Какое правило добавить для доступа к nginx в LAN ?

maxer

Разобрался. Включил в System > Advanced > Firewall & NAT >Enable NAT Reflection for 1:1 NAT и Enable automatic outbound NAT for Reflection согласно руководству https://docs.netgate.com/pfsense/en/latest/book/nat/nat-reflection.html.
Теперь юзвери могут заходить по доменному имени на сайты, которые находятся на nginx в LAN без моих правил в NAT.

werter

@maxyca
Снова костыль. Снова в дом через окно.

Завернуть ВСЕ днс-запросы клиентов на лок. адрес пф правилом port forward.
Настроить на пф split dns.
Profit!

maxer

Теперь вроде не костыль :)

Снял 2 чекбокса в System > Advanced > Firewall & NAT >Enable NAT Reflection for 1:1 NAT и Enable automatic outbound NAT for Reflection
Создал правило:
В DNS Resolver создал Host overrides для всех доменов на локальный nginx
Теперь profit ? :))

werter

@maxyca
Src - LAN net
Dst -any
Redirect ip - локальный ip пф

В DNS Resolver создал Host overrides для всех доменов на локальный nginx

Скрин.

maxer

В source - LAN net - согласен, понял. А зачем в destination - any? Ведь запросы внутри LAN идут.
В redirect ip - как раз pfsense стоит, это алиас на него.

DNS Resolver:
alt text

werter

@maxyca said in Какое правило добавить для доступа к nginx в LAN ?:

А зачем в destination - any? Ведь запросы внутри LAN идут.

Еще раз. Пф ВНУТРИ сети ничего не регулирует. Возможно "регулирование" только между интерфейсами (LAN < - > WAN и т.д.)
DNS-запросы ко ВНЕШНИМ серверам заворачиваете - значит в Dst - any.

maxer

@werter Благодарю за ответ! Сбила с толку еще инструкция - https://docs.netgate.com/pfsense/en/latest/dns/redirecting-all-dns-requests-to-pfsense.html

В качестве бонуса помогите еще с загвоздкой. После всех манипуляций со включением DNS Resolver и переопределением хостов с ubuntu перестал работать phpmail (и sendmail). SMTP работает.
В логе Ubuntu после отправки появляется ошибка:
Feb 16 18:45:54 ubuntu sm-mta[29969]: 01GFjsjJ029967: to=****@mydomain.ru, delay=00:00:00, xdelay=00:00:00, mailer=esmtp, pri=120906, relay=mydomain.ru. [192.168.1.11], dsn=4.0.0, stat=Deferred: Connection refused by mydomain.ru.

С DNS Forwarder проходит без проблем. Как возвращаюсь на Resolver - такая же ошибка. Чувствую, надо еще правило создавать?

werter

@maxyca
Релей вовне живет? Почему у него адрес серый? Может что напутали в host override? Или у вас и веб-сервер и релей на одном ip живут и одно имя имеют?

maxer

This post is deleted!

maxer

@werter
Схема следующая:
alt text

Проблемы на сегодняшний день следующие:

При попытке отправить письмо через php или sendmail через Ubuntu в логе - Connection refused.
Тоже самое при отправке сообщений через внутренний SMTP с Asterisk (PBX).
При подключении через OpenVPN к pfSense клиенты не могут подключиться к Asterisk.

Стоит только выключить DNS Resolver и включить DNS Forwarder - все начинает прекрасно работать. В Ubuntu в Resolver настроил, что DNS это IP pfSense. Все равно результата нет.
Не понимаю куда еще копать... Буду очень признателен за совет.

werter

перестал работать phpmail (и sendmail)
relay=mydomain.ru.

Вкл. debug в настройках на почтовике и смотрите, что там происходит. Может почтовый сервис привязан ко внешнему ip-адресу и ему локальный адрес 192,168,1,11 не нравится?

При подключении через OpenVPN к pfSense клиенты не могут подключиться к Asterisk.

Смотрите логи Астериска.

maxer

@werter
В связе Asterisk через OpenVPN - был поставлен чекбокс "Respond to incoming SSL/TLS queries from local clients" в DNS Resolver. Сейчас все клиенты подключаются успешно.

Насчет RELAY, наш IP действительно привязан к почтовому сервису, т.к. у нас почта на доменах поступает в ящики mail.ru в рамках biz.mail.ru. В DNS для обслуживаемых доменах имеются SPF записи с указанием нашего белого IP.
Я так думаю, что надо именно RELAY настроить в sendmail, чтобы все заработало))

maxer

@werter
Наконец все удалось настроить. Проблема была связана с тем, что mail.ru очень капризный в плане отправки сообщений с сайта.
Сорри за офф, все думаю и решаю насчет включения pfblocker. Все таки более 20 сайтов сейчас висят. Будет ли слишком строго заблочить все левые IP или нет?
Для теста через Tor Browser удалось заходить через раз. С разных VPN тоже 50/50%. Одним словом, как в классике - "быть или не быть?" :))