Netgate Discussion Forum
    • Categories
    • Recent
    • Tags
    • Popular
    • Users
    • Search
    • Register
    • Login

    Вопросы по pfSense 2.5/Plus

    Scheduled Pinned Locked Moved Russian
    93 Posts 20 Posters 10.4k Views
    Loading More Posts
    • Oldest to Newest
    • Newest to Oldest
    • Most Votes
    Reply
    • Reply as topic
    Log in to reply
    This topic has been deleted. Only users with topic management privileges can see it.
    • viktor_gV
      viktor_g Netgate @smils
      last edited by

      @smils это баг 2.5,
      список патчей который желательно применить для IPsec:
      https://forum.netgate.com/topic/161159/client-ipsec-eap-vpn-does-not-work-after-upgrade-to-2-5release/6

      В данной версии довольно много изменений относительно предыдущего стабильного релиза 2.4.5-p1,
      Стабилизирующий релиз 2.5.1 на подходе:
      https://redmine.pfsense.org/versions/61

      P 1 Reply Last reply Reply Quote 1
      • P
        pigbrother @viktor_g
        last edited by pigbrother

        По умолчанию установшик, получинный в Client Export устанавливает помимо tap6-адаптера еще и драйвер WinTUN (tun-драйвер от разработчиков WireGuard).
        Если в конфиг клиента вписать
        windows-driver wintun
        Соединение происходит в разы быстрее. Проверил, это реально так.
        Тут:
        https://rustedowl.livejournal.com/59557.html
        пишут, что растет и производительность:

        латентность "через windows-tap6" - 5мс (стандартный драйвер OpenVPN)
        латентность "через WinTUN" - 4мс
        iperf3:
        "через windows-tap6" - 193Mb\s
        "через winTUN" - 253Mb\s

        В принципе, вставить windows-driver wintun можно и в Additional configuration options в Client Export Utility

        viktor_gV 1 Reply Last reply Reply Quote 0
        • viktor_gV
          viktor_g Netgate @pigbrother
          last edited by

          @pigbrother said in Вопросы по pfSense 2.5/Plus:

          По умолчанию установшик, получинный в Client Export устанавливает помимо tap6-адаптера еще и драйвер WinTUN (tun-драйвер от разработчиков WireGuard).
          Если в конфиг клиента вписать
          windows-driver wintun
          Соединение происходит в разы быстрее. Проверил, это реально так.
          Тут:
          https://rustedowl.livejournal.com/59557.html
          пишут, что растет и производительность:

          латентность "через windows-tap6" - 5мс (стандартный драйвер OpenVPN)
          латентность "через WinTUN" - 4мс
          iperf3:
          "через windows-tap6" - 193Mb\s
          "через winTUN" - 253Mb\s

          В принципе, вставить windows-driver wintun можно и в Additional configuration options в Client Export Utility

          Можете сделать feature request?
          https://docs.netgate.com/pfsense/en/latest/development/feature-requests.html

          1 Reply Last reply Reply Quote 0
          • U
            Unc
            last edited by

            Pf - автоматически не присваивает WAN интерфейсу ipv6 адресс.
            Провайдер поддерживает. На роутере асус работает. На PF нет.
            Все настройки Wan по умолчанию.
            Подскажите где может быть косяк?

            viktor_gV 2 Replies Last reply Reply Quote 0
            • viktor_gV
              viktor_g Netgate @Unc
              last edited by

              @unc said in Вопросы по pfSense 2.5/Plus:

              Pf - автоматически не присваивает WAN интерфейсу ipv6 адресс.
              Провайдер поддерживает. На роутере асус работает. На PF нет.
              Все настройки Wan по умолчанию.
              Подскажите где может быть косяк?

