Netgate Discussion Forum
    • Categories
    • Recent
    • Tags
    • Popular
    • Users
    • Search
    • Register
    • Login

    Работа OSPF маршрутов

    Scheduled Pinned Locked Moved Russian
    46 Posts 5 Posters 2.8k Views
    Loading More Posts
    • Oldest to Newest
    • Newest to Oldest
    • Most Votes
    Reply
    • Reply as topic
    Log in to reply
    This topic has been deleted. Only users with topic management privileges can see it.
    • K
      Konstanti @Moron
      last edited by Konstanti

      @Moron
      Тут вся засада в логике инициализации GRE и IPSEC на PF. Те сначала скриптом поднимается GRE, а потом уже ipsec туннель. Из-за этого и проблемы.

      M 1 Reply Last reply Reply Quote 0
      • M
        Moron @Konstanti
        last edited by

        @Konstanti said in Работа OSPF маршрутов:

        @Moron
        Тут вся засада в логике инициализации GRE и IPSEC на PF. Те сначала скриптом поднимается GRE а потом уже ipsec туннель. Из-за этого и проблемы.

        Я подозревал, что так и происходит. Это еще один повод в сторону CHR. На нем при перезагрузке все 80 туннелей подымаются за 15 секунд.

        K 1 Reply Last reply Reply Quote 0
        • K
          Konstanti @Moron
          last edited by Konstanti

          @Moron
          Есть ли схема сети ? Я так подозреваю , что проблема у Вас из-за "поломанной" функции reply-to на виртуальных интерфейсах PF. На это косвенно указывает , что решаете проблему статическим маршрутом.
          Ради интереса , убрав статический маршрут , посмотрите tcpdump-ом на wan интерфейсе ( на шлюзе по умолчанию ) - не туда ли PF "пихает" ответный пакет для сетей 192.168.12.0/24-192.168.254.0/24

          M 1 Reply Last reply Reply Quote 0
          • M
            Moron @Konstanti
            last edited by

            @Konstanti said in Работа OSPF маршрутов:

            @Moron
            Есть ли схема сети ? Я так подозреваю , что проблема у Вас из-за "поломанной" функции reply-to на виртуальных интерфейсах PF. На это косвенно указывает , что решаете проблему статическим маршрутом.
            Ради интереса , убрав статический маршрут , посмотрите tcpdump-ом на wan интерфейсе ( на шлюзе по умолчанию ) - не туда ли PF "пихает" ответный пакет для сетей 192.168.12.0/24-192.168.254.0/24

            IMG_20201119_201024.jpg

            Без статичных маршрутов я могу попасть из 10.1.0.0/24 в сеть офисов 192.168.12.0/24 и т.д., но из этих же офисов не могу попасть в сеть 10.1.0.0/24, пока не укажу на pfSense статичный маршрут.

            Посмотреть дамп не могу, т.к. система используется, хоть там и трафика очень мало.

            1 Reply Last reply Reply Quote 0
            • werterW
              werter
              last edited by werter

              @Moron
              Если интересно, то у меня на предыщей работе было 28 овпн-туннелей + ospf. Все поднималось\применялось за секунды. Но на обоих концах (головной + филиалы) были пф-ы.

              Зы. Настройки ospf + правила fw покажите. И таблицу марш-ции на пф.

              M 2 Replies Last reply Reply Quote 0
              • M
                Moron @werter
                last edited by Moron

                @werter said in Работа OSPF маршрутов:

                @Moron
                Если интересно, то у меня на предыщей работе было 28 овпн-туннелей + ospf. Все поднималось\применялось за секунды. Но на обоих концах (головной + филиалы) были пф-ы.

                Зы. Настройки ospf + правила fw покажите. И таблицу марш-ции на пф.

                Openvpn более сотни, с ним проблем нет.
                Правила fw все открыто, т.к. все идёт через LAN
                0ed33616-e2d7-4816-8d37-5e1ce2300ea8-image.png

                b841d35a-08f8-4b8d-911c-78e20f0476cd-image.png

                Как раз видно 192.168.0.0/16 (чтобы охватить все) и 192.168.12.0/23 (чтобы при экспериментах ничего не сломать) без которых ничего не работает.
                Далее идут маршруты пришедшие через OSPF

                1 Reply Last reply Reply Quote 0
                • M
                  Moron @werter
                  last edited by

                  @werter said in Работа OSPF маршрутов:

                  @Moron
                  Зы. Настройки ospf

                  Настройки OSPF:
                  Router ID: 10.1.0.1 и 10.1.0.2 соответственно на pfSense и CHR

                  Далее просто анонс LAN интерфейса в Area 0.0.0.0

                  1 Reply Last reply Reply Quote 0
                  • M
                    Moron
                    last edited by

                    Собрал стенд, где pfSense и CHR связаны между собой сетью 172.31.250.0/24 и там бегает OSPF
                    За pfSense в сети 192.168.0.0/24 стоит WinXP, а за CHR сеть 192.168.1.0/24 так же стоит XP
                    Трафик из XP за pfSense свободно ходит в XP за CHR, наоборот не ходит.

