Netgate Discussion Forum
    • Categories
    • Recent
    • Tags
    • Popular
    • Users
    • Search
    • Register
    • Login

    Работа OSPF маршрутов

    Scheduled Pinned Locked Moved Russian
    46 Posts 5 Posters 2.8k Views
    Loading More Posts
    • Oldest to Newest
    • Newest to Oldest
    • Most Votes
    Reply
    • Reply as topic
    Log in to reply
    This topic has been deleted. Only users with topic management privileges can see it.
    • werterW
      werter
      last edited by werter

      @Moron

      Что в кач-ве роутеров в удал. офисах?

      Избавиться от CHR. Пусть всем рулит пф. Тем самым упростим адм-ние.

      Зы. Я бы пользовал пакет FRR - он свежее.

      M 1 Reply Last reply Reply Quote 0
      • M
        Moron @werter
        last edited by

        @werter said in Работа OSPF маршрутов:

        @Moron

        Что в кач-ве роутеров в удал. офисах?

        Избавиться от CHR. Пусть всем рулит пф. Тем самым упростим адм-ние.

        Зы. Я бы пользовал пакет FRR - он свежее.

        Удаленные офисы на MikroTik hAP AC2
        pfSense очень долго сохраняет и в итоге не может сохранить настройки ipsec, а их уже более 80 штук. Причем ставил голый pfSense и все равно такая история. По этому поставил CHR, где такой проблемы нет.

        Даже если и заменять CHR на второй pfSense, чтобы параллелить нагрузку (они на разных серверах с 100Мбит на каждом), все равно проблема в этом маршруте, без статичного трафик ходит только в одну сторону.

        Буду пробовать другой пакет OSPF

        1 Reply Last reply Reply Quote 0
        • viktor_gV
          viktor_g Netgate
          last edited by

          Ставьте FRR
          Quagga давно не поддерживается

          1 Reply Last reply Reply Quote 0
          • werterW
            werter
            last edited by werter

            @Moron

            а их уже более 80 штук.

            У вас 80 филиалов?

            pfSense очень долго сохраняет и в итоге не может сохранить настройки ipsec

            Это ненормально. Смотрите логи. Там 100% что-то будет по этой проблеме. После смотрите здесь https://redmine.pfsense.org/projects/pfsense/roadmap
            Версия пф - последняя?

            M 1 Reply Last reply Reply Quote 0
            • M
              Moron @werter
              last edited by Moron

              @werter said in Работа OSPF маршрутов:

              @Moron

              а их уже более 80 штук.

              У вас 80 филиалов?

              pfSense очень долго сохраняет и в итоге не может сохранить настройки ipsec

              Это ненормально. Смотрите логи. Там 100% что-то будет по этой проблеме. После смотрите здесь https://redmine.pfsense.org/projects/pfsense/roadmap
              Версия пф - последняя?

              Филиалов 40, по 2 провайдера в каждом. Получаем 80 туннелей. Если провайдер падает, sip и rdp отваливается на несколько секунд.

              Пфсенс последний, даже ставил чистый голый.
              php-fpm уходит в 100% нагрузку на все ядра на несколько часов

              1 Reply Last reply Reply Quote 0
              • viktor_gV
                viktor_g Netgate
                last edited by

                Ещё хочу заметить что GRE+IPsec на pfSense требует небольших хитростей для правильной работы файрволла ( floating rules w/sloppy state and any TCP flags), см. баг https://redmine.pfsense.org/issues/4479

                M 1 Reply Last reply Reply Quote 0
                • M
                  Moron @viktor_g
                  last edited by Moron

                  @viktor_g said in Работа OSPF маршрутов:

                  Ещё хочу заметить что GRE+IPsec на pfSense требует небольших хитростей для правильной работы файрволла ( floating rules w/sloppy state and any TCP flags), см. баг https://redmine.pfsense.org/issues/4479

                  У меня нет проблемы если все работает на pfSense, только долгое сохранение большого количества IPsec и GRE
                  Периодически GRE не подымается, пока GRE и IPsec не выключу и включу одновременно с двух сторон.

