Netgate Discussion Forum
    • Categories
    • Recent
    • Tags
    • Popular
    • Users
    • Search
    • Register
    • Login

    Работа OSPF маршрутов

    Scheduled Pinned Locked Moved Russian
    46 Posts 5 Posters 2.8k Views
    Loading More Posts
    • Oldest to Newest
    • Newest to Oldest
    • Most Votes
    Reply
    • Reply as topic
    Log in to reply
    This topic has been deleted. Only users with topic management privileges can see it.
    • M
      Moron @viktor_g
      last edited by Moron

      @viktor_g said in Работа OSPF маршрутов:

      Ещё хочу заметить что GRE+IPsec на pfSense требует небольших хитростей для правильной работы файрволла ( floating rules w/sloppy state and any TCP flags), см. баг https://redmine.pfsense.org/issues/4479

      У меня нет проблемы если все работает на pfSense, только долгое сохранение большого количества IPsec и GRE
      Периодически GRE не подымается, пока GRE и IPsec не выключу и включу одновременно с двух сторон.

      @viktor_g said in Работа OSPF маршрутов:

      Ставьте FRR
      Quagga давно не поддерживается

      Установка FRR не помогла. Так же приходят маршруты по OSPF, например до 192.168.200.0/24 через 10.1.0.2 и трафик не ходит.
      Но когда я делаю такой же маршрут статичным, все начинает бегать.

      K 1 Reply Last reply Reply Quote 0
      • K
        Konstanti @Moron
        last edited by Konstanti

        @Moron
        Тут вся засада в логике инициализации GRE и IPSEC на PF. Те сначала скриптом поднимается GRE, а потом уже ipsec туннель. Из-за этого и проблемы.

        M 1 Reply Last reply Reply Quote 0
        • M
          Moron @Konstanti
          last edited by

          @Konstanti said in Работа OSPF маршрутов:

          @Moron
          Тут вся засада в логике инициализации GRE и IPSEC на PF. Те сначала скриптом поднимается GRE а потом уже ipsec туннель. Из-за этого и проблемы.

          Я подозревал, что так и происходит. Это еще один повод в сторону CHR. На нем при перезагрузке все 80 туннелей подымаются за 15 секунд.

          K 1 Reply Last reply Reply Quote 0
          • K
            Konstanti @Moron
            last edited by Konstanti

            @Moron
            Есть ли схема сети ? Я так подозреваю , что проблема у Вас из-за "поломанной" функции reply-to на виртуальных интерфейсах PF. На это косвенно указывает , что решаете проблему статическим маршрутом.
            Ради интереса , убрав статический маршрут , посмотрите tcpdump-ом на wan интерфейсе ( на шлюзе по умолчанию ) - не туда ли PF "пихает" ответный пакет для сетей 192.168.12.0/24-192.168.254.0/24

            M 1 Reply Last reply Reply Quote 0
            • M
              Moron @Konstanti
              last edited by

              @Konstanti said in Работа OSPF маршрутов:

              @Moron
              Есть ли схема сети ? Я так подозреваю , что проблема у Вас из-за "поломанной" функции reply-to на виртуальных интерфейсах PF. На это косвенно указывает , что решаете проблему статическим маршрутом.
              Ради интереса , убрав статический маршрут , посмотрите tcpdump-ом на wan интерфейсе ( на шлюзе по умолчанию ) - не туда ли PF "пихает" ответный пакет для сетей 192.168.12.0/24-192.168.254.0/24

              IMG_20201119_201024.jpg

              Без статичных маршрутов я могу попасть из 10.1.0.0/24 в сеть офисов 192.168.12.0/24 и т.д., но из этих же офисов не могу попасть в сеть 10.1.0.0/24, пока не укажу на pfSense статичный маршрут.

              Посмотреть дамп не могу, т.к. система используется, хоть там и трафика очень мало.

              1 Reply Last reply Reply Quote 0
              • werterW
                werter
                last edited by werter

                @Moron
                Если интересно, то у меня на предыщей работе было 28 овпн-туннелей + ospf. Все поднималось\применялось за секунды. Но на обоих концах (головной + филиалы) были пф-ы.

                Зы. Настройки ospf + правила fw покажите. И таблицу марш-ции на пф.

                M 2 Replies Last reply Reply Quote 0
                • M
                  Moron @werter
                  last edited by Moron

                  @werter said in Работа OSPF маршрутов:

                  @Moron
                  Если интересно, то у меня на предыщей работе было 28 овпн-туннелей + ospf. Все поднималось\применялось за секунды. Но на обоих концах (головной + филиалы) были пф-ы.

