Netgate Discussion Forum
    • Categories
    • Recent
    • Tags
    • Popular
    • Users
    • Search
    • Register
    • Login

    Вопросы по pfSense 2.5/Plus

    Scheduled Pinned Locked Moved Russian
    93 Posts 20 Posters 9.8k Views
    Loading More Posts
    • Oldest to Newest
    • Newest to Oldest
    • Most Votes
    Reply
    • Reply as topic
    Log in to reply
    This topic has been deleted. Only users with topic management privileges can see it.
    • P
      pavelmil
      last edited by

      Clonezilla. Никаких проблем с ней нет.

      P 1 Reply Last reply Reply Quote 1
      • P
        pigbrother @pavelmil
        last edited by pigbrother

        @pavelmil said in Вопросы по pfSense 2.5/Plus:

        Clonezilla

        Клонирует поблочно (быстро) или долго (dd)?
        Тут

        https://qna.habr.com/q/319828

        Пишут, что только dd.

        @pavelmil said in Вопросы по pfSense 2.5/Plus:

        хорошо диск клонировал

        Образ развернулся без проблем?

        werterW 1 Reply Last reply Reply Quote 0
        • werterW
          werter @pigbrother
          last edited by werter

          Добрый.
          @pavelmil
          Посмотрите в сторону виртуализации пф.
          Перед обновлением делается снепшот и в течение минуты возвращается обратно.

          Зы. Даже скрипт можно написать (писал для proxmox ve как-то).
          Руками делаем снепшот ВМ с пф и обновляем пф.
          Скриптом ребут ВМ с пф и если в течение N-минут с прокса нет пинга до 8.8.8.8 - откат пф по снепшоту. Просто и действенно. Можно пользовать для удаленных филиалов без вмешательства на той стороне.

          T 1 Reply Last reply Reply Quote 0
          • T
            testsia @werter
            last edited by

            Привет
            Никак не моду решить проблему с исключением не нужных подсеток в OSPF.
            Обновил pfsense до версии 2.5 и после чего понял что Quaga больше не доступна. Установил пакет frr так как там обнаружил OSPF, Удалось засести это дело и динамическая маршрутизация заработала.
            Но как добавить исключения, сетей которые мне не нужно передавать на удаленный хост?
            Пробовал сделать с помощью Access Lists не получилось
            через Route Maps тоже не получается
            Кто делал помогите !!!

            werterW 1 Reply Last reply Reply Quote 0
            • PTZ-MP
              PTZ-M @pigbrother
              last edited by PTZ-M

              @pigbrother нашли косяк 2015 года, ждём уже скоро 2.5.1 там поправят или можно самостоятельно - https://forum.netgate.com/topic/161398/openvpn-with-laptop-clients-failing-after-pfsense-upgrade-to-2-5-0/11
              т.ч. насиловать кенетик слава богу не надо :-)

              viktor_gV 1 Reply Last reply Reply Quote 0
              • viktor_gV
                viktor_g Netgate @PTZ-M
                last edited by

                @ptz-m

                2.5.1 в процессе:
                https://redmine.pfsense.org/versions/61

                1 Reply Last reply Reply Quote 0
                • werterW
                  werter @testsia
                  last edited by werter

                  Добрый
                  @testsia
                  Вещаем ВСЕ маршруты, но разруливаем ACL-ми.

                  forum.netgate.com/topic/145252/osfp-distributing-routes-just-using-access-lists-not-bothering-with-interfaces-expect-the-vti-ones

                  Или вот так (правильнее, адаптировать для пф) docs.netgate.com/tnsr/en/latest/recipes/ospf-abr/index.html

                  Зы. Внимание https://forum.netgate.com/topic/161176/filter-some-routes
                  По ссылке есть патч и как его применять.

                  Зы2. Сыроват 2.5 ( Поспешили.

                  T 1 Reply Last reply Reply Quote 0
                  • T
                    testsia @werter
                    last edited by

                    @werter said in Вопросы по pfSense 2.5/Plus:

                    Добрый
                    @testsia
                    Вещаем ВСЕ маршруты, но разруливаем ACL-ми.

                    forum.netgate.com/topic/145252/osfp-distributing-routes-just-using-access-lists-not-bothering-with-interfaces-expect-the-vti-ones

                    Или вот так (правильнее, адаптировать для пф) docs.netgate.com/tnsr/en/latest/recipes/ospf-abr/index.html

                    Зы. Внимание https://forum.netgate.com/topic/161176/filter-some-routes
                    По ссылке есть патч и как его применять.

                    Зы2. Сыроват 2.5 ( Поспешили.