                  @viktor_g said in Работа OSPF маршрутов:

                  Ставьте FRR
                  Quagga давно не поддерживается

                  Установка FRR не помогла. Так же приходят маршруты по OSPF, например до 192.168.200.0/24 через 10.1.0.2 и трафик не ходит.
                  Но когда я делаю такой же маршрут статичным, все начинает бегать.

                  K 1 Reply Last reply Reply Quote 0
                  • K
                    Konstanti @Moron
                    last edited by Konstanti

                    @Moron
                    Тут вся засада в логике инициализации GRE и IPSEC на PF. Те сначала скриптом поднимается GRE, а потом уже ipsec туннель. Из-за этого и проблемы.

                    M 1 Reply Last reply Reply Quote 0
                    • M
                      Moron @Konstanti
                      last edited by

                      @Konstanti said in Работа OSPF маршрутов:

                      @Moron
                      Тут вся засада в логике инициализации GRE и IPSEC на PF. Те сначала скриптом поднимается GRE а потом уже ipsec туннель. Из-за этого и проблемы.

                      Я подозревал, что так и происходит. Это еще один повод в сторону CHR. На нем при перезагрузке все 80 туннелей подымаются за 15 секунд.

                      K 1 Reply Last reply Reply Quote 0
                      • K
                        Konstanti @Moron
                        last edited by Konstanti

                        @Moron
                        Есть ли схема сети ? Я так подозреваю , что проблема у Вас из-за "поломанной" функции reply-to на виртуальных интерфейсах PF. На это косвенно указывает , что решаете проблему статическим маршрутом.
                        Ради интереса , убрав статический маршрут , посмотрите tcpdump-ом на wan интерфейсе ( на шлюзе по умолчанию ) - не туда ли PF "пихает" ответный пакет для сетей 192.168.12.0/24-192.168.254.0/24

                        M 1 Reply Last reply Reply Quote 0
                        • M
                          Moron @Konstanti
                          last edited by

                          @Konstanti said in Работа OSPF маршрутов:

                          @Moron
                          Есть ли схема сети ? Я так подозреваю , что проблема у Вас из-за "поломанной" функции reply-to на виртуальных интерфейсах PF. На это косвенно указывает , что решаете проблему статическим маршрутом.
                          Ради интереса , убрав статический маршрут , посмотрите tcpdump-ом на wan интерфейсе ( на шлюзе по умолчанию ) - не туда ли PF "пихает" ответный пакет для сетей 192.168.12.0/24-192.168.254.0/24

                          IMG_20201119_201024.jpg

                          Без статичных маршрутов я могу попасть из 10.1.0.0/24 в сеть офисов 192.168.12.0/24 и т.д., но из этих же офисов не могу попасть в сеть 10.1.0.0/24, пока не укажу на pfSense статичный маршрут.

                          Посмотреть дамп не могу, т.к. система используется, хоть там и трафика очень мало.

                          1 Reply Last reply Reply Quote 0
                          • werterW
                            werter
                            last edited by werter

                            @Moron
                            Если интересно, то у меня на предыщей работе было 28 овпн-туннелей + ospf. Все поднималось\применялось за секунды. Но на обоих концах (головной + филиалы) были пф-ы.

                            Зы. Настройки ospf + правила fw покажите. И таблицу марш-ции на пф.

                            M 2 Replies Last reply Reply Quote 0
                            • M
                              Moron @werter
                              last edited by Moron

                              @werter said in Работа OSPF маршрутов:

                              @Moron
                              Если интересно, то у меня на предыщей работе было 28 овпн-туннелей + ospf. Все поднималось\применялось за секунды. Но на обоих концах (головной + филиалы) были пф-ы.

                              Зы. Настройки ospf + правила fw покажите. И таблицу марш-ции на пф.

