    • Categories
    • Recent
    • Tags
    • Popular
    • Users
    • Search
    • Register
    • Login

    nat local network to vti interface ip

    Scheduled Pinned Locked Moved Russian
    26 Posts 4 Posters 1.9k Views
    Loading More Posts
    • Oldest to Newest
    • Newest to Oldest
    • Most Votes
    Reply
    • Reply as topic
    Log in to reply
    This topic has been deleted. Only users with topic management privileges can see it.
    • K
      Konstanti @sergiybt
      last edited by

      @sergiybt Там логика работы туннеля и маршрутизации трафика несколько иная.
      Если не хотите показывать, то сами проверьте при помощи tcpdump, что происходит н а VTI интерфейсе.

      S 1 Reply Last reply Reply Quote 0
      • S
        sergiybt @Konstanti
        last edited by sergiybt

        @Konstanti
        Вот если брать и делать пинг с 10.255.2.142 на 141
        84f02c2d-2dde-4d6c-b225-8e7a4bcd665e-image.png
        Если я пинг делаю с 192.168.101.1 на 141 не проходит
        0a6bb980-0e21-4106-8bdb-fa8001c0a331-image.png , правило нат перевёл вручную ниже
        31993b87-1299-46d3-9960-0c9605774770-image.png

        K 2 Replies Last reply Reply Quote 0
        • K
          Konstanti @sergiybt
          last edited by Konstanti

          Исходящий NAT не работает
          Надо подумать.
          Как вариант, попросить партнёра, чтобы он у себя прописал Вашу 192.х.х.х сеть в таблице маршрутизации

          1 Reply Last reply Reply Quote 0
          • K
            Konstanti @sergiybt
            last edited by Konstanti

            @sergiybt можете показать содержимое файла /tmp/rules.debug? То что касается раздела NAT.
            Outbound NAT rules
            Или вывод команды
            pfctl -s nat

            1 Reply Last reply Reply Quote 0
            • werterW
              werter
              last edited by werter

              @sergiybt

              Таблицу марш-ции с пф покажите при поднятом туннеле.

              Очень странная ситуация так как и интерфейса VTI пинг проходит и порты открываются.
              Если я пинг делаю с 192.168.101.1 на 141 не проходит

              И не будет проходить ping. Вы правило fw на ЛАН добавьте, о к-ом я говорил. Только выше всех его вклячьте. И проверьте. Пф же все ваши пакеты сует в дефолтный GW согласно правилу fw на ЛАН. И туннельный gw точно не является дефолтным для пф.

              В вашем случае и интерфейсы явно для ipsec создавать и НАТить, возможно, не надо.

              Зы. У вас пф как ВМ живет? Если да, то чего кошерный virtio не пользуете для сетевых?

              S 1 Reply Last reply Reply Quote 0
              • S
                sergiybt @werter
                last edited by

                @werter Добрый.
                Так да виртуальная машина что сделал и чего добился
                1 прописал нат правильный, перевёл нат в ручной режим как везде советуют.
                3ee6e9fb-c9b4-4186-aa1f-6b13656a7f76-image.png
                Дальше пробовал сделать тест порта отрабатывает ли правило NAT и вот что получается, что правило отрабатывает на VTI интерфейсе
                ce302cf8-84e3-48dd-b35c-99278e2adae5-image.png
                Но получается что пакеты не проходят.
                Ещё читал что есть баги в версии 2.4.4 у меня она именно и стоит.
                Вот правила лан
                ac6dd09d-23bc-42a0-85ca-9d6685d724a0-image.png

                1 Reply Last reply Reply Quote 0
                • S
                  sergiybt
                  last edited by

                  Может где галочку какую надо поставить ума не приложу.

                  1 Reply Last reply Reply Quote 0
                  • werterW
                    werter
                    last edited by werter

                    @sergiybt

                    Так. Давайте разбираться.
                    Вы открыли только TCP в правиле для туннеля и пытаетесь пользовать ping (ICMP) для проверки доступности? Откройте всё (на время). И проверяйте.

                    Зы. Переведите НАТ в Авто. Не трогайте вы его.

                    S 1 Reply Last reply Reply Quote 0
                    • S
                      sergiybt @werter
                      last edited by

                      @werter Уже и так и сяк пробовал и как только не пробовал. Вы не подумайте я немного соображаю и пересмотрел кучу видео но он не взлетает.

                      K 1 Reply Last reply Reply Quote 0
                      • werterW
                        werter
                        last edited by

                        @sergiybt
                        Отписал в чат.

                        1 Reply Last reply Reply Quote 0
                        • K
                          Konstanti @sergiybt
                          last edited by Konstanti

                          @sergiybt Если пинги идут , а tcp не работает
                          и у Вас виртуальная ам - отключайте расчет контрольных сумм tcp пакетов адаптером (пусть этим ядро занимается )
                          то что Вы показали (вывод tcpdump ) говорит о том , что SYN пакеты идут , а ответа нет ( NAT Outbound работает ) - самая вероятная причина - это неверная контрольная сумма tcp пакета (опять же , при условии , что второй участник соединения открыл порт 10080 для соединения)
                          покажите вывод команды
                          ifconfig -m

                          1 Reply Last reply Reply Quote 0
                          • First post
                            Last post
                          Copyright 2025 Rubicon Communications LLC (Netgate). All rights reserved.