                    Удалось разобраться, все стало намного сложнее чем у Quaga, получился просто нужно в FRR походить по веб интерфейсу и в разных местах подбавлять настройки, в результате мы должны получить Raw Config такой же как был в Quaga вот такой:

                    !
                    frr defaults traditional
                    hostname gw-main01.XXX.com.ua
                    hostname gw-main01.XXX.com.ua
                    password HrXVubpS1wyn
                    log syslog
                    service integrated-vtysh-config
                    !
                    ip router-id 194.XXX.XX.XX
                    !
                    interface ovpnc13
                     description "ospfd: vpn_01_XXX01_XXX01_Volz"
                     ip ospf network point-to-point
                     ip ospf cost 5
                     ip ospf area 1.1.1.1
                    interface ovpnc12
                     description "ospfd: vpn_01_XXX01_XXX01_Volz - ospfd: vpn_02_XXX01_XXX01_TXXX"
                     ip ospf network point-to-point
                     ip ospf cost 15
                     ip ospf area 1.1.1.1
                    interface ovpns6
                     description "ospfd: vpn_01_XXX01_XXX01_Volz - ospfd: vpn_02_XXX01_XXX01_TXXX - ospfd: vpn_01_krn01_XXX01"
                     ip ospf network point-to-point
                     ip ospf cost 5
                     ip ospf area 1.1.1.1
                    interface ovpns7
                     description "ospfd: vpn_01_XXX01_XXX01_Volz - ospfd: vpn_02_XXX01_XXX01_TXXX - ospfd: vpn_01_krn01_XXX01 - ospfd: vpn_01_zln01_XXX01"
                     ip ospf network point-to-point
                     ip ospf cost 5
                     ip ospf area 1.1.1.1
                    !
                    router ospf
                     ospf router-id 192.XXX.XX.XX
                     log-adjacency-changes detail
                     redistribute connected route-map ACCEPTFILTERS
                     area 1.1.1.1 shortcut default
                    !
                    access-list all permit any
                    !
                    
                    ip prefix-list ACCEPTFILTERS seq 18 deny XXX.XXX.XX.XX.0/24 
                    ip prefix-list ACCEPTFILTERS seq 19 deny XXX.XXX.XX.XX.0/24 
                    ip prefix-list ACCEPTFILTERS seq 20 deny 10.10.14.8/29 
                    ip prefix-list ACCEPTFILTERS seq 21 permit any 
                    !
                    route-map ACCEPTFILTERS permit 10
                     match ip address prefix-list ACCEPTFILTERS
                    !
                    line vty
                    !
                    end
                    

                    И все заработало, остался вопрос один.
                    В Quage есть строка ip protocol ospf route-map ACCEPTFILTER
                    Не могу найти ее в FRR
                    Может кто знает как добавить ее.

                    werterW viktor_gV 2 Replies Last reply Reply Quote 0
                    • werterW
                      werter @testsia
                      last edited by werter

                      @testsia
                      c ABR не стали пробовать?
                      docs.netgate.com/tnsr/en/latest/recipes/ospf-abr/index.html

                      T 1 Reply Last reply Reply Quote 0
                      • T
                        testsia @werter
                        last edited by

                        @werter said in Вопросы по pfSense 2.5/Plus:

                        @testsia
                        c ABR не стали пробовать?
                        docs.netgate.com/tnsr/en/latest/recipes/ospf-abr/index.html
                        нет не пробовал. Но спасибо.
                        Попробую как-то на стенде

                        1 Reply Last reply Reply Quote 0
                        • viktor_gV
                          viktor_g Netgate @testsia
                          last edited by

                          @testsia said in Вопросы по pfSense 2.5/Plus:

                          И все заработало, остался вопрос один.
                          В Quage есть строка ip protocol ospf route-map ACCEPTFILTER
                          Не могу найти ее в FRR
                          Может кто знает как добавить ее.

                          Screenshot from 2021-03-18 00-16-40.png

                          1 Reply Last reply Reply Quote 1
                          • S
                            smils
                            last edited by smils

                            Не понятно зачем в GUI status IPSec сделали список как на скрине.
                            Сначала вводит в ступор, будто все пиры лежат.Безымянный_cr.jpg

                            viktor_gV 1 Reply Last reply Reply Quote 0
                            • viktor_gV
                              viktor_g Netgate @smils
                              last edited by

                              @smils это баг 2.5,
                              список патчей который желательно применить для IPsec:
                              https://forum.netgate.com/topic/161159/client-ipsec-eap-vpn-does-not-work-after-upgrade-to-2-5release/6

                              В данной версии довольно много изменений относительно предыдущего стабильного релиза 2.4.5-p1,
                              Стабилизирующий релиз 2.5.1 на подходе:
                              https://redmine.pfsense.org/versions/61

                              P 1 Reply Last reply Reply Quote 1
                              • P
                                pigbrother @viktor_g
                                last edited by pigbrother

