Netgate Discussion Forum
    • Categories
    • Recent
    • Tags
    • Popular
    • Users
    • Search
    • Register
    • Login

    Работа OSPF маршрутов

    Scheduled Pinned Locked Moved Russian
    46 Posts 5 Posters 2.8k Views
    Loading More Posts
    • Oldest to Newest
    • Newest to Oldest
    • Most Votes
    Reply
    • Reply as topic
    Log in to reply
    This topic has been deleted. Only users with topic management privileges can see it.
    • M
      Moron
      last edited by Moron

      Есть pfSense с адресом 10.1.0.1/24
      Есть CHR а адресом 10.1.0.2/24
      Они находятся в одной сети, pfSense является шлюзом для всей сети, а CHR используется для связи удаленных офисов по GRE+IPsec
      Между pfSense и CHR настроен OSPF backbone, за CHR офисы каждый в своей area, их сети стандартны 192.168.12.0/24-192.168.254.0/24

      Используется Quagga_OSPF, все маршруты приходят.

      Из сети 10.1.0.0/24 можно подключаться в любую сеть 192.168.12.0/24-192.168.254.0/24
      Но из 192.168.12.0/24-192.168.254.0/24 нельзя подключиться в сеть 10.1.0.0/24 пока в pfSense не укажешь статичный маршрут до этой сети.

      В Quagga Status вижу сети:
      192.168.12.0 10.1.0.2 807 0x800000e3 0xd80a 192.168.12.0/23
      192.168.14.0 10.1.0.2 53 0x800000e8 0xa933 192.168.14.0/24
      192.168.15.0 10.1.0.2 804 0x800000e4 0xa639 192.168.15.0/24
      и т.д.

      В DiagnosticsRoutes вижу эти маршруты

      192.168.12.0/23 10.1.0.2 UG1 192159 1500 vtnet1
      192.168.14.0/24 10.1.0.2 UG1 8 1500 vtnet1
      192.168.15.0/24 10.1.0.2 UG1 229 1500 vtnet1

      Но без указания в Static Routes трафик ходит только в одну сторону.

      В чем может быть причина? Какие данные предоставить для диагностики?

      1 Reply Last reply Reply Quote 0
      • werterW
        werter
        last edited by werter

        @Moron

        Что в кач-ве роутеров в удал. офисах?

        Избавиться от CHR. Пусть всем рулит пф. Тем самым упростим адм-ние.

        Зы. Я бы пользовал пакет FRR - он свежее.

        M 1 Reply Last reply Reply Quote 0
        • M
          Moron @werter
          last edited by

          @werter said in Работа OSPF маршрутов:

          @Moron

          Что в кач-ве роутеров в удал. офисах?

          Избавиться от CHR. Пусть всем рулит пф. Тем самым упростим адм-ние.

          Зы. Я бы пользовал пакет FRR - он свежее.

          Удаленные офисы на MikroTik hAP AC2
          pfSense очень долго сохраняет и в итоге не может сохранить настройки ipsec, а их уже более 80 штук. Причем ставил голый pfSense и все равно такая история. По этому поставил CHR, где такой проблемы нет.

          Даже если и заменять CHR на второй pfSense, чтобы параллелить нагрузку (они на разных серверах с 100Мбит на каждом), все равно проблема в этом маршруте, без статичного трафик ходит только в одну сторону.

          Буду пробовать другой пакет OSPF

          1 Reply Last reply Reply Quote 0
          • viktor_gV
            viktor_g Netgate
            last edited by

            Ставьте FRR
            Quagga давно не поддерживается

            1 Reply Last reply Reply Quote 0
            • werterW
              werter
              last edited by werter

              @Moron

              а их уже более 80 штук.

              У вас 80 филиалов?

              pfSense очень долго сохраняет и в итоге не может сохранить настройки ipsec

              Это ненормально. Смотрите логи. Там 100% что-то будет по этой проблеме. После смотрите здесь https://redmine.pfsense.org/projects/pfsense/roadmap
              Версия пф - последняя?

              M 1 Reply Last reply Reply Quote 0
              • M
                Moron @werter
                last edited by Moron

                @werter said in Работа OSPF маршрутов:

                @Moron

                а их уже более 80 штук.

                У вас 80 филиалов?

                pfSense очень долго сохраняет и в итоге не может сохранить настройки ipsec

                Это ненормально. Смотрите логи. Там 100% что-то будет по этой проблеме. После смотрите здесь https://redmine.pfsense.org/projects/pfsense/roadmap
                Версия пф - последняя?

