Netgate Discussion Forum
    • Categories
    • Recent
    • Tags
    • Popular
    • Users
    • Search
    • Register
    • Login

    Работа OSPF маршрутов

    Scheduled Pinned Locked Moved Russian
    46 Posts 5 Posters 2.8k Views
    Loading More Posts
    • Oldest to Newest
    • Newest to Oldest
    • Most Votes
    Reply
    • Reply as topic
    Log in to reply
    This topic has been deleted. Only users with topic management privileges can see it.
    • viktor_gV
      viktor_g Netgate
      last edited by

      Ставьте FRR
      Quagga давно не поддерживается

      1 Reply Last reply Reply Quote 0
      • werterW
        werter
        last edited by werter

        @Moron

        а их уже более 80 штук.

        У вас 80 филиалов?

        pfSense очень долго сохраняет и в итоге не может сохранить настройки ipsec

        Это ненормально. Смотрите логи. Там 100% что-то будет по этой проблеме. После смотрите здесь https://redmine.pfsense.org/projects/pfsense/roadmap
        Версия пф - последняя?

        M 1 Reply Last reply Reply Quote 0
        • M
          Moron @werter
          last edited by Moron

          @werter said in Работа OSPF маршрутов:

          @Moron

          а их уже более 80 штук.

          У вас 80 филиалов?

          pfSense очень долго сохраняет и в итоге не может сохранить настройки ipsec

          Это ненормально. Смотрите логи. Там 100% что-то будет по этой проблеме. После смотрите здесь https://redmine.pfsense.org/projects/pfsense/roadmap
          Версия пф - последняя?

          Филиалов 40, по 2 провайдера в каждом. Получаем 80 туннелей. Если провайдер падает, sip и rdp отваливается на несколько секунд.

          Пфсенс последний, даже ставил чистый голый.
          php-fpm уходит в 100% нагрузку на все ядра на несколько часов

          1 Reply Last reply Reply Quote 0
          • viktor_gV
            viktor_g Netgate
            last edited by

            Ещё хочу заметить что GRE+IPsec на pfSense требует небольших хитростей для правильной работы файрволла ( floating rules w/sloppy state and any TCP flags), см. баг https://redmine.pfsense.org/issues/4479

            M 1 Reply Last reply Reply Quote 0
            • M
              Moron @viktor_g
              last edited by Moron

              @viktor_g said in Работа OSPF маршрутов:

              Ещё хочу заметить что GRE+IPsec на pfSense требует небольших хитростей для правильной работы файрволла ( floating rules w/sloppy state and any TCP flags), см. баг https://redmine.pfsense.org/issues/4479

              У меня нет проблемы если все работает на pfSense, только долгое сохранение большого количества IPsec и GRE
              Периодически GRE не подымается, пока GRE и IPsec не выключу и включу одновременно с двух сторон.

              @viktor_g said in Работа OSPF маршрутов:

              Ставьте FRR
              Quagga давно не поддерживается

              Установка FRR не помогла. Так же приходят маршруты по OSPF, например до 192.168.200.0/24 через 10.1.0.2 и трафик не ходит.
              Но когда я делаю такой же маршрут статичным, все начинает бегать.

              K 1 Reply Last reply Reply Quote 0
              • K
                Konstanti @Moron
                last edited by Konstanti

                @Moron
                Тут вся засада в логике инициализации GRE и IPSEC на PF. Те сначала скриптом поднимается GRE, а потом уже ipsec туннель. Из-за этого и проблемы.

                M 1 Reply Last reply Reply Quote 0
                • M
                  Moron @Konstanti
                  last edited by

                  @Konstanti said in Работа OSPF маршрутов:

                  @Moron
                  Тут вся засада в логике инициализации GRE и IPSEC на PF. Те сначала скриптом поднимается GRE а потом уже ipsec туннель. Из-за этого и проблемы.

                  Я подозревал, что так и происходит. Это еще один повод в сторону CHR. На нем при перезагрузке все 80 туннелей подымаются за 15 секунд.