              Это баг версии 2.5, исправлено в обновлении 2.5.1(пока в стадии тестирования):
              https://redmine.pfsense.org/issues/11454

              U 1 Reply Last reply Reply Quote 0
              • U
                Unc @viktor_g
                last edited by

                @viktor_g said in Вопросы по pfSense 2.5/Plus:

                Это баг версии 2.5, исправлено в обновлении 2.5.1(пока в стадии тестирования):
                Обновился до 2.5.1
                Ничего не изменилось (
                WAN_DHCP6
                *********** 0.0ms 0.0ms 100% Offline, Packetloss

                viktor_gV 1 Reply Last reply Reply Quote 0
                • viktor_gV
                  viktor_g Netgate @Unc
                  last edited by

                  @unc Создайте отдельную тему, будем смотреть

                  P 1 Reply Last reply Reply Quote 0
                  • P
                    pigbrother @viktor_g
                    last edited by pigbrother

                    Решил попробовать wireguard в 2.5.
                    Наткнулся на такую информацию от Netgate:
                    https://docs.netgate.com/pfsense/en/latest/vpn/wireguard/index.html

                    WireGuard has been removed from releases after pfSense Plus 21.02-p1 and pfSense CE 2.5.0, when it was removed from FreeBSD.
                    If upgrading from a version that has WireGuard active, the upgrade will abort until all WireGuard tunnels are removed. For more details, see our Release Notes

                    И вот вероятная причина, почему такое решение было принято:
                    Во FreeBSD 13 чуть не оказалась халтурная реализация WireGuard с нарушением лицензии и уязвимостями.

                    1 Reply Last reply Reply Quote 0
                    • viktor_gV
                      viktor_g Netgate @Unc
                      last edited by

                      @unc said in Вопросы по pfSense 2.5/Plus:

                      Pf - автоматически не присваивает WAN интерфейсу ipv6 адресс.
                      Провайдер поддерживает. На роутере асус работает. На PF нет.
                      Все настройки Wan по умолчанию.
                      Подскажите где может быть косяк?

                      Исправлено в 2.5.1:
                      https://www.netgate.com/blog/pfsense-plus-21-02-2-release-and-pfsense-ce-2-5-1-release-now-available.html

                      1 Reply Last reply Reply Quote 0
                      • P
                        proger
                        last edited by

                        Подскажите пожалуйста, если кто знает: после обновления до 2.5.0 (и далее 2.5.1 - проблема сохранилась) возникла проблема с Dynamic DNS/NoIP (платный).
                        Не обновляет IP: cheсk IP почему-то всегда возвращает последнее значение, а не реальное, и считает что ничего не поменялось, соответственно адрес не обновляет.

                        P.S. Сорри за оффтоп, но прям печаль какая-то. За последние 8 лет, если не больше, я на этом форуме был 1 раз, и то обошлось поиском... После выхода 2.5.0 - каждые пару недель тут, сначала отвалилась авторизация OpenVPN (ладно, был патч хотя бы, баг старый вроде), 2.5.1 - отвалился nat на втором интерфейсе, DynDNS не работает в обоих... прям за гранью... Можно сказать базовые вещи отваливаются. Я, конечно, откачусь на 2.4.5, там где возможно, но тенденция с настолько сырыми "релизами" наводит на грустные мысли. Есть надежда что это временно? Там же вроде серьезно что-то меняли между 2.4.5 -> 2.5.0, если я не ошибаюсь?

                        viktor_gV 1 Reply Last reply Reply Quote 0
                        • viktor_gV
                          viktor_g Netgate @proger
                          last edited by

                          @proger said in Вопросы по pfSense 2.5/Plus:

                          Подскажите пожалуйста, если кто знает: после обновления до 2.5.0 (и далее 2.5.1 - проблема сохранилась) возникла проблема с Dynamic DNS/NoIP (платный).
                          Не обновляет IP: cheсk IP почему-то всегда возвращает последнее значение, а не реальное, и считает что ничего не поменялось, соответственно адрес не обновляет.