                                По умолчанию установшик, получинный в Client Export устанавливает помимо tap6-адаптера еще и драйвер WinTUN (tun-драйвер от разработчиков WireGuard).
                                Если в конфиг клиента вписать
                                windows-driver wintun
                                Соединение происходит в разы быстрее. Проверил, это реально так.
                                Тут:
                                https://rustedowl.livejournal.com/59557.html
                                пишут, что растет и производительность:

                                латентность "через windows-tap6" - 5мс (стандартный драйвер OpenVPN)
                                латентность "через WinTUN" - 4мс
                                iperf3:
                                "через windows-tap6" - 193Mb\s
                                "через winTUN" - 253Mb\s

                                В принципе, вставить windows-driver wintun можно и в Additional configuration options в Client Export Utility

                                viktor_gV 1 Reply Last reply Reply Quote 0
                                • viktor_gV
                                  viktor_g Netgate @pigbrother
                                  last edited by

                                  @pigbrother said in Вопросы по pfSense 2.5/Plus:

                                  По умолчанию установшик, получинный в Client Export устанавливает помимо tap6-адаптера еще и драйвер WinTUN (tun-драйвер от разработчиков WireGuard).
                                  Если в конфиг клиента вписать
                                  windows-driver wintun
                                  Соединение происходит в разы быстрее. Проверил, это реально так.
                                  Тут:
                                  https://rustedowl.livejournal.com/59557.html
                                  пишут, что растет и производительность:

                                  латентность "через windows-tap6" - 5мс (стандартный драйвер OpenVPN)
                                  латентность "через WinTUN" - 4мс
                                  iperf3:
                                  "через windows-tap6" - 193Mb\s
                                  "через winTUN" - 253Mb\s

                                  В принципе, вставить windows-driver wintun можно и в Additional configuration options в Client Export Utility

                                  Можете сделать feature request?
                                  https://docs.netgate.com/pfsense/en/latest/development/feature-requests.html

                                  1 Reply Last reply Reply Quote 0
                                  • U
                                    Unc
                                    last edited by

                                    Pf - автоматически не присваивает WAN интерфейсу ipv6 адресс.
                                    Провайдер поддерживает. На роутере асус работает. На PF нет.
                                    Все настройки Wan по умолчанию.
                                    Подскажите где может быть косяк?

                                    viktor_gV 2 Replies Last reply Reply Quote 0
                                    • viktor_gV
                                      viktor_g Netgate @Unc
                                      last edited by

                                      @unc said in Вопросы по pfSense 2.5/Plus:

                                      Pf - автоматически не присваивает WAN интерфейсу ipv6 адресс.
                                      Провайдер поддерживает. На роутере асус работает. На PF нет.
                                      Все настройки Wan по умолчанию.
                                      Подскажите где может быть косяк?

                                      Это баг версии 2.5, исправлено в обновлении 2.5.1(пока в стадии тестирования):
                                      https://redmine.pfsense.org/issues/11454

                                      U 1 Reply Last reply Reply Quote 0
                                      • U
                                        Unc @viktor_g
                                        last edited by

                                        @viktor_g said in Вопросы по pfSense 2.5/Plus:

                                        Это баг версии 2.5, исправлено в обновлении 2.5.1(пока в стадии тестирования):
                                        Обновился до 2.5.1
                                        Ничего не изменилось (
                                        WAN_DHCP6
                                        *********** 0.0ms 0.0ms 100% Offline, Packetloss

                                        viktor_gV 1 Reply Last reply Reply Quote 0
                                        • viktor_gV
                                          viktor_g Netgate @Unc
                                          last edited by

                                          @unc Создайте отдельную тему, будем смотреть

                                          P 1 Reply Last reply Reply Quote 0
                                          • P
                                            pigbrother @viktor_g
                                            last edited by pigbrother

                                            Решил попробовать wireguard в 2.5.
                                            Наткнулся на такую информацию от Netgate:
                                            https://docs.netgate.com/pfsense/en/latest/vpn/wireguard/index.html

                                            WireGuard has been removed from releases after pfSense Plus 21.02-p1 and pfSense CE 2.5.0, when it was removed from FreeBSD.
                                            If upgrading from a version that has WireGuard active, the upgrade will abort until all WireGuard tunnels are removed. For more details, see our Release Notes

                                            И вот вероятная причина, почему такое решение было принято:
                                            Во FreeBSD 13 чуть не оказалась халтурная реализация WireGuard с нарушением лицензии и уязвимостями.

                                            1 Reply Last reply Reply Quote 0
                                            • First post
                                              Last post
                                            Copyright 2025 Rubicon Communications LLC (Netgate). All rights reserved.