                  K 1 Reply Last reply Reply Quote 0
                  • K
                    Konstanti @Moron
                    last edited by Konstanti

                    @Moron
                    Есть ли схема сети ? Я так подозреваю , что проблема у Вас из-за "поломанной" функции reply-to на виртуальных интерфейсах PF. На это косвенно указывает , что решаете проблему статическим маршрутом.
                    Ради интереса , убрав статический маршрут , посмотрите tcpdump-ом на wan интерфейсе ( на шлюзе по умолчанию ) - не туда ли PF "пихает" ответный пакет для сетей 192.168.12.0/24-192.168.254.0/24

                    M 1 Reply Last reply Reply Quote 0
                    • M
                      Moron @Konstanti
                      last edited by

                      @Konstanti said in Работа OSPF маршрутов:

                      @Moron
                      Есть ли схема сети ? Я так подозреваю , что проблема у Вас из-за "поломанной" функции reply-to на виртуальных интерфейсах PF. На это косвенно указывает , что решаете проблему статическим маршрутом.
                      Ради интереса , убрав статический маршрут , посмотрите tcpdump-ом на wan интерфейсе ( на шлюзе по умолчанию ) - не туда ли PF "пихает" ответный пакет для сетей 192.168.12.0/24-192.168.254.0/24

                      IMG_20201119_201024.jpg

                      Без статичных маршрутов я могу попасть из 10.1.0.0/24 в сеть офисов 192.168.12.0/24 и т.д., но из этих же офисов не могу попасть в сеть 10.1.0.0/24, пока не укажу на pfSense статичный маршрут.

                      Посмотреть дамп не могу, т.к. система используется, хоть там и трафика очень мало.

                      1 Reply Last reply Reply Quote 0
                      • werterW
                        werter
                        last edited by werter

                        @Moron
                        Если интересно, то у меня на предыщей работе было 28 овпн-туннелей + ospf. Все поднималось\применялось за секунды. Но на обоих концах (головной + филиалы) были пф-ы.

                        Зы. Настройки ospf + правила fw покажите. И таблицу марш-ции на пф.

                        M 2 Replies Last reply Reply Quote 0
                        • M
                          Moron @werter
                          last edited by Moron

                          @werter said in Работа OSPF маршрутов:

                          @Moron
                          Если интересно, то у меня на предыщей работе было 28 овпн-туннелей + ospf. Все поднималось\применялось за секунды. Но на обоих концах (головной + филиалы) были пф-ы.

                          Зы. Настройки ospf + правила fw покажите. И таблицу марш-ции на пф.

                          Openvpn более сотни, с ним проблем нет.
                          Правила fw все открыто, т.к. все идёт через LAN
                          0ed33616-e2d7-4816-8d37-5e1ce2300ea8-image.png

                          b841d35a-08f8-4b8d-911c-78e20f0476cd-image.png

                          Как раз видно 192.168.0.0/16 (чтобы охватить все) и 192.168.12.0/23 (чтобы при экспериментах ничего не сломать) без которых ничего не работает.
                          Далее идут маршруты пришедшие через OSPF

                          1 Reply Last reply Reply Quote 0
                          • M
                            Moron @werter
                            last edited by

                            @werter said in Работа OSPF маршрутов:

                            @Moron
                            Зы. Настройки ospf

                            Настройки OSPF:
                            Router ID: 10.1.0.1 и 10.1.0.2 соответственно на pfSense и CHR

                            Далее просто анонс LAN интерфейса в Area 0.0.0.0

                            1 Reply Last reply Reply Quote 0
                            • M
                              Moron
                              last edited by

                              Собрал стенд, где pfSense и CHR связаны между собой сетью 172.31.250.0/24 и там бегает OSPF
                              За pfSense в сети 192.168.0.0/24 стоит WinXP, а за CHR сеть 192.168.1.0/24 так же стоит XP
                              Трафик из XP за pfSense свободно ходит в XP за CHR, наоборот не ходит.

                              Далее отключаю полностью firewall на pfSense и все начинает бегать, как задумано.

                              K P 2 Replies Last reply Reply Quote 0
                              • K
                                Konstanti @Moron
                                last edited by

                                @Moron
                                Посмотрите журнал файрвола , нет ли там заблокированных пакетов

                                1 Reply Last reply Reply Quote 0
                                • P
                                  pigbrother @Moron
                                  last edited by

                                  @Moron said in Работа OSPF маршрутов:

                                  Трафик из XP за pfSense свободно ходит в XP за CHR, наоборот не ходит.

