Вопросы по pfSense 2.5/Plus

[werter]

Добрый
@danilov

Развертывайте пф на ZFS, к-ую можно выбрать прямо при установке.
Она гораздо устойчивее к неожиданным выключениям (+ сжатие).

Зы. Использовать такое железо только для пфслишком жирно.
Найдите 2-й винт такого де или большего объема, разверните proxmox на zfs и пользуйте пф как вирт. машину. Это даст вам гораздо больше в плане удобства и надежности.
Что такое proxmox, zfs etc есть в этой ветке.

Зы2. И купите UPS. Это правило хорошего тона при серъезном подходе к делу. Из недорогих рекомендую Cyberpower. Замечательно работают с никсами.

[Konstanti]

@danilov
Здр
а какая причина перезагрузки - вот что интересно
судя по всему , сервер упал ....
покажите полный вывод dmesg

[danilov]

@konstanti
Это полный вывод dmesg. Сервер не упал. После обновления через какое-то время появилась проблема при работе с веб-интерфейсом (то грузился то нет). Поэтому через SSH подключение был произведён reboot сервера.

[viktor_g]

@danilov said in Вопросы по pfSense 2.5/Plus:

mountroot: waiting for device /dev/ufsid/6081969f8e6fdcf2...
WARNING: / was not properly dismounted
WARNING: /: mount pending error: blocks 1736 files 0

Перезагрузитесь с проверкой фс:

А ещё лучше - используйте ZFS

[Avant]

Привет, не могу понять, при создании правила в NAT, нет возможности перечислять нужные пробрасываемые порты? т.е если надо прокинуть условно 20 портов(и они идут в разнобой) то мне надо делать 20 правил?

[Konstanti]

@avant
Попробуйте создать для начала Alias на основе нужных портов , а потом используйте его при создании правил

[viktor_g]

@avant

• Если одни и те же внешние порту транслируются в те же внуртенние порты - можно сделать через алиас
• Если совсем в разнобой - то создаёте по правилу на каждый маппинг (с алиасами глючит, см. https://redmine.pfsense.org/issues/11717)
• Если диапазон (range), то можно указать его при создании Port Forward'инга
  см. https://docs.netgate.com/pfsense/en/latest/nat/port-forwards.html#adding-port-forwards
  К примеру транслировать порты 1000-1100 в 8000-8100

[sirota]

Ребят, еще багуля в 2.5.1. Приходят уведомления только о том что канал добавлен в LoadBalanceGroup, но что выбыл нет. При чем с WAN который первый по умолчанию приходят уведомления именно что добавлен, а о втором даже и этого нет. Сейчас обновляюсь на 2.5.2. посмотрю работает ли там. Да и обновление из web-gui на 2.5.2 и 2.6.0 из 2.5.1 не работает, "Unable to check for updates" и все. А так для меня с не работающим NAT на multiwan оказалось новостью...

[viktor_g]

@sirota said in Вопросы по pfSense 2.5/Plus:

Ребят, еще багуля в 2.5.1. Приходят уведомления только о том что канал добавлен в LoadBalanceGroup, но что выбыл нет. При чем с WAN который первый по умолчанию приходят уведомления именно что добавлен, а о втором даже и этого нет.

Можно пример конфигурации, чтобы повторить баг?

Сейчас обновляюсь на 2.5.2. посмотрю работает ли там. Да и обновление из web-gui на 2.5.2 и 2.6.0 из 2.5.1 не работает, "Unable to check for updates" и все.

Запустите в консоли:

# killall -9 pkg
# killall -9 pkg-static
# env ASSUME_ALWAYS_YES=yes pkg-static bootstrap -f
# pkg-static clean -ay; pkg-static install -fy pkg pfSense-repo pfSense-upgrade

И попробуйте запустить обновление ещё раз

[sirota]

@viktor_g said in Вопросы по pfSense 2.5/Plus:

И попробуйте запустить обновление ещё раз

Через ssh - 13 обновилось. Уже на 2.5.2

@viktor_g said in Вопросы по pfSense 2.5/Plus:

Можно пример конфигурации, чтобы повторить баг?

А как сохранить бэкап конфига без паролей и прочего персонального? У меня там ovpn клиенты, сертификаты...

[viktor_g]

@sirota ответил в личку

[sirota]

@sirota said in Вопросы по pfSense 2.5/Plus:

Ребят, еще багуля в 2.5.1. Приходят уведомления только о том что канал добавлен в LoadBalanceGroup, но что выбыл нет. При чем с WAN который первый по умолчанию приходят уведомления именно что добавлен, а о втором даже и этого нет. Сейчас обновляюсь на 2.5.2. посмотрю работает ли там. Да и обновление из web-gui на 2.5.2 и 2.6.0 из 2.5.1 не работает, "Unable to check for updates" и все. А так для меня с не работающим NAT на multiwan оказалось новостью...

Проблема с отправкой сообщений решилась просто. Default gateway IPv4 стоял wan_pppoe, который естественно и падал и самому pfsense не от куда было добраться до инета. При этом все пользователи были либо в группе failover или loadbalance, соответственно для нас инет и не пропадал.

[pigbrother]

@sirota said in Вопросы по pfSense 2.5/Plus:

Через ssh - 13 обновилось. Уже на 2.5.2

И как Port Forward в 2.5.2? Работает?

[sirota]

@pigbrother said in Вопросы по pfSense 2.5/Plus:

@sirota said in Вопросы по pfSense 2.5/Plus:

Через ssh - 13 обновилось. Уже на 2.5.2

И как Port Forward в 2.5.2? Работает?