                Филиалов 40, по 2 провайдера в каждом. Получаем 80 туннелей. Если провайдер падает, sip и rdp отваливается на несколько секунд.

                Пфсенс последний, даже ставил чистый голый.
                php-fpm уходит в 100% нагрузку на все ядра на несколько часов

                1 Reply Last reply Reply Quote 0
                • viktor_gV
                  viktor_g Netgate
                  last edited by

                  Ещё хочу заметить что GRE+IPsec на pfSense требует небольших хитростей для правильной работы файрволла ( floating rules w/sloppy state and any TCP flags), см. баг https://redmine.pfsense.org/issues/4479

                  M 1 Reply Last reply Reply Quote 0
                  • M
                    Moron @viktor_g
                    last edited by Moron

                    @viktor_g said in Работа OSPF маршрутов:

                    Ещё хочу заметить что GRE+IPsec на pfSense требует небольших хитростей для правильной работы файрволла ( floating rules w/sloppy state and any TCP flags), см. баг https://redmine.pfsense.org/issues/4479

                    У меня нет проблемы если все работает на pfSense, только долгое сохранение большого количества IPsec и GRE
                    Периодически GRE не подымается, пока GRE и IPsec не выключу и включу одновременно с двух сторон.

                    @viktor_g said in Работа OSPF маршрутов:

                    Ставьте FRR
                    Quagga давно не поддерживается

                    Установка FRR не помогла. Так же приходят маршруты по OSPF, например до 192.168.200.0/24 через 10.1.0.2 и трафик не ходит.
                    Но когда я делаю такой же маршрут статичным, все начинает бегать.

                    K 1 Reply Last reply Reply Quote 0
                    • K
                      Konstanti @Moron
                      last edited by Konstanti

                      @Moron
                      Тут вся засада в логике инициализации GRE и IPSEC на PF. Те сначала скриптом поднимается GRE, а потом уже ipsec туннель. Из-за этого и проблемы.

                      M 1 Reply Last reply Reply Quote 0
                      • M
                        Moron @Konstanti
                        last edited by

                        @Konstanti said in Работа OSPF маршрутов:

                        @Moron
                        Тут вся засада в логике инициализации GRE и IPSEC на PF. Те сначала скриптом поднимается GRE а потом уже ipsec туннель. Из-за этого и проблемы.

                        Я подозревал, что так и происходит. Это еще один повод в сторону CHR. На нем при перезагрузке все 80 туннелей подымаются за 15 секунд.

                        K 1 Reply Last reply Reply Quote 0
                        • K
                          Konstanti @Moron
                          last edited by Konstanti

                          @Moron
                          Есть ли схема сети ? Я так подозреваю , что проблема у Вас из-за "поломанной" функции reply-to на виртуальных интерфейсах PF. На это косвенно указывает , что решаете проблему статическим маршрутом.
                          Ради интереса , убрав статический маршрут , посмотрите tcpdump-ом на wan интерфейсе ( на шлюзе по умолчанию ) - не туда ли PF "пихает" ответный пакет для сетей 192.168.12.0/24-192.168.254.0/24

                          M 1 Reply Last reply Reply Quote 0
                          • M
                            Moron @Konstanti
                            last edited by

                            @Konstanti said in Работа OSPF маршрутов:

                            @Moron
                            Есть ли схема сети ? Я так подозреваю , что проблема у Вас из-за "поломанной" функции reply-to на виртуальных интерфейсах PF. На это косвенно указывает , что решаете проблему статическим маршрутом.
                            Ради интереса , убрав статический маршрут , посмотрите tcpdump-ом на wan интерфейсе ( на шлюзе по умолчанию ) - не туда ли PF "пихает" ответный пакет для сетей 192.168.12.0/24-192.168.254.0/24

                            IMG_20201119_201024.jpg

                            Без статичных маршрутов я могу попасть из 10.1.0.0/24 в сеть офисов 192.168.12.0/24 и т.д., но из этих же офисов не могу попасть в сеть 10.1.0.0/24, пока не укажу на pfSense статичный маршрут.

                            Посмотреть дамп не могу, т.к. система используется, хоть там и трафика очень мало.

                            1 Reply Last reply Reply Quote 0
                            • werterW
                              werter
                              last edited by werter

                              @Moron
                              Если интересно, то у меня на предыщей работе было 28 овпн-туннелей + ospf. Все поднималось\применялось за секунды. Но на обоих концах (головной + филиалы) были пф-ы.

