Conexao VPN

Leandro Branco

@fgebaili Bom dia caro colega,

minha regra no firewall ja existe:

Contudo, do aliases COFRE_PROSSEGUR (com 5 ips locais) apenas um ip local consegue realizar comunicação. e no roteador CISCO é informado que existe um bloqueio na porta 500 e 4500. O que me leva a conjecturar que o pfsense esteja barrando mais de uma conexão pela mesma porta no mesmo link de internet. Falo isso pois se eu desativo o ip que está comunicando o outro ip que não estava comunicando comunica instantaneamente.

Acho que consegui me explicar melhor :-) ....

fgebaili

Entendi. No seu alias PROSSEGUR vc colocou uma ou mais portas?
Creio que o "Destination Port" é melhor deixar "Any" . Mas você pode olhar nos logs de bloqueio e verificar tbm se há mais algum bloqueio quando você faz a solicitação.

ismarcs

como ta a regra de NAT de saída ?

Leandro Branco

@ismarcs Boa tarde, estão em modo automático.

Leandro Branco

@fgebaili Bom dia, coloquei todas as portas solicitadas pelo provedor da VPN.

ismarcs

Seus Roteadores CISCO que estão por traz do PFsense que estão se conectando a VPN ?
Ambos se conectam a mesma VPN com as mesmas portas ?

Leandro Branco

@ismarcs Bom dia caro colega, sim os roteadores que se conectam a VPN e sim ao mesmo servidor VPN e com as mesmas portas.

ismarcs

@Leandro-Branco Consegue ver no LOG alguma coisa bloqueada ?
Já fez um teste com esse Source sem as portas ? Como se estivesse em um DMZ ?
Para ver se conecta normal.

Leandro Branco

@ismarcs em Status > System Logs > Firewall nao aprece nenhum endereço, que é utilizado na comunicaçao VPN, bloqueado. Já em Status > System Logs > General não aprece nenhum alerta de erros. Já a tabela de States aparecem assim:
-- o que consgue fechar a vpn:

-- os que nao nao conseguem fechar a vpn:

Já fiz o teste de deixar tudo como default accept e não resolveu, continuou apenas um ip, de um aliases com 5 ips, conectar na vpn. E se eu desligo este que conectou outro ip, apenas um, consegue realizar a comunicaçao.

fgebaili

@Leandro-Branco
você tem que ter um NAT para cada porta vpn

interface: link 1
Protocol: UDP

Destination: Link 1
Destination port range: OpenVPN

Redirect target IP 127.0.0.1
Redirect target port: OpenVPN

ismarcs

@fgebaili Olá, ele esta usando a VPN do roteadores CISCO que estão por traz do PFsense.

@Leandro-Branco Nunca fiz multiplas VPNs por traz do PFsense, mas eu imagino que seja porque seus Roteadores CISCO estão com as mesmas portas, pode ser até por isso que sobe um por vez, quando a porta esta liberada.

no seu Aliases tem 5 IPS, e no outro as portas 500 e 4500. Porta de destino ok, e a de retorno ?

fgebaili

Entendi @ismarcs . Provavelmente o pfsense está bloqueando o trafego gerado pelas portas requisitadas atraves do cisco. Se for esse o caso é só criar NAT com as portas solicitas pelo roteador.

ismarcs

@fgebaili Exato, mas os CISCO dele, estão todos usando a mesma porta para fechar essa VPN, acho que dessa forma nao vai funcionar né ?

Leandro Branco

Caros colegas @ismarcs e @fgebaili , estive vasculhando o site da Netgate Docs e encontrei ISTO, mas não compreendi muito bem qual seria a diferença em criar as rotas nat MANUALMENTE para as rotas nat AUTOMATICAS e também ainda não implementei. Poderiam dar um help nesse entendimento? Muito grato.

Leandro Branco

@ismarcs e @fgebaili , boa tarde, realizei a alteraçao conforme recomendado no troubleshooting da Netgate Docs: https://docs.netgate.com/pfsense/en/latest/troubleshooting/cisco-vpn-passthrough.html e funcionou satisfatóriamente. Muito obrigado pela ajuda.