Какое правило добавить для доступа к nginx в LAN ?

werter

@maxyca
Попробуйте вариант по моему скрину выше. Это не Сплит ДНС, но работать будет.

maxer

@werter Попробую, отпишусь. Только я не совсем уловил разницу между своим вариантом и этим?
Для списка сайта я тогда алиас сделаю, чтобы кучу правил не городить.

werter

Алиас - эт хорошо. Только вы туда адреса и site.name и www.site.name вносите.

И для портов 80 и 443 - тоже алиас, чтобы правила не плодить. Имя алиаса www_ports подойдет )

maxer

@werter В DNS Resolver в поле Domain Overrides заносить домены для split dns?

Сорри за офф, но у меня проблема случилась со включенным dns resolver. За pfsense стоит еще Asterisk и resolver блокировал пакеты на исходящие вызовы, т.к. asterisk заворачивал исходящие звонки. Его можно в исключения будет добавить?

werter

@maxyca said in Какое правило добавить для доступа к nginx в LAN ?:

В DNS Resolver в поле Domain Overrides заносить домены для split dns?

Там внимательно надо и смотреть по ситуации. Если у вас в сети есть собственный ДНС-сервер, то нужно в настройках резольвера на пф указать, что такой-то домен обслуживает такой-то ДНС-сервер с таким-то IP.
Главное условие, чтобы пф выступал в роли ДНС-сервера для клиентов, т.е. его ip был 1-ым в сетевых настройках клиентов. Хорошо бы все ДНС-запросы клиентов заворачивать на ЛАН-адрес пф. Это не сложно сделать с пом. правила Port Forwd на ЛАН.

и resolver блокировал пакеты на исходящие вызовы

Причем тут резольвер?

maxer

@werter said in Какое правило добавить для доступа к nginx в LAN ?:

Причем тут резольвер?
Методом исключения выявил. Со включенным dns resolver блокировались исходящие вызовы на asterisk. Есть подозрения, что пакеты блокировал. Пока вернул forwarder, все стало норм. Буду копать...

werter

@maxyca
Не надо форвардер (dnsmasq) без надобности пользовать. Не зря резольвер вкл. по умолч. Попробуйте разобраться.

VladislavKalugin

Здравствуйте!
Скорее всего, ваш сайт конфликтует с веб-интерфесом роутера. Поменяйте порт веб-интерфейса на 8080 и проверьте заново.

maxer

Вообщем так и не получилось нормально DNS Resolver настроить. Т.е. он настроен, все работает, в Host Overrides я добавил домены и с www в алиасе в том числе. Но как без моего правила в NAT нельзя было зайти на сайты, которые находятся в локальном веб-сервере nginx - так и нельзя.

@werter Кстати по Вашей рекомендации тоже не работает :( т.е. именно Source - WAN, dest - Any. И всё! По-другому никак.

Понимаю, что где-то тупо пакеты не проходят обратно, но где - не могу разобраться. Помогите плз!!!

VladislavKalugin

This post is deleted!

maxer

Разобрался. Включил в System > Advanced > Firewall & NAT >Enable NAT Reflection for 1:1 NAT и Enable automatic outbound NAT for Reflection согласно руководству https://docs.netgate.com/pfsense/en/latest/book/nat/nat-reflection.html.
Теперь юзвери могут заходить по доменному имени на сайты, которые находятся на nginx в LAN без моих правил в NAT.

werter

@maxyca
Снова костыль. Снова в дом через окно.

Завернуть ВСЕ днс-запросы клиентов на лок. адрес пф правилом port forward.
Настроить на пф split dns.
Profit!

maxer

Теперь вроде не костыль :)

Снял 2 чекбокса в System > Advanced > Firewall & NAT >Enable NAT Reflection for 1:1 NAT и Enable automatic outbound NAT for Reflection
Создал правило:
В DNS Resolver создал Host overrides для всех доменов на локальный nginx
Теперь profit ? :))

werter

@maxyca
Src - LAN net
Dst -any
Redirect ip - локальный ip пф

В DNS Resolver создал Host overrides для всех доменов на локальный nginx

Скрин.

maxer

В source - LAN net - согласен, понял. А зачем в destination - any? Ведь запросы внутри LAN идут.
В redirect ip - как раз pfsense стоит, это алиас на него.

DNS Resolver:
alt text

werter

@maxyca said in Какое правило добавить для доступа к nginx в LAN ?:

А зачем в destination - any? Ведь запросы внутри LAN идут.

Еще раз. Пф ВНУТРИ сети ничего не регулирует. Возможно "регулирование" только между интерфейсами (LAN < - > WAN и т.д.)
DNS-запросы ко ВНЕШНИМ серверам заворачиваете - значит в Dst - any.

maxer

@werter Благодарю за ответ! Сбила с толку еще инструкция - https://docs.netgate.com/pfsense/en/latest/dns/redirecting-all-dns-requests-to-pfsense.html

В качестве бонуса помогите еще с загвоздкой. После всех манипуляций со включением DNS Resolver и переопределением хостов с ubuntu перестал работать phpmail (и sendmail). SMTP работает.
В логе Ubuntu после отправки появляется ошибка:
Feb 16 18:45:54 ubuntu sm-mta[29969]: 01GFjsjJ029967: to=****@mydomain.ru, delay=00:00:00, xdelay=00:00:00, mailer=esmtp, pri=120906, relay=mydomain.ru. [192.168.1.11], dsn=4.0.0, stat=Deferred: Connection refused by mydomain.ru.

С DNS Forwarder проходит без проблем. Как возвращаюсь на Resolver - такая же ошибка. Чувствую, надо еще правило создавать?

werter

@maxyca
Релей вовне живет? Почему у него адрес серый? Может что напутали в host override? Или у вас и веб-сервер и релей на одном ip живут и одно имя имеют?

maxer

This post is deleted!

maxer

@werter
Схема следующая:
alt text

Проблемы на сегодняшний день следующие:

При попытке отправить письмо через php или sendmail через Ubuntu в логе - Connection refused.
Тоже самое при отправке сообщений через внутренний SMTP с Asterisk (PBX).
При подключении через OpenVPN к pfSense клиенты не могут подключиться к Asterisk.

Стоит только выключить DNS Resolver и включить DNS Forwarder - все начинает прекрасно работать. В Ubuntu в Resolver настроил, что DNS это IP pfSense. Все равно результата нет.
Не понимаю куда еще копать... Буду очень признателен за совет.