Netgate Discussion Forum
    • Categories
    • Recent
    • Tags
    • Popular
    • Users
    • Search
    • Register
    • Login

    Работа OSPF маршрутов

    Scheduled Pinned Locked Moved Russian
    46 Posts 5 Posters 2.8k Views
    Loading More Posts
    • Oldest to Newest
    • Newest to Oldest
    • Most Votes
    Reply
    • Reply as topic
    Log in to reply
    This topic has been deleted. Only users with topic management privileges can see it.
    • M
      Moron @werter
      last edited by

      @werter said in Работа OSPF маршрутов:

      @Moron
      Зы. Настройки ospf

      Настройки OSPF:
      Router ID: 10.1.0.1 и 10.1.0.2 соответственно на pfSense и CHR

      Далее просто анонс LAN интерфейса в Area 0.0.0.0

      1 Reply Last reply Reply Quote 0
      • M
        Moron
        last edited by

        Собрал стенд, где pfSense и CHR связаны между собой сетью 172.31.250.0/24 и там бегает OSPF
        За pfSense в сети 192.168.0.0/24 стоит WinXP, а за CHR сеть 192.168.1.0/24 так же стоит XP
        Трафик из XP за pfSense свободно ходит в XP за CHR, наоборот не ходит.

        Далее отключаю полностью firewall на pfSense и все начинает бегать, как задумано.

        K P 2 Replies Last reply Reply Quote 0
        • K
          Konstanti @Moron
          last edited by

          @Moron
          Посмотрите журнал файрвола , нет ли там заблокированных пакетов

          1 Reply Last reply Reply Quote 0
          • P
            pigbrother @Moron
            last edited by

            @Moron said in Работа OSPF маршрутов:

            Трафик из XP за pfSense свободно ходит в XP за CHR, наоборот не ходит.

            На pfSense есть multiwan?
            Попробуйте добавить повыше на LAN pfSense правило вида
            IPv4 * LAN net * 192.168.1.0/24 * * none

            M 1 Reply Last reply Reply Quote 0
            • M
              Moron @pigbrother
              last edited by

              @pigbrother said in Работа OSPF маршрутов:

              @Moron said in Работа OSPF маршрутов:

              Трафик из XP за pfSense свободно ходит в XP за CHR, наоборот не ходит.

              На pfSense есть multiwan?
              Попробуйте добавить повыше на LAN pfSense правило вида
              IPv4 * LAN net * 192.168.1.0/24 * * none

              Без multiwan

              На стенде трафик стал бегать при добавлении правила в LAN на весь трафик Disable reply-to, на рабочей системе не помогло.

              На рабочей системе в LAN уже есть правило
              IPv4 * LAN net * * * * none

              P 1 Reply Last reply Reply Quote 0
              • P
                pigbrother @Moron
                last edited by

                @Moron said in Работа OSPF маршрутов:

                IPv4 * LAN net * * * * none

                Вы про Default allow LAN to any rule ?
                IPv4 * LAN net * 192.168.1.0/24 * * none - это правило для negate rules, в свое время тут обсуждалось.
                Оно не перекрывается Default allow LAN to any rule, и необходимо при multiwan, но иногда помогало при single wan.

                M 1 Reply Last reply Reply Quote 0
                • M
                  Moron @pigbrother
                  last edited by

                  @pigbrother said in Работа OSPF маршрутов:

                  @Moron said in Работа OSPF маршрутов:

                  IPv4 * LAN net * * * * none

                  Вы про Default allow LAN to any rule ?
                  IPv4 * LAN net * 192.168.1.0/24 * * none - это правило для negate rules, в свое время тут обсуждалось.
                  Оно не перекрывается Default allow LAN to any rule, и необходимо при multiwan, но иногда помогало при single wan.

                  Попробую, отпишусь.
                  Но как тогда это правило влияет на маршрут прописанный руками и пришедший через OSPF?