                  Зы. Настройки ospf + правила fw покажите. И таблицу марш-ции на пф.

                  Openvpn более сотни, с ним проблем нет.
                  Правила fw все открыто, т.к. все идёт через LAN
                  0ed33616-e2d7-4816-8d37-5e1ce2300ea8-image.png

                  b841d35a-08f8-4b8d-911c-78e20f0476cd-image.png

                  Как раз видно 192.168.0.0/16 (чтобы охватить все) и 192.168.12.0/23 (чтобы при экспериментах ничего не сломать) без которых ничего не работает.
                  Далее идут маршруты пришедшие через OSPF

                  1 Reply Last reply Reply Quote 0
                  • M
                    Moron @werter
                    last edited by

                    @werter said in Работа OSPF маршрутов:

                    @Moron
                    Зы. Настройки ospf

                    Настройки OSPF:
                    Router ID: 10.1.0.1 и 10.1.0.2 соответственно на pfSense и CHR

                    Далее просто анонс LAN интерфейса в Area 0.0.0.0

                    1 Reply Last reply Reply Quote 0
                    • M
                      Moron
                      last edited by

                      Собрал стенд, где pfSense и CHR связаны между собой сетью 172.31.250.0/24 и там бегает OSPF
                      За pfSense в сети 192.168.0.0/24 стоит WinXP, а за CHR сеть 192.168.1.0/24 так же стоит XP
                      Трафик из XP за pfSense свободно ходит в XP за CHR, наоборот не ходит.

                      Далее отключаю полностью firewall на pfSense и все начинает бегать, как задумано.

                      K P 2 Replies Last reply Reply Quote 0
                      • K
                        Konstanti @Moron
                        last edited by

                        @Moron
                        Посмотрите журнал файрвола , нет ли там заблокированных пакетов

                        1 Reply Last reply Reply Quote 0
                        • P
                          pigbrother @Moron
                          last edited by

                          @Moron said in Работа OSPF маршрутов:

                          Трафик из XP за pfSense свободно ходит в XP за CHR, наоборот не ходит.

                          На pfSense есть multiwan?
                          Попробуйте добавить повыше на LAN pfSense правило вида
                          IPv4 * LAN net * 192.168.1.0/24 * * none

                          M 1 Reply Last reply Reply Quote 0
                          • M
                            Moron @pigbrother
                            last edited by

                            @pigbrother said in Работа OSPF маршрутов:

                            @Moron said in Работа OSPF маршрутов:

                            Трафик из XP за pfSense свободно ходит в XP за CHR, наоборот не ходит.

                            На pfSense есть multiwan?
                            Попробуйте добавить повыше на LAN pfSense правило вида
                            IPv4 * LAN net * 192.168.1.0/24 * * none

                            Без multiwan

                            На стенде трафик стал бегать при добавлении правила в LAN на весь трафик Disable reply-to, на рабочей системе не помогло.

                            На рабочей системе в LAN уже есть правило
                            IPv4 * LAN net * * * * none

                            P 1 Reply Last reply Reply Quote 0
                            • P
                              pigbrother @Moron
                              last edited by

                              @Moron said in Работа OSPF маршрутов:

                              IPv4 * LAN net * * * * none

                              Вы про Default allow LAN to any rule ?
                              IPv4 * LAN net * 192.168.1.0/24 * * none - это правило для negate rules, в свое время тут обсуждалось.
                              Оно не перекрывается Default allow LAN to any rule, и необходимо при multiwan, но иногда помогало при single wan.

                              M 1 Reply Last reply Reply Quote 0
                              • M
                                Moron @pigbrother
                                last edited by

                                @pigbrother said in Работа OSPF маршрутов:

                                @Moron said in Работа OSPF маршрутов:

                                IPv4 * LAN net * * * * none

                                Вы про Default allow LAN to any rule ?
                                IPv4 * LAN net * 192.168.1.0/24 * * none - это правило для negate rules, в свое время тут обсуждалось.
                                Оно не перекрывается Default allow LAN to any rule, и необходимо при multiwan, но иногда помогало при single wan.

                                Попробую, отпишусь.
                                Но как тогда это правило влияет на маршрут прописанный руками и пришедший через OSPF?

                                1 Reply Last reply Reply Quote 0
                                • werterW
                                  werter
                                  last edited by werter

                                  Добрый
                                  @Moron

                                  Но как тогда это правило влияет на маршрут прописанный руками и пришедший через OSPF?