                          Похоже на регрессию изменений в https://redmine.pfsense.org/issues/6638

                          Создайте пожалуйста багрепорт, посмотрим:
                          https://docs.netgate.com/pfsense/en/latest/development/bug-reports.html

                          2.5.1 - отвалился nat на втором интерфейсе, DynDNS не работает в обоих...

                          Багрепорт открыт, исправлено в 2.6:
                          https://redmine.pfsense.org/issues/11805

                          P 1 Reply Last reply Reply Quote 0
                          • P
                            proger @viktor_g
                            last edited by

                            @viktor_g
                            Создал:
                            https://redmine.pfsense.org/issues/11815

                            viktor_gV 1 Reply Last reply Reply Quote 0
                            • viktor_gV
                              viktor_g Netgate @proger
                              last edited by

                              @proger said in Вопросы по pfSense 2.5/Plus:

                              @viktor_g
                              Создал:
                              https://redmine.pfsense.org/issues/11815

                              Добавьте побольше DDNS логов с включенной опцией "Verbose Logging"

                              Возможно ошибка связана с новым API No-IP:
                              https://www.noip.com/integrate/request
                              хотя там нет никаких спец опций для paid аккаунтов

                              P 1 Reply Last reply Reply Quote 0
                              • P
                                proger @viktor_g
                                last edited by proger

                                @viktor_g
                                Verbose logging стоит
                                при Save&Force Update то что я скинул - это все что появляется в логах

                                Дело в том, что это на боевой системе, и чтобы проверить мне приходится менять адрес на несоответствующий в noip, клиенты отваливаются, а поэкспериментировать пока негде

                                1 Reply Last reply Reply Quote 0
                                • PTZ-MP
                                  PTZ-M
                                  last edited by PTZ-M

                                  Коллеги приветствую.
                                  Столкнулся с магией!
                                  С момента появления в интерфейсе "Версия 2.5.1 доступно" в версии 2.4.5-RELEASE (amd64) сделан Tue Mar 24 15:25:50 EDT 2020. У меня стабильно по пятницам в ~9:03 отрубаются все OpenVPN клиенты. Пока вручную сервис не перезапустишь - ничего не поднимается. В стандартных логах (3 уровень) ничего интересного.
                                  Естественно ничего не делалось и не трогалось (Аптайм 31 Days 15 Hours 49 Minutes 11 Seconds). Возникла крамольная мысль, что так принуждают перейти на новую версию. Прошу помощи в развенчивании такого сомнения.

                                  UPD доп. инфа - pfSense на MultuWAN в неравном LoadBalancer, и для OpenVPN настроен только WAN1

                                  viktor_gV P werterW 3 Replies Last reply Reply Quote 0
                                  • viktor_gV
                                    viktor_g Netgate @PTZ-M
                                    last edited by

                                    @ptz-m said in Вопросы по pfSense 2.5/Plus:

                                    Коллеги приветствую.
                                    Столкнулся с магией!
                                    С момента появления в интерфейсе "Версия 2.5.1 доступно" в версии 2.4.5-RELEASE (amd64) сделан Tue Mar 24 15:25:50 EDT 2020. У меня стабильно по пятницам в ~9:03 отрубаются все OpenVPN клиенты. Пока вручную сервис не перезапустишь - ничего не поднимается. В стандартных логах (3 уровень) ничего интересного.
                                    Естественно ничего не делалось и не трогалось (Аптайм 31 Days 15 Hours 49 Minutes 11 Seconds). Возникла крамольная мысль, что так принуждают перейти на новую версию. Прошу помощи в развенчивании такого сомнения.

                                    UPD доп. инфа - pfSense на MultuWAN в неравном LoadBalancer, и для OpenVPN настроен только WAN1

                                    Куча пользователей до сих пор на 2.4.5-p1 и 2.4.4-p3, работают без всякой магии)
                                    Установите пакет Cron и проверьте что запускается в это время
                                    Не исключены и причуды провейдера - выставьте Monitoring IP для WAN1 в 8.8.8.8, к примеру, и посмотрите не будет ли потерь пакетов в это время

                                    1 Reply Last reply Reply Quote 0
                                    • P
                                      pigbrother @PTZ-M
                                      last edited by

                                      @ptz-m said in Вопросы по pfSense 2.5/Plus:

                                      Прошу помощи в развенчивании такого сомнения.