                  1 Reply Last reply Reply Quote 0
                  • werterW
                    werter
                    last edited by werter

                    Добрый
                    @Moron

                    Но как тогда это правило влияет на маршрут прописанный руками и пришедший через OSPF?

                    Правило fw и маршрутизация - это как теплое vs мягкое.
                    Правило IPv4 * LAN net * 192.168.1.0/24 * * ЯВНО разрешает доступ в удаленную сеть, ориентируясь при этом на таблицу марш-ции.

                    Правило IPv4 * * * * * разрешает доступ, ориентируясь на ДЕФОЛТНЫЙ gw, к-ый НЕ ЯВЛЯЕТСЯ gw для доступа в удален. сеть.

                    M 1 Reply Last reply Reply Quote 0
                    • M
                      Moron @werter
                      last edited by

                      @werter said in Работа OSPF маршрутов:

                      Добрый
                      @Moron

                      Но как тогда это правило влияет на маршрут прописанный руками и пришедший через OSPF?

                      Правило fw и маршрутизация - это как теплое vs мягкое.
                      Правило IPv4 * LAN net * 192.168.1.0/24 * * ЯВНО разрешает доступ в удаленную сеть, ориентируясь при этом на таблицу марш-ции.

                      Правило IPv4 * * * * * разрешает доступ, ориентируясь на ДЕФОЛТНЫЙ gw, к-ый НЕ ЯВЛЯЕТСЯ gw для доступа в удален. сеть.

                      IPv4 * LAN net * 192.168.1.0/24 * * не помог.

                      Отключил вообще Firewall в System/Advanced/Firewall & NAT
                      Disable all packet filtering.

                      Включил обратно и выключил NAT, перезагрузил pfSense, все равно не работает, но ICMP ходит.

                      1 Reply Last reply Reply Quote 0
                      • werterW
                        werter
                        last edited by

                        @Moron
                        Скрины правил fw на ВСЕХ интерфейсах + правила NAT + таблицу марш-ции пф покажите.

                        M 1 Reply Last reply Reply Quote 0
                        • M
                          Moron @werter
                          last edited by

                          @werter said in Работа OSPF маршрутов:

                          @Moron
                          Скрины правил fw на ВСЕХ интерфейсах + правила NAT + таблицу марш-ции пф покажите.

                          51a1f6e5-453d-46d0-b3a3-73107868f578-image.png

                          a82d6254-85ae-43a5-9563-552c4df0eb0d-image.png

                          54e42444-8b54-4da9-872c-50d2f03edee0-image.png

                          721780fe-2c51-4014-836c-5d323e6d388b-image.png

                          020b26cb-ce6a-45f9-8c09-7934af5b625e-image.png

                          70f76a9f-80cb-4b0a-aebe-8966247b0979-image.png

                          c65abb54-0aec-4c10-a970-4e7a46cf91c4-image.png

                          549fe98f-031f-4c3d-aea5-80e90b6131c2-image.png

                          9a4f75ef-ded1-48ee-ac85-587210dbdcd5-image.png

                          fc42afaa-2357-4ae8-9cc2-a9b9cf3f8e53-image.png

                          e2d51ac1-11b8-4e86-9778-6b98c69ac1b5-image.png

                          1 Reply Last reply Reply Quote 0
                          • werterW
                            werter
                            last edited by werter

                            @Moron

                            LAN вроде Passive должен быть? Галка не стоит.

                            Тут https://forum.netgate.com/topic/147028/%D0%B4%D0%B2%D0%B0-%D0%BF%D1%80%D0%BE%D0%B2%D0%B0%D0%B9%D0%B4%D0%B5%D1%80%D0%B0-%D0%B8-openvpn-%D0%BA%D0%BB%D0%B8%D0%B5%D0%BD%D1%82/68?_=1606214566753 настраивал ospf (frr). Сравните скрины со своими. У меня с овпн работало.

