Netgate Discussion Forum
    • Categories
    • Recent
    • Tags
    • Popular
    • Users
    • Search
    • Register
    • Login

    Работа OSPF маршрутов

    Scheduled Pinned Locked Moved Russian
    46 Posts 5 Posters 2.8k Views
    Loading More Posts
    • Oldest to Newest
    • Newest to Oldest
    • Most Votes
    Reply
    • Reply as topic
    Log in to reply
    This topic has been deleted. Only users with topic management privileges can see it.
    • K
      Konstanti @Moron
      last edited by Konstanti

      @Moron
      Есть ли схема сети ? Я так подозреваю , что проблема у Вас из-за "поломанной" функции reply-to на виртуальных интерфейсах PF. На это косвенно указывает , что решаете проблему статическим маршрутом.
      Ради интереса , убрав статический маршрут , посмотрите tcpdump-ом на wan интерфейсе ( на шлюзе по умолчанию ) - не туда ли PF "пихает" ответный пакет для сетей 192.168.12.0/24-192.168.254.0/24

      M 1 Reply Last reply Reply Quote 0
      • M
        Moron @Konstanti
        last edited by

        @Konstanti said in Работа OSPF маршрутов:

        @Moron
        Есть ли схема сети ? Я так подозреваю , что проблема у Вас из-за "поломанной" функции reply-to на виртуальных интерфейсах PF. На это косвенно указывает , что решаете проблему статическим маршрутом.
        Ради интереса , убрав статический маршрут , посмотрите tcpdump-ом на wan интерфейсе ( на шлюзе по умолчанию ) - не туда ли PF "пихает" ответный пакет для сетей 192.168.12.0/24-192.168.254.0/24

        IMG_20201119_201024.jpg

        Без статичных маршрутов я могу попасть из 10.1.0.0/24 в сеть офисов 192.168.12.0/24 и т.д., но из этих же офисов не могу попасть в сеть 10.1.0.0/24, пока не укажу на pfSense статичный маршрут.

        Посмотреть дамп не могу, т.к. система используется, хоть там и трафика очень мало.

        1 Reply Last reply Reply Quote 0
        • werterW
          werter
          last edited by werter

          @Moron
          Если интересно, то у меня на предыщей работе было 28 овпн-туннелей + ospf. Все поднималось\применялось за секунды. Но на обоих концах (головной + филиалы) были пф-ы.

          Зы. Настройки ospf + правила fw покажите. И таблицу марш-ции на пф.

          M 2 Replies Last reply Reply Quote 0
          • M
            Moron @werter
            last edited by Moron

            @werter said in Работа OSPF маршрутов:

            @Moron
            Если интересно, то у меня на предыщей работе было 28 овпн-туннелей + ospf. Все поднималось\применялось за секунды. Но на обоих концах (головной + филиалы) были пф-ы.

            Зы. Настройки ospf + правила fw покажите. И таблицу марш-ции на пф.

            Openvpn более сотни, с ним проблем нет.
            Правила fw все открыто, т.к. все идёт через LAN
            0ed33616-e2d7-4816-8d37-5e1ce2300ea8-image.png

            b841d35a-08f8-4b8d-911c-78e20f0476cd-image.png

            Как раз видно 192.168.0.0/16 (чтобы охватить все) и 192.168.12.0/23 (чтобы при экспериментах ничего не сломать) без которых ничего не работает.
            Далее идут маршруты пришедшие через OSPF

            1 Reply Last reply Reply Quote 0
            • M
              Moron @werter
              last edited by

              @werter said in Работа OSPF маршрутов:

              @Moron
              Зы. Настройки ospf

              Настройки OSPF:
              Router ID: 10.1.0.1 и 10.1.0.2 соответственно на pfSense и CHR

              Далее просто анонс LAN интерфейса в Area 0.0.0.0

              1 Reply Last reply Reply Quote 0
              • M
                Moron
                last edited by

                Собрал стенд, где pfSense и CHR связаны между собой сетью 172.31.250.0/24 и там бегает OSPF
                За pfSense в сети 192.168.0.0/24 стоит WinXP, а за CHR сеть 192.168.1.0/24 так же стоит XP
                Трафик из XP за pfSense свободно ходит в XP за CHR, наоборот не ходит.

                Далее отключаю полностью firewall на pfSense и все начинает бегать, как задумано.

                K P 2 Replies Last reply Reply Quote 0
                • K
                  Konstanti @Moron
                  last edited by

                  @Moron
                  Посмотрите журнал файрвола , нет ли там заблокированных пакетов

                  1 Reply Last reply Reply Quote 0
                  • P
                    pigbrother @Moron
                    last edited by

                    @Moron said in Работа OSPF маршрутов:

                    Трафик из XP за pfSense свободно ходит в XP за CHR, наоборот не ходит.