                    Далее отключаю полностью firewall на pfSense и все начинает бегать, как задумано.

                    K P 2 Replies Last reply Reply Quote 0
                    • K
                      Konstanti @Moron
                      last edited by

                      @Moron
                      Посмотрите журнал файрвола , нет ли там заблокированных пакетов

                      1 Reply Last reply Reply Quote 0
                      • P
                        pigbrother @Moron
                        last edited by

                        @Moron said in Работа OSPF маршрутов:

                        Трафик из XP за pfSense свободно ходит в XP за CHR, наоборот не ходит.

                        На pfSense есть multiwan?
                        Попробуйте добавить повыше на LAN pfSense правило вида
                        IPv4 * LAN net * 192.168.1.0/24 * * none

                        M 1 Reply Last reply Reply Quote 0
                        • M
                          Moron @pigbrother
                          last edited by

                          @pigbrother said in Работа OSPF маршрутов:

                          @Moron said in Работа OSPF маршрутов:

                          Трафик из XP за pfSense свободно ходит в XP за CHR, наоборот не ходит.

                          На pfSense есть multiwan?
                          Попробуйте добавить повыше на LAN pfSense правило вида
                          IPv4 * LAN net * 192.168.1.0/24 * * none

                          Без multiwan

                          На стенде трафик стал бегать при добавлении правила в LAN на весь трафик Disable reply-to, на рабочей системе не помогло.

                          На рабочей системе в LAN уже есть правило
                          IPv4 * LAN net * * * * none

                          P 1 Reply Last reply Reply Quote 0
                          • P
                            pigbrother @Moron
                            last edited by

                            @Moron said in Работа OSPF маршрутов:

                            IPv4 * LAN net * * * * none

                            Вы про Default allow LAN to any rule ?
                            IPv4 * LAN net * 192.168.1.0/24 * * none - это правило для negate rules, в свое время тут обсуждалось.
                            Оно не перекрывается Default allow LAN to any rule, и необходимо при multiwan, но иногда помогало при single wan.

                            M 1 Reply Last reply Reply Quote 0
                            • M
                              Moron @pigbrother
                              last edited by

                              @pigbrother said in Работа OSPF маршрутов:

                              @Moron said in Работа OSPF маршрутов:

                              IPv4 * LAN net * * * * none

                              Вы про Default allow LAN to any rule ?
                              IPv4 * LAN net * 192.168.1.0/24 * * none - это правило для negate rules, в свое время тут обсуждалось.
                              Оно не перекрывается Default allow LAN to any rule, и необходимо при multiwan, но иногда помогало при single wan.

                              Попробую, отпишусь.
                              Но как тогда это правило влияет на маршрут прописанный руками и пришедший через OSPF?

                              1 Reply Last reply Reply Quote 0
                              • werterW
                                werter
                                last edited by werter

                                Добрый
                                @Moron

                                Но как тогда это правило влияет на маршрут прописанный руками и пришедший через OSPF?

                                Правило fw и маршрутизация - это как теплое vs мягкое.
                                Правило IPv4 * LAN net * 192.168.1.0/24 * * ЯВНО разрешает доступ в удаленную сеть, ориентируясь при этом на таблицу марш-ции.

                                Правило IPv4 * * * * * разрешает доступ, ориентируясь на ДЕФОЛТНЫЙ gw, к-ый НЕ ЯВЛЯЕТСЯ gw для доступа в удален. сеть.

                                M 1 Reply Last reply Reply Quote 0
                                • M
                                  Moron @werter
                                  last edited by

                                  @werter said in Работа OSPF маршрутов:

                                  Добрый
                                  @Moron

                                  Но как тогда это правило влияет на маршрут прописанный руками и пришедший через OSPF?

                                  Правило fw и маршрутизация - это как теплое vs мягкое.
                                  Правило IPv4 * LAN net * 192.168.1.0/24 * * ЯВНО разрешает доступ в удаленную сеть, ориентируясь при этом на таблицу марш-ции.

                                  Правило IPv4 * * * * * разрешает доступ, ориентируясь на ДЕФОЛТНЫЙ gw, к-ый НЕ ЯВЛЯЕТСЯ gw для доступа в удален. сеть.

                                  IPv4 * LAN net * 192.168.1.0/24 * * не помог.