                            Зы. В Monitor ip НЕ ПОЛЬЗУЙТЕ шлюз пров-а. Пользуйте , напр., ip гугло-днс (8.8.8.8). Потому что доступность gw про-ва НЕ ВСЕГДА подразумевает наличие Инета.

                            1 Reply Last reply Reply Quote 0
                            • werterW
                              werter
                              last edited by

                              @Moron
                              Если не выгорит, то я бы рискнул перевести 1-2-3 филиала на овпн (да-да, только tcp и вот это вот всё или ROS 7 beta и овпн по udp) и попробовать связку ovpn +ospf.

                              M 1 Reply Last reply Reply Quote 0
                              • M
                                Moron @werter
                                last edited by Moron

                                @werter said in Работа OSPF маршрутов:

                                @Moron
                                Если не выгорит, то я бы рискнул перевести 1-2-3 филиала на овпн (да-да, только tcp и вот это вот всё или ROS 7 beta и овпн по udp) и попробовать связку ovpn +ospf.

                                Совершенно не приемлю использование OVPN для связи офисов при наличии в каждом IP адесов

                                LAN вроде Passive должен быть? Галка не стоит.

                                Поставил пассив, объявляю подключенный маршрут. Но все равно не работает.

                                Тут https://forum.netgate.com/topic/147028/два-провайдера-и-openvpn-клиент/68?_=1606214566753 настраивал ospf (frr). Сравните скрины со своими. У меня с овпн работало.

                                У вас овпн подключается к самому шлюзу и он один, у меня такая схема работает без проблем

                                Зы. В Monitor ip НЕ ПОЛЬЗУЙТЕ шлюз пров-а. Пользуйте , напр., ip гугло-днс (8.8.8.8). Потому что доступность gw про-ва НЕ ВСЕГДА подразумевает наличие Инета.

                                pfSense стоит в датацентре, так что шлюз либо доступен, либо недоступен

                                Главный вопрос - как они начинает работать при полностью отключенном firewall, что-то ведь пускает ICMP в обе стороны, но при этом остальной трафик только в одну сторону

                                K 1 Reply Last reply Reply Quote 0
                                • werterW
                                  werter
                                  last edited by werter

                                  Главный вопрос - как они начинает работать при полностью отключенном firewall, что-то ведь пускает ICMP в обе стороны, но при этом остальной трафик только в одну сторону

                                  Вкл. логирование на fw и смотрите что там происходит. Пробуйте tracert и с пф и с клиента ЗА пф. Только помните, что tracert в никсах по-дефолту работает по udp.

                                  Совершенно не приемлю использование OVPN для связи офисов при наличии в каждом IP адесов

                                  Наличие адресов тут роли не играет (нужет только один "реальный" ip).
                                  Овпн гибче в настройках, чем ипсек - один порт, можно иметь нес-ко овпн на одном интерфейсе, умеет и tcp и udp, умеет L2 (tap) + L3 (tun), умеет через прокси, умеет "шарить" порт между http, ssh и ovpn, умеет пушить роуты клиентам. В свежем 2.5.0 появилось много вкусного www.opennet.ru/opennews/art.shtml?num=53981
                                  Из минусов овпн вижу, что не все железо из-коробки его умеет. Из плюсов же ипсек только нативная поддержка на множестве оборудования (и то только потому, что ипсек появился раньше) и наличие прямо в никсовом ядре.

                                  Зы. Три основные команды одмина - ping, tracert, nslookup ))

                                  1 Reply Last reply Reply Quote 0
                                  • K
                                    Konstanti @Moron
                                    last edited by Konstanti

                                    @Moron
                                    Еще раз все внимательно посмотрел
                                    Что-то мне подсказывает , что у Вас ассиметричная маршрутизация присутствует
                                    Поэтому и не работает ваша схема в одну сторону
                                    Какой шлюз по умолчанию у хостов сети 10.1.0.0/24 ?