                    На pfSense есть multiwan?
                    Попробуйте добавить повыше на LAN pfSense правило вида
                    IPv4 * LAN net * 192.168.1.0/24 * * none

                    M 1 Reply Last reply Reply Quote 0
                    • M
                      Moron @pigbrother
                      last edited by

                      @pigbrother said in Работа OSPF маршрутов:

                      @Moron said in Работа OSPF маршрутов:

                      Трафик из XP за pfSense свободно ходит в XP за CHR, наоборот не ходит.

                      На pfSense есть multiwan?
                      Попробуйте добавить повыше на LAN pfSense правило вида
                      IPv4 * LAN net * 192.168.1.0/24 * * none

                      Без multiwan

                      На стенде трафик стал бегать при добавлении правила в LAN на весь трафик Disable reply-to, на рабочей системе не помогло.

                      На рабочей системе в LAN уже есть правило
                      IPv4 * LAN net * * * * none

                      P 1 Reply Last reply Reply Quote 0
                      • P
                        pigbrother @Moron
                        last edited by

                        @Moron said in Работа OSPF маршрутов:

                        IPv4 * LAN net * * * * none

                        Вы про Default allow LAN to any rule ?
                        IPv4 * LAN net * 192.168.1.0/24 * * none - это правило для negate rules, в свое время тут обсуждалось.
                        Оно не перекрывается Default allow LAN to any rule, и необходимо при multiwan, но иногда помогало при single wan.

                        M 1 Reply Last reply Reply Quote 0
                        • M
                          Moron @pigbrother
                          last edited by

                          @pigbrother said in Работа OSPF маршрутов:

                          @Moron said in Работа OSPF маршрутов:

                          IPv4 * LAN net * * * * none

                          Вы про Default allow LAN to any rule ?
                          IPv4 * LAN net * 192.168.1.0/24 * * none - это правило для negate rules, в свое время тут обсуждалось.
                          Оно не перекрывается Default allow LAN to any rule, и необходимо при multiwan, но иногда помогало при single wan.

                          Попробую, отпишусь.
                          Но как тогда это правило влияет на маршрут прописанный руками и пришедший через OSPF?

                          1 Reply Last reply Reply Quote 0
                          • werterW
                            werter
                            last edited by werter

                            Добрый
                            @Moron

                            Но как тогда это правило влияет на маршрут прописанный руками и пришедший через OSPF?

                            Правило fw и маршрутизация - это как теплое vs мягкое.
                            Правило IPv4 * LAN net * 192.168.1.0/24 * * ЯВНО разрешает доступ в удаленную сеть, ориентируясь при этом на таблицу марш-ции.

                            Правило IPv4 * * * * * разрешает доступ, ориентируясь на ДЕФОЛТНЫЙ gw, к-ый НЕ ЯВЛЯЕТСЯ gw для доступа в удален. сеть.

                            M 1 Reply Last reply Reply Quote 0
                            • M
                              Moron @werter
                              last edited by

                              @werter said in Работа OSPF маршрутов:

                              Добрый
                              @Moron

                              Но как тогда это правило влияет на маршрут прописанный руками и пришедший через OSPF?

                              Правило fw и маршрутизация - это как теплое vs мягкое.
                              Правило IPv4 * LAN net * 192.168.1.0/24 * * ЯВНО разрешает доступ в удаленную сеть, ориентируясь при этом на таблицу марш-ции.

                              Правило IPv4 * * * * * разрешает доступ, ориентируясь на ДЕФОЛТНЫЙ gw, к-ый НЕ ЯВЛЯЕТСЯ gw для доступа в удален. сеть.

                              IPv4 * LAN net * 192.168.1.0/24 * * не помог.

                              Отключил вообще Firewall в System/Advanced/Firewall & NAT
                              Disable all packet filtering.

                              Включил обратно и выключил NAT, перезагрузил pfSense, все равно не работает, но ICMP ходит.

                              1 Reply Last reply Reply Quote 0
                              • werterW
                                werter
                                last edited by

                                @Moron
                                Скрины правил fw на ВСЕХ интерфейсах + правила NAT + таблицу марш-ции пф покажите.

                                M 1 Reply Last reply Reply Quote 0
                                • M
                                  Moron @werter
                                  last edited by

                                  @werter said in Работа OSPF маршрутов:

                                  @Moron
                                  Скрины правил fw на ВСЕХ интерфейсах + правила NAT + таблицу марш-ции пф покажите.

                                  51a1f6e5-453d-46d0-b3a3-73107868f578-image.png

                                  a82d6254-85ae-43a5-9563-552c4df0eb0d-image.png

                                  54e42444-8b54-4da9-872c-50d2f03edee0-image.png

                                  721780fe-2c51-4014-836c-5d323e6d388b-image.png

                                  020b26cb-ce6a-45f9-8c09-7934af5b625e-image.png

                                  70f76a9f-80cb-4b0a-aebe-8966247b0979-image.png

                                  c65abb54-0aec-4c10-a970-4e7a46cf91c4-image.png

                                  549fe98f-031f-4c3d-aea5-80e90b6131c2-image.png

                                  9a4f75ef-ded1-48ee-ac85-587210dbdcd5-image.png

                                  fc42afaa-2357-4ae8-9cc2-a9b9cf3f8e53-image.png

                                  e2d51ac1-11b8-4e86-9778-6b98c69ac1b5-image.png

                                  1 Reply Last reply Reply Quote 0
                                  • werterW
                                    werter
                                    last edited by werter

                                    @Moron

                                    LAN вроде Passive должен быть? Галка не стоит.

