Netgate Discussion Forum
    • Categories
    • Recent
    • Tags
    • Popular
    • Users
    • Search
    • Register
    • Login

    Работа OSPF маршрутов

    Scheduled Pinned Locked Moved Russian
    46 Posts 5 Posters 2.8k Views
    Loading More Posts
    • Oldest to Newest
    • Newest to Oldest
    • Most Votes
    Reply
    • Reply as topic
    Log in to reply
    This topic has been deleted. Only users with topic management privileges can see it.
    • M
      Moron @pigbrother
      last edited by

      @pigbrother said in Работа OSPF маршрутов:

      @Moron said in Работа OSPF маршрутов:

      Трафик из XP за pfSense свободно ходит в XP за CHR, наоборот не ходит.

      На pfSense есть multiwan?
      Попробуйте добавить повыше на LAN pfSense правило вида
      IPv4 * LAN net * 192.168.1.0/24 * * none

      Без multiwan

      На стенде трафик стал бегать при добавлении правила в LAN на весь трафик Disable reply-to, на рабочей системе не помогло.

      На рабочей системе в LAN уже есть правило
      IPv4 * LAN net * * * * none

      P 1 Reply Last reply Reply Quote 0
      • P
        pigbrother @Moron
        last edited by

        @Moron said in Работа OSPF маршрутов:

        IPv4 * LAN net * * * * none

        Вы про Default allow LAN to any rule ?
        IPv4 * LAN net * 192.168.1.0/24 * * none - это правило для negate rules, в свое время тут обсуждалось.
        Оно не перекрывается Default allow LAN to any rule, и необходимо при multiwan, но иногда помогало при single wan.

        M 1 Reply Last reply Reply Quote 0
        • M
          Moron @pigbrother
          last edited by

          @pigbrother said in Работа OSPF маршрутов:

          @Moron said in Работа OSPF маршрутов:

          IPv4 * LAN net * * * * none

          Вы про Default allow LAN to any rule ?
          IPv4 * LAN net * 192.168.1.0/24 * * none - это правило для negate rules, в свое время тут обсуждалось.
          Оно не перекрывается Default allow LAN to any rule, и необходимо при multiwan, но иногда помогало при single wan.

          Попробую, отпишусь.
          Но как тогда это правило влияет на маршрут прописанный руками и пришедший через OSPF?

          1 Reply Last reply Reply Quote 0
          • werterW
            werter
            last edited by werter

            Добрый
            @Moron

            Но как тогда это правило влияет на маршрут прописанный руками и пришедший через OSPF?

            Правило fw и маршрутизация - это как теплое vs мягкое.
            Правило IPv4 * LAN net * 192.168.1.0/24 * * ЯВНО разрешает доступ в удаленную сеть, ориентируясь при этом на таблицу марш-ции.

            Правило IPv4 * * * * * разрешает доступ, ориентируясь на ДЕФОЛТНЫЙ gw, к-ый НЕ ЯВЛЯЕТСЯ gw для доступа в удален. сеть.

            M 1 Reply Last reply Reply Quote 0
            • M
              Moron @werter
              last edited by

              @werter said in Работа OSPF маршрутов:

              Добрый
              @Moron

              Но как тогда это правило влияет на маршрут прописанный руками и пришедший через OSPF?

              Правило fw и маршрутизация - это как теплое vs мягкое.
              Правило IPv4 * LAN net * 192.168.1.0/24 * * ЯВНО разрешает доступ в удаленную сеть, ориентируясь при этом на таблицу марш-ции.

              Правило IPv4 * * * * * разрешает доступ, ориентируясь на ДЕФОЛТНЫЙ gw, к-ый НЕ ЯВЛЯЕТСЯ gw для доступа в удален. сеть.

              IPv4 * LAN net * 192.168.1.0/24 * * не помог.

              Отключил вообще Firewall в System/Advanced/Firewall & NAT
              Disable all packet filtering.

              Включил обратно и выключил NAT, перезагрузил pfSense, все равно не работает, но ICMP ходит.

              1 Reply Last reply Reply Quote 0
              • werterW
                werter
                last edited by

                @Moron
                Скрины правил fw на ВСЕХ интерфейсах + правила NAT + таблицу марш-ции пф покажите.