                                    M 1 Reply Last reply Reply Quote 0
                                    • M
                                      Moron @Konstanti
                                      last edited by Moron

                                      @Konstanti said in Работа OSPF маршрутов:

                                      @Moron
                                      Еще раз все внимательно посмотрел
                                      Что-то мне подсказывает , что у Вас ассиметричная маршрутизация присутствует
                                      Поэтому и не работает ваша схема в одну сторону
                                      Какой шлюз по умолчанию у хостов сети 10.1.0.0/24 ?

                                      Шлюз 10.1.0.1, как раз тот pfSense
                                      Верно, ассиметричная, пакет не обязательно должен идти тем же путем :)
                                      CHR отправляет запрос сразу на хост, хост отвечает уже через pfSense.
                                      Чтобы эта схема работала, включен Bypass firewall rules for traffic on the same interface
                                      Маршруты через OSPF приходят аналогичные, что я прописываю руками, но без прописывания руками трафик ходит только в одну сторону, ICMP при этом в обе стороны. А если вообще выключить фаервол, весь трафик ходит нормально во все стороны.

                                      K 1 Reply Last reply Reply Quote 0
                                      • K
                                        Konstanti @Moron
                                        last edited by Konstanti

                                        @Moron
                                        Вот смотрите ,
                                        к серверу от офиса
                                        192.168.12.0/24->10.1.0.2->10.1.0.25
                                        и обратно
                                        10.1.0.25->10.1.0.1->10.1.0.2->192.168.12.0/24
                                        видите разницу ?

                                        сервер всегда ждет ответный пакет от 10.1.0.1 ( а получает ответы напрямую от 10.1.0.2 )
                                        тут нужен NAT Reflection , по-моему ( чтобы 10.1.0.2 слал пакеты 10.1.0.1, а не напрямую 10.1.0.25)
                                        или проще на сервере прописать 1 статический маршрут
                                        192.168.0.0/16 через 10.1.0.2

                                        M 1 Reply Last reply Reply Quote 0
                                        • M
                                          Moron @Konstanti
                                          last edited by Moron

                                          @Konstanti said in Работа OSPF маршрутов:

                                          @Moron
                                          Вот смотрите ,
                                          к серверу от офиса
                                          192.168.12.0/24->10.1.0.2->10.1.0.25
                                          и обратно
                                          10.1.0.25->10.1.0.1->10.1.0.2->192.168.12.0/24
                                          видите разницу ?

                                          Разницу вижу и понимаю, pfSense должно быть все равно, что пакет идет другим путем, но ему становится все равно когда я выключаю полностью farewall

                                          сервер всегда ждет ответный пакет от 10.1.0.1 ( а получает ответы напрямую от 10.1.0.2 )

                                          Тогда почему при статичном маршруте работает?

                                          тут нужен NAT Reflection , по-моему ( чтобы 10.1.0.2 слал пакеты 10.1.0.1, а не напрямую 10.1.0.25)

                                          Вижу, что проблема в фаерволе, pfSense блочит, а городить NAT не правильный подход

                                          c8598d00-477c-4313-b608-3332479b633d-image.png

                                          K 2 Replies Last reply Reply Quote 0
                                          • K
                                            Konstanti @Moron
                                            last edited by Konstanti

                                            @Moron
                                            абсолютно верно
                                            у вас по таблице состояний не было первого пакета ( он пошел напрямую к серверу)
                                            а флаги в правиле выставлены только на syn пакет
                                            поэтому он блочит syn-ask ( ассиметричная маршрутизация )

                                            если так хочется гонять трафик через pf
                                            попробуйте так в правиле lan интерфейса
                                            7b94d778-69c2-41b4-847f-06adf8676c5e-image.png

                                            1 Reply Last reply Reply Quote 0
                                            • First post
                                              Last post
                                            Copyright 2025 Rubicon Communications LLC (Netgate). All rights reserved.