Netgate Discussion Forum
    • Categories
    • Recent
    • Tags
    • Popular
    • Users
    • Search
    • Register
    • Login

    Работа OSPF маршрутов

    Scheduled Pinned Locked Moved Russian
    46 Posts 5 Posters 2.8k Views
    Loading More Posts
    • Oldest to Newest
    • Newest to Oldest
    • Most Votes
    Reply
    • Reply as topic
    Log in to reply
    This topic has been deleted. Only users with topic management privileges can see it.
    • K
      Konstanti @Moron
      last edited by Konstanti

      @Moron
      абсолютно верно
      у вас по таблице состояний не было первого пакета ( он пошел напрямую к серверу)
      а флаги в правиле выставлены только на syn пакет
      поэтому он блочит syn-ask ( ассиметричная маршрутизация )

      если так хочется гонять трафик через pf
      попробуйте так в правиле lan интерфейса
      7b94d778-69c2-41b4-847f-06adf8676c5e-image.png

      1 Reply Last reply Reply Quote 0
      • K
        Konstanti @Moron
        last edited by Konstanti

        @Moron said in Работа OSPF маршрутов:

        Вижу, что проблема в фаерволе, pfSense блочит, а городить NAT не правильный подход

        Так это вы сами такое делаете
        Сделайте проще , пропишите 1 статический маршрут на сервере , и все , проблема решена
        192.168.0.0/16 через 10.1.0.2

        M 1 Reply Last reply Reply Quote 0
        • M
          Moron @Konstanti
          last edited by

          @Konstanti said in Работа OSPF маршрутов:

          @Moron said in Работа OSPF маршрутов:

          Вижу, что проблема в фаерволе, pfSense блочит, а городить NAT не правильный подход

          Так это вы сами такое делаете
          Сделайте проще , пропишите 1 статический маршрут на сервере , и все , проблема решена
          192.168.0.0/16 через 10.1.0.2

          У меня так и прописано, чтобы работало. Но меня это не устраивает, т.к. могут быть вообще разные сети и каждую прописывать при наличии OSPF не правильно.

          попробуйте так в правиле lan интерфейса
          Не помогает, все равно не получается игнорировать LAN трафик

          K 1 Reply Last reply Reply Quote 0
          • K
            Konstanti @Moron
            last edited by Konstanti

            @Moron
            Вы сейчас сами усложняете себе жизнь
            Но , это Ваше право
            если отключить проверку флагов в правиле LAN интерфейса - есть заблокированные пакеты в логах или нет ?
            а если так сделать ? ( tcp flags и state type)
            f0bee5e3-d808-4a50-973a-85e2bbe8aaac-image.png

            или еще вариант решения - разнести сервер и chr в разные сети ( с помощью vlan )

            M 1 Reply Last reply Reply Quote 0
            • M
              Moron @Konstanti
              last edited by Moron

              @Konstanti said in Работа OSPF маршрутов:

              @Moron
              Вы сейчас сами усложняете себе жизнь
              Но , это Ваше право

              Это не усложнение жизни, а распределение шлюзов по серверам) На том же CHR вообще проблем нет и все работает... pfSense никак не могу побороть, а оставлять без фаервола это смерть.

              если отключить проверку флагов в правиле LAN интерфейса - есть заблокированные пакеты в логах или нет ?
              а если так сделать ? ( tcp flags и state type)
              f0bee5e3-d808-4a50-973a-85e2bbe8aaac-image.png

              или еще вариант решения - разнести сервер и chr в разные сети ( с помощью vlan )

              Вообще самый крайний вариант. Изучаю https://docs.netgate.com/pfsense/en/latest/troubleshooting/asymmetric-routing.html

              1 Reply Last reply Reply Quote 0
              • werterW
                werter
                last edited by

                State type=Sloppy ?

                M 1 Reply Last reply Reply Quote 0
                • M
                  Moron @werter
                  last edited by

                  @werter said in Работа OSPF маршрутов:

                  State type=Sloppy ?