                                  Отключил вообще Firewall в System/Advanced/Firewall & NAT
                                  Disable all packet filtering.

                                  Включил обратно и выключил NAT, перезагрузил pfSense, все равно не работает, но ICMP ходит.

                                  1 Reply Last reply Reply Quote 0
                                  • werterW
                                    werter
                                    last edited by

                                    @Moron
                                    Скрины правил fw на ВСЕХ интерфейсах + правила NAT + таблицу марш-ции пф покажите.

                                    M 1 Reply Last reply Reply Quote 0
                                    • M
                                      Moron @werter
                                      last edited by

                                      @werter said in Работа OSPF маршрутов:

                                      @Moron
                                      Скрины правил fw на ВСЕХ интерфейсах + правила NAT + таблицу марш-ции пф покажите.

                                      51a1f6e5-453d-46d0-b3a3-73107868f578-image.png

                                      a82d6254-85ae-43a5-9563-552c4df0eb0d-image.png

                                      54e42444-8b54-4da9-872c-50d2f03edee0-image.png

                                      721780fe-2c51-4014-836c-5d323e6d388b-image.png

                                      020b26cb-ce6a-45f9-8c09-7934af5b625e-image.png

                                      70f76a9f-80cb-4b0a-aebe-8966247b0979-image.png

                                      c65abb54-0aec-4c10-a970-4e7a46cf91c4-image.png

                                      549fe98f-031f-4c3d-aea5-80e90b6131c2-image.png

                                      9a4f75ef-ded1-48ee-ac85-587210dbdcd5-image.png

                                      fc42afaa-2357-4ae8-9cc2-a9b9cf3f8e53-image.png

                                      e2d51ac1-11b8-4e86-9778-6b98c69ac1b5-image.png

                                      1 Reply Last reply Reply Quote 0
                                      • werterW
                                        werter
                                        last edited by werter

                                        @Moron

                                        LAN вроде Passive должен быть? Галка не стоит.

                                        Тут https://forum.netgate.com/topic/147028/%D0%B4%D0%B2%D0%B0-%D0%BF%D1%80%D0%BE%D0%B2%D0%B0%D0%B9%D0%B4%D0%B5%D1%80%D0%B0-%D0%B8-openvpn-%D0%BA%D0%BB%D0%B8%D0%B5%D0%BD%D1%82/68?_=1606214566753 настраивал ospf (frr). Сравните скрины со своими. У меня с овпн работало.

                                        Зы. В Monitor ip НЕ ПОЛЬЗУЙТЕ шлюз пров-а. Пользуйте , напр., ip гугло-днс (8.8.8.8). Потому что доступность gw про-ва НЕ ВСЕГДА подразумевает наличие Инета.

                                        1 Reply Last reply Reply Quote 0
                                        • werterW
                                          werter
                                          last edited by

                                          @Moron
                                          Если не выгорит, то я бы рискнул перевести 1-2-3 филиала на овпн (да-да, только tcp и вот это вот всё или ROS 7 beta и овпн по udp) и попробовать связку ovpn +ospf.

                                          M 1 Reply Last reply Reply Quote 0
                                          • M
                                            Moron @werter
                                            last edited by Moron

                                            @werter said in Работа OSPF маршрутов:

                                            @Moron
                                            Если не выгорит, то я бы рискнул перевести 1-2-3 филиала на овпн (да-да, только tcp и вот это вот всё или ROS 7 beta и овпн по udp) и попробовать связку ovpn +ospf.

                                            Совершенно не приемлю использование OVPN для связи офисов при наличии в каждом IP адесов

                                            LAN вроде Passive должен быть? Галка не стоит.

                                            Поставил пассив, объявляю подключенный маршрут. Но все равно не работает.

                                            Тут https://forum.netgate.com/topic/147028/два-провайдера-и-openvpn-клиент/68?_=1606214566753 настраивал ospf (frr). Сравните скрины со своими. У меня с овпн работало.

                                            У вас овпн подключается к самому шлюзу и он один, у меня такая схема работает без проблем

                                            Зы. В Monitor ip НЕ ПОЛЬЗУЙТЕ шлюз пров-а. Пользуйте , напр., ip гугло-днс (8.8.8.8). Потому что доступность gw про-ва НЕ ВСЕГДА подразумевает наличие Инета.

                                            pfSense стоит в датацентре, так что шлюз либо доступен, либо недоступен

                                            Главный вопрос - как они начинает работать при полностью отключенном firewall, что-то ведь пускает ICMP в обе стороны, но при этом остальной трафик только в одну сторону

                                            K 1 Reply Last reply Reply Quote 0
                                            • First post
                                              Last post
                                            Copyright 2025 Rubicon Communications LLC (Netgate). All rights reserved.