                                  На pfSense есть multiwan?
                                  Попробуйте добавить повыше на LAN pfSense правило вида
                                  IPv4 * LAN net * 192.168.1.0/24 * * none

                                  M 1 Reply Last reply Reply Quote 0
                                  • M
                                    Moron @pigbrother
                                    last edited by

                                    @pigbrother said in Работа OSPF маршрутов:

                                    @Moron said in Работа OSPF маршрутов:

                                    Трафик из XP за pfSense свободно ходит в XP за CHR, наоборот не ходит.

                                    На pfSense есть multiwan?
                                    Попробуйте добавить повыше на LAN pfSense правило вида
                                    IPv4 * LAN net * 192.168.1.0/24 * * none

                                    Без multiwan

                                    На стенде трафик стал бегать при добавлении правила в LAN на весь трафик Disable reply-to, на рабочей системе не помогло.

                                    На рабочей системе в LAN уже есть правило
                                    IPv4 * LAN net * * * * none

                                    P 1 Reply Last reply Reply Quote 0
                                    • P
                                      pigbrother @Moron
                                      last edited by

                                      @Moron said in Работа OSPF маршрутов:

                                      IPv4 * LAN net * * * * none

                                      Вы про Default allow LAN to any rule ?
                                      IPv4 * LAN net * 192.168.1.0/24 * * none - это правило для negate rules, в свое время тут обсуждалось.
                                      Оно не перекрывается Default allow LAN to any rule, и необходимо при multiwan, но иногда помогало при single wan.

                                      M 1 Reply Last reply Reply Quote 0
                                      • M
                                        Moron @pigbrother
                                        last edited by

                                        @pigbrother said in Работа OSPF маршрутов:

                                        @Moron said in Работа OSPF маршрутов:

                                        IPv4 * LAN net * * * * none

                                        Вы про Default allow LAN to any rule ?
                                        IPv4 * LAN net * 192.168.1.0/24 * * none - это правило для negate rules, в свое время тут обсуждалось.
                                        Оно не перекрывается Default allow LAN to any rule, и необходимо при multiwan, но иногда помогало при single wan.

                                        Попробую, отпишусь.
                                        Но как тогда это правило влияет на маршрут прописанный руками и пришедший через OSPF?

                                        1 Reply Last reply Reply Quote 0
                                        • werterW
                                          werter
                                          last edited by werter

                                          Добрый
                                          @Moron

                                          Но как тогда это правило влияет на маршрут прописанный руками и пришедший через OSPF?

                                          Правило fw и маршрутизация - это как теплое vs мягкое.
                                          Правило IPv4 * LAN net * 192.168.1.0/24 * * ЯВНО разрешает доступ в удаленную сеть, ориентируясь при этом на таблицу марш-ции.

                                          Правило IPv4 * * * * * разрешает доступ, ориентируясь на ДЕФОЛТНЫЙ gw, к-ый НЕ ЯВЛЯЕТСЯ gw для доступа в удален. сеть.

                                          M 1 Reply Last reply Reply Quote 0
                                          • M
                                            Moron @werter
                                            last edited by

                                            @werter said in Работа OSPF маршрутов:

                                            Добрый
                                            @Moron

                                            Но как тогда это правило влияет на маршрут прописанный руками и пришедший через OSPF?

                                            Правило fw и маршрутизация - это как теплое vs мягкое.
                                            Правило IPv4 * LAN net * 192.168.1.0/24 * * ЯВНО разрешает доступ в удаленную сеть, ориентируясь при этом на таблицу марш-ции.

                                            Правило IPv4 * * * * * разрешает доступ, ориентируясь на ДЕФОЛТНЫЙ gw, к-ый НЕ ЯВЛЯЕТСЯ gw для доступа в удален. сеть.

                                            IPv4 * LAN net * 192.168.1.0/24 * * не помог.

                                            Отключил вообще Firewall в System/Advanced/Firewall & NAT
                                            Disable all packet filtering.

                                            Включил обратно и выключил NAT, перезагрузил pfSense, все равно не работает, но ICMP ходит.

                                            1 Reply Last reply Reply Quote 0
                                            • First post
                                              Last post
                                            Copyright 2025 Rubicon Communications LLC (Netgate). All rights reserved.