                  Все варианты состояния попробовал

                  K 1 Reply Last reply Reply Quote 0
                  • K
                    Konstanti @Moron
                    last edited by Konstanti

                    @Moron
                    А почему нельзя разнести CHR и сервер по разным сетям ? Например , с помощью VLAN и PF ? И проблема решена . Заодно
                    изолируете сервер от второй точки выхода в инет. По-моему , сейчас Вы идете очень извилистым путем

                    M 1 Reply Last reply Reply Quote 0
                    • M
                      Moron @Konstanti
                      last edited by

                      @Konstanti said in Работа OSPF маршрутов:

                      @Moron
                      А почему нельзя разнести CHR и сервер по разным сетям ? Например , с помощью VLAN и PF ? И проблема решена . Заодно
                      изолируете сервер от второй точки выхода в инет. По-моему , сейчас Вы идете очень извилистым путем

                      Потому, что мой вариант на 146% рабочий если заменить pfSense на CHR, но мне это никто не даст сделать, как и разнести по vlan.
                      По этому ищу причину почему трафик не ходит

                      K 1 Reply Last reply Reply Quote 0
                      • K
                        Konstanti @Moron
                        last edited by Konstanti

                        @Moron
                        Попробуйте сделать так

                        1. отключаем эту опцию
                          66688225-10e8-48d0-adeb-f31c2b954a63-image.png
                        2. создаем floating правило для Lan интерфейса
                          953680d4-7b26-423c-bcb8-207965e91896-image.png
                          04538c5c-b06c-47e1-a03d-f87121a8df83-image.png

                        проверяем с разными state type ( и есть ли какие-нибудь записи о блокировке пакетов в журналах файрвола ? )

                        • так как у Вас PF запускается на виртуальной машине , то можно отключить еще и вот такую опцию
                          0c200de3-33c7-445b-a90a-85d91b59e31b-image.png

                        • запустите tcpdump на Lan интерефейсе pf ( если можно , то покажите )

                        M 1 Reply Last reply Reply Quote 2
                        • M
                          Moron @Konstanti
                          last edited by

                          @Konstanti said in Работа OSPF маршрутов:

                          @Moron
                          Попробуйте сделать так

                          1. отключаем эту опцию
                            66688225-10e8-48d0-adeb-f31c2b954a63-image.png
                          2. создаем floating правило для Lan интерфейса
                            953680d4-7b26-423c-bcb8-207965e91896-image.png
                            04538c5c-b06c-47e1-a03d-f87121a8df83-image.png

                          проверяем с разными state type ( и есть ли какие-нибудь записи о блокировке пакетов в журналах файрвола ? )

                          • так как у Вас PF запускается на виртуальной машине , то можно отключить еще и вот такую опцию
                            0c200de3-33c7-445b-a90a-85d91b59e31b-image.png

                          Моей радости нет предела! Правило в Floating помогло!

                          1 Reply Last reply Reply Quote 0
                          • werterW
                            werter
                            last edited by werter

                            @Moron

                            Моей радости нет предела! Правило в Floating помогло!

                            Точно ?

                            Может помогло это ?

                            @Konstanti said in Работа OSPF маршрутов:

                            так как у Вас PF запускается на виртуальной машине , то можно отключить еще и вот такую опцию

                            Есть ли возможность проверить?

                            Зы. Ого. Так у ТС пф как ВМ? Я к тому что галка на Disable hw offload - это ПЕРВОЕ, что делают при развертывание пф как ВМ. И это описано в вики пф.

                            M 1 Reply Last reply Reply Quote 0
                            • M
                              Moron @werter
                              last edited by

                              @werter said in Работа OSPF маршрутов:

                              @Moron

                              Моей радости нет предела! Правило в Floating помогло!

                              Точно ?

                              Точно, у меня 2 места с такой пробоемой и правило в Floating сработало

                              Может помогло это ?

                              @Konstanti said in Работа OSPF маршрутов:

                              так как у Вас PF запускается на виртуальной машине , то можно отключить еще и вот такую опцию

                              Есть ли возможность проверить?

                              Зы. Ого. Так у ТС пф как ВМ? Я к тому что галка на Disable hw offload - это ПЕРВОЕ, что делают при развертывание пф как ВМ. И это описано в вики пф.

                              Было отключено изначально, везде про это пишут

                              1 Reply Last reply Reply Quote 0
                              • First post
                                Last post
                              Copyright 2025 Rubicon Communications LLC (Netgate). All rights reserved.