                M 1 Reply Last reply Reply Quote 0
                • M
                  Moron @werter
                  last edited by

                  @werter said in Работа OSPF маршрутов:

                  @Moron
                  Скрины правил fw на ВСЕХ интерфейсах + правила NAT + таблицу марш-ции пф покажите.

                  51a1f6e5-453d-46d0-b3a3-73107868f578-image.png

                  a82d6254-85ae-43a5-9563-552c4df0eb0d-image.png

                  54e42444-8b54-4da9-872c-50d2f03edee0-image.png

                  721780fe-2c51-4014-836c-5d323e6d388b-image.png

                  020b26cb-ce6a-45f9-8c09-7934af5b625e-image.png

                  70f76a9f-80cb-4b0a-aebe-8966247b0979-image.png

                  c65abb54-0aec-4c10-a970-4e7a46cf91c4-image.png

                  549fe98f-031f-4c3d-aea5-80e90b6131c2-image.png

                  9a4f75ef-ded1-48ee-ac85-587210dbdcd5-image.png

                  fc42afaa-2357-4ae8-9cc2-a9b9cf3f8e53-image.png

                  e2d51ac1-11b8-4e86-9778-6b98c69ac1b5-image.png

                  1 Reply Last reply Reply Quote 0
                  • werterW
                    werter
                    last edited by werter

                    @Moron

                    LAN вроде Passive должен быть? Галка не стоит.

                    Тут https://forum.netgate.com/topic/147028/%D0%B4%D0%B2%D0%B0-%D0%BF%D1%80%D0%BE%D0%B2%D0%B0%D0%B9%D0%B4%D0%B5%D1%80%D0%B0-%D0%B8-openvpn-%D0%BA%D0%BB%D0%B8%D0%B5%D0%BD%D1%82/68?_=1606214566753 настраивал ospf (frr). Сравните скрины со своими. У меня с овпн работало.

                    Зы. В Monitor ip НЕ ПОЛЬЗУЙТЕ шлюз пров-а. Пользуйте , напр., ip гугло-днс (8.8.8.8). Потому что доступность gw про-ва НЕ ВСЕГДА подразумевает наличие Инета.

                    1 Reply Last reply Reply Quote 0
                    • werterW
                      werter
                      last edited by

                      @Moron
                      Если не выгорит, то я бы рискнул перевести 1-2-3 филиала на овпн (да-да, только tcp и вот это вот всё или ROS 7 beta и овпн по udp) и попробовать связку ovpn +ospf.

                      M 1 Reply Last reply Reply Quote 0
                      • M
                        Moron @werter
                        last edited by Moron

                        @werter said in Работа OSPF маршрутов:

                        @Moron
                        Если не выгорит, то я бы рискнул перевести 1-2-3 филиала на овпн (да-да, только tcp и вот это вот всё или ROS 7 beta и овпн по udp) и попробовать связку ovpn +ospf.

                        Совершенно не приемлю использование OVPN для связи офисов при наличии в каждом IP адесов

                        LAN вроде Passive должен быть? Галка не стоит.

                        Поставил пассив, объявляю подключенный маршрут. Но все равно не работает.

                        Тут https://forum.netgate.com/topic/147028/два-провайдера-и-openvpn-клиент/68?_=1606214566753 настраивал ospf (frr). Сравните скрины со своими. У меня с овпн работало.

                        У вас овпн подключается к самому шлюзу и он один, у меня такая схема работает без проблем

                        Зы. В Monitor ip НЕ ПОЛЬЗУЙТЕ шлюз пров-а. Пользуйте , напр., ip гугло-днс (8.8.8.8). Потому что доступность gw про-ва НЕ ВСЕГДА подразумевает наличие Инета.

                        pfSense стоит в датацентре, так что шлюз либо доступен, либо недоступен

                        Главный вопрос - как они начинает работать при полностью отключенном firewall, что-то ведь пускает ICMP в обе стороны, но при этом остальной трафик только в одну сторону

                        K 1 Reply Last reply Reply Quote 0
                        • werterW
                          werter
                          last edited by werter

                          Главный вопрос - как они начинает работать при полностью отключенном firewall, что-то ведь пускает ICMP в обе стороны, но при этом остальной трафик только в одну сторону

                          Вкл. логирование на fw и смотрите что там происходит. Пробуйте tracert и с пф и с клиента ЗА пф. Только помните, что tracert в никсах по-дефолту работает по udp.