нет, не работает. Вернулся на 2.4.5-р1, зашел и пересохранил ovpn сервера и каждого клиента и все работает. и port forward при multiwan

[pigbrother]

@sirota said in Вопросы по pfSense 2.5/Plus:

нет, не работает

Странно, что сломали и не могут починить такую базовую вещь.

@sirota said in Вопросы по pfSense 2.5/Plus:

зашел и пересохранил ovpn сервера и каждого клиента

Без этого были проблемы?

[sirota]

@pigbrother said in Вопросы по pfSense 2.5/Plus:

@sirota said in Вопросы по pfSense 2.5/Plus:

зашел и пересохранил ovpn сервера и каждого клиента

Без этого были проблемы?

И Сервер и клиент ругались на шифрование (cipher). При чем pfsense ругался как на конфиг сервера, так и на конфиги пользвователей. но я просто открыл, сохранил и все заработало без правок.

@pigbrother said in Вопросы по pfSense 2.5/Plus:

@sirota said in Вопросы по pfSense 2.5/Plus:

нет, не работает

Странно, что сломали и не могут починить такую базовую вещь.

Ну в патчноуте написано что в 2.5.2 починили. Но в сборке от 20210602 (вроде бы ее накатывал) не работало.

[pigbrother]

@sirota Спасибо за детали.

[viktor_g]

@sirota said in Вопросы по pfSense 2.5/Plus:

@sirota said in Вопросы по pfSense 2.5/Plus:

Ребят, еще багуля в 2.5.1. Приходят уведомления только о том что канал добавлен в LoadBalanceGroup, но что выбыл нет. При чем с WAN который первый по умолчанию приходят уведомления именно что добавлен, а о втором даже и этого нет. Сейчас обновляюсь на 2.5.2. посмотрю работает ли там. Да и обновление из web-gui на 2.5.2 и 2.6.0 из 2.5.1 не работает, "Unable to check for updates" и все. А так для меня с не работающим NAT на multiwan оказалось новостью...

Проблема с отправкой сообщений решилась просто. Default gateway IPv4 стоял wan_pppoe, который естественно и падал и самому pfsense не от куда было добраться до инета. При этом все пользователи были либо в группе failover или loadbalance, соответственно для нас инет и не пропадал.

Ненормальная штука, создал багрепорт:
https://redmine.pfsense.org/issues/12010

[sirota]

@viktor_g said in Вопросы по pfSense 2.5/Plus:

@sirota said in Вопросы по pfSense 2.5/Plus:

@sirota said in Вопросы по pfSense 2.5/Plus:

Ребят, еще багуля в 2.5.1. Приходят уведомления только о том что канал добавлен в LoadBalanceGroup, но что выбыл нет. При чем с WAN который первый по умолчанию приходят уведомления именно что добавлен, а о втором даже и этого нет. Сейчас обновляюсь на 2.5.2. посмотрю работает ли там. Да и обновление из web-gui на 2.5.2 и 2.6.0 из 2.5.1 не работает, "Unable to check for updates" и все. А так для меня с не работающим NAT на multiwan оказалось новостью...

Проблема с отправкой сообщений решилась просто. Default gateway IPv4 стоял wan_pppoe, который естественно и падал и самому pfsense не от куда было добраться до инета. При этом все пользователи были либо в группе failover или loadbalance, соответственно для нас инет и не пропадал.

Ненормальная штука, создал багрепорт:
https://redmine.pfsense.org/issues/12010

Не. Камрад, вы меня не много не так поняли. У меня было вот так:

Я не многу сказать от куда там встал именно WAN_PPPOE, а не Automatic потому что pfsense я пользуюсь очень давно (в 2013 уже точно пользовался и есть великая вероятность что и раньше)
И вот когда падал WAN_PPPOE, тогда для самого pfsense и была проблема. При всем при этом в правила файрвола для части пользователей стоит принудительно failover group, а у части loadbalance group.
Если поставить automatic то скорее всего будет работать, но мне проще было указать именно failover group.
А разве так не должно быть? Если руками выставлен шлюз, то он и должен быть шлюзом по умолчанию.
Тут кстати попутно вопрос. У меня есть port forwarding на входящих интерфейсах. Для них создаются по умолчанию правила правила в файрволе на соответствующем интерфейсе. Так вот если я там ставлю к примеру для WAN_pppoe инетрфейса default gateway в дополнительных настройках именно что WAN_pppoe, а не default, то port forwarding перестает работать. Как только возвращаю обратно на default, то все работает как надо. Я так понимаю это связано с тем что трафик входящий?

[AlexBJ]

Насчет шлюзов в 2.5.1 что-то сильно поменялось. В 2.4.5 L2TP интерфейс для билайна просто нужно было выбрать шлюзом по-умолчанию и все работало (через WAN подхватывался DNS и маршрутизация до сервера L2TP, потом переключался на новый шлюз). В 2.5.1 получилось запустить маршрутизацию только через создание Gateway Group для WAN и L2TP интерфейсов, и поставить Tier 1 на L2TP, Tier 2 на WAN. Попытка просто вес шлюза поправить в настройках не помогает - WAN остается всегда как default.

Настраивал кстати с 0, благо на ESXi все запускаю, так вот OpenVPN сервер на 2.5.1 не поднялся, с сертификатами какая-то ерунда пошла ,хотя делал через wizard. 2.4.5 работает нормально..

Кстати, FreeDNS (afraid.org который) тоже на 2.5.1 не работает - Curl не может достучаться до страницы с обновлением адреса, но если поставить режим Custom и забить в него нужный адрес - то работает. Причем пробовал указывая и конкретный интерфейс L2TP и Gateway Group. Посмотрел про ошибку с Curl - пишут, что Curl не может определить шлюз по-умолчанию.