                                  Правило fw и маршрутизация - это как теплое vs мягкое.
                                  Правило IPv4 * LAN net * 192.168.1.0/24 * * ЯВНО разрешает доступ в удаленную сеть, ориентируясь при этом на таблицу марш-ции.

                                  Правило IPv4 * * * * * разрешает доступ, ориентируясь на ДЕФОЛТНЫЙ gw, к-ый НЕ ЯВЛЯЕТСЯ gw для доступа в удален. сеть.

                                  M 1 Reply Last reply Reply Quote 0
                                  • M
                                    Moron @werter
                                    last edited by

                                    @werter said in Работа OSPF маршрутов:

                                    Добрый
                                    @Moron

                                    Но как тогда это правило влияет на маршрут прописанный руками и пришедший через OSPF?

                                    Правило fw и маршрутизация - это как теплое vs мягкое.
                                    Правило IPv4 * LAN net * 192.168.1.0/24 * * ЯВНО разрешает доступ в удаленную сеть, ориентируясь при этом на таблицу марш-ции.

                                    Правило IPv4 * * * * * разрешает доступ, ориентируясь на ДЕФОЛТНЫЙ gw, к-ый НЕ ЯВЛЯЕТСЯ gw для доступа в удален. сеть.

                                    IPv4 * LAN net * 192.168.1.0/24 * * не помог.

                                    Отключил вообще Firewall в System/Advanced/Firewall & NAT
                                    Disable all packet filtering.

                                    Включил обратно и выключил NAT, перезагрузил pfSense, все равно не работает, но ICMP ходит.

                                    1 Reply Last reply Reply Quote 0
                                    • werterW
                                      werter
                                      last edited by

                                      @Moron
                                      Скрины правил fw на ВСЕХ интерфейсах + правила NAT + таблицу марш-ции пф покажите.

                                      M 1 Reply Last reply Reply Quote 0
                                      • M
                                        Moron @werter
                                        last edited by

                                        @werter said in Работа OSPF маршрутов:

                                        @Moron
                                        Скрины правил fw на ВСЕХ интерфейсах + правила NAT + таблицу марш-ции пф покажите.

                                        51a1f6e5-453d-46d0-b3a3-73107868f578-image.png

                                        a82d6254-85ae-43a5-9563-552c4df0eb0d-image.png

                                        54e42444-8b54-4da9-872c-50d2f03edee0-image.png

                                        721780fe-2c51-4014-836c-5d323e6d388b-image.png

                                        020b26cb-ce6a-45f9-8c09-7934af5b625e-image.png

                                        70f76a9f-80cb-4b0a-aebe-8966247b0979-image.png

                                        c65abb54-0aec-4c10-a970-4e7a46cf91c4-image.png

                                        549fe98f-031f-4c3d-aea5-80e90b6131c2-image.png

                                        9a4f75ef-ded1-48ee-ac85-587210dbdcd5-image.png

                                        fc42afaa-2357-4ae8-9cc2-a9b9cf3f8e53-image.png

                                        e2d51ac1-11b8-4e86-9778-6b98c69ac1b5-image.png

                                        1 Reply Last reply Reply Quote 0
                                        • werterW
                                          werter
                                          last edited by werter

                                          @Moron

                                          LAN вроде Passive должен быть? Галка не стоит.

                                          Тут https://forum.netgate.com/topic/147028/%D0%B4%D0%B2%D0%B0-%D0%BF%D1%80%D0%BE%D0%B2%D0%B0%D0%B9%D0%B4%D0%B5%D1%80%D0%B0-%D0%B8-openvpn-%D0%BA%D0%BB%D0%B8%D0%B5%D0%BD%D1%82/68?_=1606214566753 настраивал ospf (frr). Сравните скрины со своими. У меня с овпн работало.

                                          Зы. В Monitor ip НЕ ПОЛЬЗУЙТЕ шлюз пров-а. Пользуйте , напр., ip гугло-днс (8.8.8.8). Потому что доступность gw про-ва НЕ ВСЕГДА подразумевает наличие Инета.

                                          1 Reply Last reply Reply Quote 0
                                          • werterW
                                            werter
                                            last edited by

                                            @Moron
                                            Если не выгорит, то я бы рискнул перевести 1-2-3 филиала на овпн (да-да, только tcp и вот это вот всё или ROS 7 beta и овпн по udp) и попробовать связку ovpn +ospf.

                                            M 1 Reply Last reply Reply Quote 0
                                            • First post
                                              Last post
                                            Copyright 2025 Rubicon Communications LLC (Netgate). All rights reserved.