                          Совершенно не приемлю использование OVPN для связи офисов при наличии в каждом IP адесов

                          Наличие адресов тут роли не играет (нужет только один "реальный" ip).
                          Овпн гибче в настройках, чем ипсек - один порт, можно иметь нес-ко овпн на одном интерфейсе, умеет и tcp и udp, умеет L2 (tap) + L3 (tun), умеет через прокси, умеет "шарить" порт между http, ssh и ovpn, умеет пушить роуты клиентам. В свежем 2.5.0 появилось много вкусного www.opennet.ru/opennews/art.shtml?num=53981
                          Из минусов овпн вижу, что не все железо из-коробки его умеет. Из плюсов же ипсек только нативная поддержка на множестве оборудования (и то только потому, что ипсек появился раньше) и наличие прямо в никсовом ядре.

                          Зы. Три основные команды одмина - ping, tracert, nslookup ))

                          1 Reply Last reply Reply Quote 0
                          • K
                            Konstanti @Moron
                            last edited by Konstanti

                            @Moron
                            Еще раз все внимательно посмотрел
                            Что-то мне подсказывает , что у Вас ассиметричная маршрутизация присутствует
                            Поэтому и не работает ваша схема в одну сторону
                            Какой шлюз по умолчанию у хостов сети 10.1.0.0/24 ?

                            M 1 Reply Last reply Reply Quote 0
                            • M
                              Moron @Konstanti
                              last edited by Moron

                              @Konstanti said in Работа OSPF маршрутов:

                              @Moron
                              Еще раз все внимательно посмотрел
                              Что-то мне подсказывает , что у Вас ассиметричная маршрутизация присутствует
                              Поэтому и не работает ваша схема в одну сторону
                              Какой шлюз по умолчанию у хостов сети 10.1.0.0/24 ?

                              Шлюз 10.1.0.1, как раз тот pfSense
                              Верно, ассиметричная, пакет не обязательно должен идти тем же путем :)
                              CHR отправляет запрос сразу на хост, хост отвечает уже через pfSense.
                              Чтобы эта схема работала, включен Bypass firewall rules for traffic on the same interface
                              Маршруты через OSPF приходят аналогичные, что я прописываю руками, но без прописывания руками трафик ходит только в одну сторону, ICMP при этом в обе стороны. А если вообще выключить фаервол, весь трафик ходит нормально во все стороны.

                              K 1 Reply Last reply Reply Quote 0
                              • K
                                Konstanti @Moron
                                last edited by Konstanti

                                @Moron
                                Вот смотрите ,
                                к серверу от офиса
                                192.168.12.0/24->10.1.0.2->10.1.0.25
                                и обратно
                                10.1.0.25->10.1.0.1->10.1.0.2->192.168.12.0/24
                                видите разницу ?

                                сервер всегда ждет ответный пакет от 10.1.0.1 ( а получает ответы напрямую от 10.1.0.2 )
                                тут нужен NAT Reflection , по-моему ( чтобы 10.1.0.2 слал пакеты 10.1.0.1, а не напрямую 10.1.0.25)
                                или проще на сервере прописать 1 статический маршрут
                                192.168.0.0/16 через 10.1.0.2

                                M 1 Reply Last reply Reply Quote 0
                                • M
                                  Moron @Konstanti
                                  last edited by Moron

                                  @Konstanti said in Работа OSPF маршрутов:

                                  @Moron
                                  Вот смотрите ,
                                  к серверу от офиса
                                  192.168.12.0/24->10.1.0.2->10.1.0.25
                                  и обратно
                                  10.1.0.25->10.1.0.1->10.1.0.2->192.168.12.0/24
                                  видите разницу ?

                                  Разницу вижу и понимаю, pfSense должно быть все равно, что пакет идет другим путем, но ему становится все равно когда я выключаю полностью farewall

                                  сервер всегда ждет ответный пакет от 10.1.0.1 ( а получает ответы напрямую от 10.1.0.2 )

                                  Тогда почему при статичном маршруте работает?