                              Openvpn более сотни, с ним проблем нет.
                              Правила fw все открыто, т.к. все идёт через LAN
                              0ed33616-e2d7-4816-8d37-5e1ce2300ea8-image.png

                              b841d35a-08f8-4b8d-911c-78e20f0476cd-image.png

                              Как раз видно 192.168.0.0/16 (чтобы охватить все) и 192.168.12.0/23 (чтобы при экспериментах ничего не сломать) без которых ничего не работает.
                              Далее идут маршруты пришедшие через OSPF

                              1 Reply Last reply Reply Quote 0
                              • M
                                Moron @werter
                                last edited by

                                @werter said in Работа OSPF маршрутов:

                                @Moron
                                Зы. Настройки ospf

                                Настройки OSPF:
                                Router ID: 10.1.0.1 и 10.1.0.2 соответственно на pfSense и CHR

                                Далее просто анонс LAN интерфейса в Area 0.0.0.0

                                1 Reply Last reply Reply Quote 0
                                • M
                                  Moron
                                  last edited by

                                  Собрал стенд, где pfSense и CHR связаны между собой сетью 172.31.250.0/24 и там бегает OSPF
                                  За pfSense в сети 192.168.0.0/24 стоит WinXP, а за CHR сеть 192.168.1.0/24 так же стоит XP
                                  Трафик из XP за pfSense свободно ходит в XP за CHR, наоборот не ходит.

                                  Далее отключаю полностью firewall на pfSense и все начинает бегать, как задумано.

                                  K P 2 Replies Last reply Reply Quote 0
                                  • K
                                    Konstanti @Moron
                                    last edited by

                                    @Moron
                                    Посмотрите журнал файрвола , нет ли там заблокированных пакетов

                                    1 Reply Last reply Reply Quote 0
                                    • P
                                      pigbrother @Moron
                                      last edited by

                                      @Moron said in Работа OSPF маршрутов:

                                      Трафик из XP за pfSense свободно ходит в XP за CHR, наоборот не ходит.

                                      На pfSense есть multiwan?
                                      Попробуйте добавить повыше на LAN pfSense правило вида
                                      IPv4 * LAN net * 192.168.1.0/24 * * none

                                      M 1 Reply Last reply Reply Quote 0
                                      • M
                                        Moron @pigbrother
                                        last edited by

                                        @pigbrother said in Работа OSPF маршрутов:

                                        @Moron said in Работа OSPF маршрутов:

                                        Трафик из XP за pfSense свободно ходит в XP за CHR, наоборот не ходит.

                                        На pfSense есть multiwan?
                                        Попробуйте добавить повыше на LAN pfSense правило вида
                                        IPv4 * LAN net * 192.168.1.0/24 * * none

                                        Без multiwan

                                        На стенде трафик стал бегать при добавлении правила в LAN на весь трафик Disable reply-to, на рабочей системе не помогло.

                                        На рабочей системе в LAN уже есть правило
                                        IPv4 * LAN net * * * * none

                                        P 1 Reply Last reply Reply Quote 0
                                        • P
                                          pigbrother @Moron
                                          last edited by

                                          @Moron said in Работа OSPF маршрутов:

                                          IPv4 * LAN net * * * * none

                                          Вы про Default allow LAN to any rule ?
                                          IPv4 * LAN net * 192.168.1.0/24 * * none - это правило для negate rules, в свое время тут обсуждалось.
                                          Оно не перекрывается Default allow LAN to any rule, и необходимо при multiwan, но иногда помогало при single wan.

                                          M 1 Reply Last reply Reply Quote 0
                                          • M
                                            Moron @pigbrother
                                            last edited by

                                            @pigbrother said in Работа OSPF маршрутов:

                                            @Moron said in Работа OSPF маршрутов:

                                            IPv4 * LAN net * * * * none

                                            Вы про Default allow LAN to any rule ?
                                            IPv4 * LAN net * 192.168.1.0/24 * * none - это правило для negate rules, в свое время тут обсуждалось.
                                            Оно не перекрывается Default allow LAN to any rule, и необходимо при multiwan, но иногда помогало при single wan.

                                            Попробую, отпишусь.
                                            Но как тогда это правило влияет на маршрут прописанный руками и пришедший через OSPF?

                                            1 Reply Last reply Reply Quote 0
                                            • First post
                                              Last post
                                            Copyright 2025 Rubicon Communications LLC (Netgate). All rights reserved.