                                    Тут https://forum.netgate.com/topic/147028/%D0%B4%D0%B2%D0%B0-%D0%BF%D1%80%D0%BE%D0%B2%D0%B0%D0%B9%D0%B4%D0%B5%D1%80%D0%B0-%D0%B8-openvpn-%D0%BA%D0%BB%D0%B8%D0%B5%D0%BD%D1%82/68?_=1606214566753 настраивал ospf (frr). Сравните скрины со своими. У меня с овпн работало.

                                    Зы. В Monitor ip НЕ ПОЛЬЗУЙТЕ шлюз пров-а. Пользуйте , напр., ip гугло-днс (8.8.8.8). Потому что доступность gw про-ва НЕ ВСЕГДА подразумевает наличие Инета.

                                    1 Reply Last reply Reply Quote 0
                                    • werterW
                                      werter
                                      last edited by

                                      @Moron
                                      Если не выгорит, то я бы рискнул перевести 1-2-3 филиала на овпн (да-да, только tcp и вот это вот всё или ROS 7 beta и овпн по udp) и попробовать связку ovpn +ospf.

                                      M 1 Reply Last reply Reply Quote 0
                                      • M
                                        Moron @werter
                                        last edited by Moron

                                        @werter said in Работа OSPF маршрутов:

                                        @Moron
                                        Если не выгорит, то я бы рискнул перевести 1-2-3 филиала на овпн (да-да, только tcp и вот это вот всё или ROS 7 beta и овпн по udp) и попробовать связку ovpn +ospf.

                                        Совершенно не приемлю использование OVPN для связи офисов при наличии в каждом IP адесов

                                        LAN вроде Passive должен быть? Галка не стоит.

                                        Поставил пассив, объявляю подключенный маршрут. Но все равно не работает.

                                        Тут https://forum.netgate.com/topic/147028/два-провайдера-и-openvpn-клиент/68?_=1606214566753 настраивал ospf (frr). Сравните скрины со своими. У меня с овпн работало.

                                        У вас овпн подключается к самому шлюзу и он один, у меня такая схема работает без проблем

                                        Зы. В Monitor ip НЕ ПОЛЬЗУЙТЕ шлюз пров-а. Пользуйте , напр., ip гугло-днс (8.8.8.8). Потому что доступность gw про-ва НЕ ВСЕГДА подразумевает наличие Инета.

                                        pfSense стоит в датацентре, так что шлюз либо доступен, либо недоступен

                                        Главный вопрос - как они начинает работать при полностью отключенном firewall, что-то ведь пускает ICMP в обе стороны, но при этом остальной трафик только в одну сторону

                                        K 1 Reply Last reply Reply Quote 0
                                        • werterW
                                          werter
                                          last edited by werter

                                          Главный вопрос - как они начинает работать при полностью отключенном firewall, что-то ведь пускает ICMP в обе стороны, но при этом остальной трафик только в одну сторону

                                          Вкл. логирование на fw и смотрите что там происходит. Пробуйте tracert и с пф и с клиента ЗА пф. Только помните, что tracert в никсах по-дефолту работает по udp.

                                          Совершенно не приемлю использование OVPN для связи офисов при наличии в каждом IP адесов

                                          Наличие адресов тут роли не играет (нужет только один "реальный" ip).
                                          Овпн гибче в настройках, чем ипсек - один порт, можно иметь нес-ко овпн на одном интерфейсе, умеет и tcp и udp, умеет L2 (tap) + L3 (tun), умеет через прокси, умеет "шарить" порт между http, ssh и ovpn, умеет пушить роуты клиентам. В свежем 2.5.0 появилось много вкусного www.opennet.ru/opennews/art.shtml?num=53981
                                          Из минусов овпн вижу, что не все железо из-коробки его умеет. Из плюсов же ипсек только нативная поддержка на множестве оборудования (и то только потому, что ипсек появился раньше) и наличие прямо в никсовом ядре.

                                          Зы. Три основные команды одмина - ping, tracert, nslookup ))

                                          1 Reply Last reply Reply Quote 0
                                          • K
                                            Konstanti @Moron
                                            last edited by Konstanti

                                            @Moron
                                            Еще раз все внимательно посмотрел
                                            Что-то мне подсказывает , что у Вас ассиметричная маршрутизация присутствует
                                            Поэтому и не работает ваша схема в одну сторону
                                            Какой шлюз по умолчанию у хостов сети 10.1.0.0/24 ?

                                            M 1 Reply Last reply Reply Quote 0
                                            • First post
                                              Last post
                                            Copyright 2025 Rubicon Communications LLC (Netgate). All rights reserved.