                                  тут нужен NAT Reflection , по-моему ( чтобы 10.1.0.2 слал пакеты 10.1.0.1, а не напрямую 10.1.0.25)

                                  Вижу, что проблема в фаерволе, pfSense блочит, а городить NAT не правильный подход

                                  c8598d00-477c-4313-b608-3332479b633d-image.png

                                  K 2 Replies Last reply Reply Quote 0
                                  • K
                                    Konstanti @Moron
                                    last edited by Konstanti

                                    @Moron
                                    абсолютно верно
                                    у вас по таблице состояний не было первого пакета ( он пошел напрямую к серверу)
                                    а флаги в правиле выставлены только на syn пакет
                                    поэтому он блочит syn-ask ( ассиметричная маршрутизация )

                                    если так хочется гонять трафик через pf
                                    попробуйте так в правиле lan интерфейса
                                    7b94d778-69c2-41b4-847f-06adf8676c5e-image.png

                                    1 Reply Last reply Reply Quote 0
                                    • K
                                      Konstanti @Moron
                                      last edited by Konstanti

                                      @Moron said in Работа OSPF маршрутов:

                                      Вижу, что проблема в фаерволе, pfSense блочит, а городить NAT не правильный подход

                                      Так это вы сами такое делаете
                                      Сделайте проще , пропишите 1 статический маршрут на сервере , и все , проблема решена
                                      192.168.0.0/16 через 10.1.0.2

                                      M 1 Reply Last reply Reply Quote 0
                                      • M
                                        Moron @Konstanti
                                        last edited by

                                        @Konstanti said in Работа OSPF маршрутов:

                                        @Moron said in Работа OSPF маршрутов:

                                        Вижу, что проблема в фаерволе, pfSense блочит, а городить NAT не правильный подход

                                        Так это вы сами такое делаете
                                        Сделайте проще , пропишите 1 статический маршрут на сервере , и все , проблема решена
                                        192.168.0.0/16 через 10.1.0.2

                                        У меня так и прописано, чтобы работало. Но меня это не устраивает, т.к. могут быть вообще разные сети и каждую прописывать при наличии OSPF не правильно.

                                        попробуйте так в правиле lan интерфейса
                                        Не помогает, все равно не получается игнорировать LAN трафик

                                        K 1 Reply Last reply Reply Quote 0
                                        • K
                                          Konstanti @Moron
                                          last edited by Konstanti

                                          @Moron
                                          Вы сейчас сами усложняете себе жизнь
                                          Но , это Ваше право
                                          если отключить проверку флагов в правиле LAN интерфейса - есть заблокированные пакеты в логах или нет ?
                                          а если так сделать ? ( tcp flags и state type)
                                          f0bee5e3-d808-4a50-973a-85e2bbe8aaac-image.png

                                          или еще вариант решения - разнести сервер и chr в разные сети ( с помощью vlan )

                                          M 1 Reply Last reply Reply Quote 0
                                          • M
                                            Moron @Konstanti
                                            last edited by Moron

                                            @Konstanti said in Работа OSPF маршрутов:

                                            @Moron
                                            Вы сейчас сами усложняете себе жизнь
                                            Но , это Ваше право

                                            Это не усложнение жизни, а распределение шлюзов по серверам) На том же CHR вообще проблем нет и все работает... pfSense никак не могу побороть, а оставлять без фаервола это смерть.

                                            если отключить проверку флагов в правиле LAN интерфейса - есть заблокированные пакеты в логах или нет ?
                                            а если так сделать ? ( tcp flags и state type)
                                            f0bee5e3-d808-4a50-973a-85e2bbe8aaac-image.png

                                            или еще вариант решения - разнести сервер и chr в разные сети ( с помощью vlan )

                                            Вообще самый крайний вариант. Изучаю https://docs.netgate.com/pfsense/en/latest/troubleshooting/asymmetric-routing.html

                                            1 Reply Last reply Reply Quote 0
                                            • First post
                                              Last post
                                            Copyright 2025 Rubicon Communications LLC (Netgate). All rights reserved.