                                      На одной из точек трудится 2.3.х. Куча Open VPN.
                                      Из-за карантина не дают обновить. Аптайм был 290 с лишним дней - выключили подачу электроэнергии.

                                      1 Reply Last reply Reply Quote 0
                                      • werterW
                                        werter @PTZ-M
                                        last edited by werter

                                        Добрый
                                        @ptz-m

                                        С вероятностью 90+ это ваш провайдер так себя ведет.

                                        Как вариант:
                                        ovpn умеет слушать localhost (127.0.0.1)
                                        Перевесьте ovpn на localhost, сделайте проброс с ВАН1 и ВАН2 на 127.0.0.1
                                        и выбранный ранее порт.

                                        В настройках клиентов в конфиге укажите
                                        ...
                                        remote WAN1-ip-or-name port udp
                                        remote WAN2-ip-or-name port udp
                                        ...

                                        Тогда клиенты по умолч. будут коннектиться к WAN1, а при проблемах - к WAN2. Плюс в cron можно добавить строку, чтобы в выбранное время (типа 09:07) служба ovpn на пф перезапускалась. Тогда клиенты вновь переконнектятся на WAN1.
                                        Костыль, но рабочий )

                                        Зы. Или просто строка в кроне, чтобы в 9:05 служба ovpn на пф перезапускалась. Это проще и тоже может сработать.

                                        G 1 Reply Last reply Reply Quote 0
                                        • G
                                          GarryTom @werter
                                          last edited by

                                          Обнаружился баг в 2.5 в режиме MultiWAN.
                                          Есть три внешних интерфейса (WAN, OPT1, OPT2). На первых двух белые IP, на них проброшены 25 и 80 порты. В 2.4.4 и 2.4.5 проброс прекрасно работает на обоих интерфейсах, а в 2.5 - только на WAN. На OPT1 порты остаются закрытые.
                                          Если отключить WAN и OPT2, т.е. оставить только один внешний интерфейс (OPT1), то на OPT1 проброс начинает работать.
                                          Я последовательно ставил версии и заливал один и тот же конфигурационный файл:
                                          2.4.4 - работает
                                          2.4.5 - работает
                                          2.5.1 - не работает
                                          2.6 (!) - работает.

                                          viktor_gV 1 Reply Last reply Reply Quote 0
                                          • viktor_gV
                                            viktor_g Netgate @GarryTom
                                            last edited by

                                            @garrytom said in Вопросы по pfSense 2.5/Plus:

                                            Обнаружился баг в 2.5 в режиме MultiWAN.
                                            Есть три внешних интерфейса (WAN, OPT1, OPT2). На первых двух белые IP, на них проброшены 25 и 80 порты. В 2.4.4 и 2.4.5 проброс прекрасно работает на обоих интерфейсах, а в 2.5 - только на WAN. На OPT1 порты остаются закрытые.
                                            Если отключить WAN и OPT2, т.е. оставить только один внешний интерфейс (OPT1), то на OPT1 проброс начинает работать.
                                            Я последовательно ставил версии и заливал один и тот же конфигурационный файл:
                                            2.4.4 - работает
                                            2.4.5 - работает
                                            2.5.1 - не работает
                                            2.6 (!) - работает.

                                            Верно, это баг версий 2.5/2.5.1(CE):
                                            https://redmine.pfsense.org/issues/11805

                                            Исправлен в 2.6 development версии
                                            Также исправление будет включено в следующую стабильную версию

                                            1 Reply Last reply Reply Quote 0
                                            • First post
                                              Last post
                                            Copyright 2025 Rubicon Communications LLC (Netgate). All rights reserved.