                              Зы. Настройки ospf + правила fw покажите. И таблицу марш-ции на пф.

                              M 2 Replies Last reply Reply Quote 0
                              • M
                                Moron @werter
                                last edited by Moron

                                @werter said in Работа OSPF маршрутов:

                                @Moron
                                Если интересно, то у меня на предыщей работе было 28 овпн-туннелей + ospf. Все поднималось\применялось за секунды. Но на обоих концах (головной + филиалы) были пф-ы.

                                Зы. Настройки ospf + правила fw покажите. И таблицу марш-ции на пф.

                                Openvpn более сотни, с ним проблем нет.
                                Правила fw все открыто, т.к. все идёт через LAN
                                0ed33616-e2d7-4816-8d37-5e1ce2300ea8-image.png

                                b841d35a-08f8-4b8d-911c-78e20f0476cd-image.png

                                Как раз видно 192.168.0.0/16 (чтобы охватить все) и 192.168.12.0/23 (чтобы при экспериментах ничего не сломать) без которых ничего не работает.
                                Далее идут маршруты пришедшие через OSPF

                                1 Reply Last reply Reply Quote 0
                                • M
                                  Moron @werter
                                  last edited by

                                  @werter said in Работа OSPF маршрутов:

                                  @Moron
                                  Зы. Настройки ospf

                                  Настройки OSPF:
                                  Router ID: 10.1.0.1 и 10.1.0.2 соответственно на pfSense и CHR

                                  Далее просто анонс LAN интерфейса в Area 0.0.0.0

                                  1 Reply Last reply Reply Quote 0
                                  • M
                                    Moron
                                    last edited by

                                    Собрал стенд, где pfSense и CHR связаны между собой сетью 172.31.250.0/24 и там бегает OSPF
                                    За pfSense в сети 192.168.0.0/24 стоит WinXP, а за CHR сеть 192.168.1.0/24 так же стоит XP
                                    Трафик из XP за pfSense свободно ходит в XP за CHR, наоборот не ходит.

                                    Далее отключаю полностью firewall на pfSense и все начинает бегать, как задумано.

                                    K P 2 Replies Last reply Reply Quote 0
                                    • K
                                      Konstanti @Moron
                                      last edited by

                                      @Moron
                                      Посмотрите журнал файрвола , нет ли там заблокированных пакетов

                                      1 Reply Last reply Reply Quote 0
                                      • P
                                        pigbrother @Moron
                                        last edited by

                                        @Moron said in Работа OSPF маршрутов:

                                        Трафик из XP за pfSense свободно ходит в XP за CHR, наоборот не ходит.

                                        На pfSense есть multiwan?
                                        Попробуйте добавить повыше на LAN pfSense правило вида
                                        IPv4 * LAN net * 192.168.1.0/24 * * none

                                        M 1 Reply Last reply Reply Quote 0
                                        • M
                                          Moron @pigbrother
                                          last edited by

                                          @pigbrother said in Работа OSPF маршрутов:

                                          @Moron said in Работа OSPF маршрутов:

                                          Трафик из XP за pfSense свободно ходит в XP за CHR, наоборот не ходит.

                                          На pfSense есть multiwan?
                                          Попробуйте добавить повыше на LAN pfSense правило вида
                                          IPv4 * LAN net * 192.168.1.0/24 * * none

                                          Без multiwan

                                          На стенде трафик стал бегать при добавлении правила в LAN на весь трафик Disable reply-to, на рабочей системе не помогло.

                                          На рабочей системе в LAN уже есть правило
                                          IPv4 * LAN net * * * * none

                                          P 1 Reply Last reply Reply Quote 0
                                          • P
                                            pigbrother @Moron
                                            last edited by

                                            @Moron said in Работа OSPF маршрутов:

                                            IPv4 * LAN net * * * * none

                                            Вы про Default allow LAN to any rule ?
                                            IPv4 * LAN net * 192.168.1.0/24 * * none - это правило для negate rules, в свое время тут обсуждалось.
                                            Оно не перекрывается Default allow LAN to any rule, и необходимо при multiwan, но иногда помогало при single wan.

                                            M 1 Reply Last reply Reply Quote 0
                                            • First post
                                              Last post
                                            Copyright 2025 Rubicon Communications LLC (Netgate). All rights reserved.