Netgate Discussion Forum
    • Categories
    • Recent
    • Tags
    • Popular
    • Users
    • Search
    • Register
    • Login

    Вопрос по маршрутизации между VLAN

    Scheduled Pinned Locked Moved Russian
    82 Posts 4 Posters 15.6k Views
    Loading More Posts
    • Oldest to Newest
    • Newest to Oldest
    • Most Votes
    Reply
    • Reply as topic
    Log in to reply
    This topic has been deleted. Only users with topic management privileges can see it.
    • S
      sirota @AntonR69
      last edited by

      @antonr69 said in Вопрос по маршрутизации между VLAN:

      @sirota said in Вопрос по маршрутизации между VLAN:

      хз что ты там указал wan net или wan address
      wan net

      Скрины всех правил с группировкой по интерфейсам (чтобы понять можно было что и куда). Ну а так я вам уже объяснил что надо сделать чтобы все было хорошо.

      A 1 Reply Last reply Reply Quote 0
      • A
        AntonR69 @sirota
        last edited by

        @sirota Спасибо огромное. Скрины сегодня уже не успеваю, короткий день. На следующей неделе попробую обмозговать ваши советы, испробовать, если не заработает как надо покажу скрины.

        1 Reply Last reply Reply Quote 0
        • P
          pigbrother @AntonR69
          last edited by

          @antonr69 said in Вопрос по маршрутизации между VLAN:

          Влан у которого нет интернета, которому разрешено ходить до Wan pfsense,

          S 1 Reply Last reply Reply Quote 0
          • S
            sirota @pigbrother
            last edited by

            @pigbrother и?

            P 1 Reply Last reply Reply Quote 0
            • P
              pigbrother @sirota
              last edited by

              @sirota said in Вопрос по маршрутизации между VLAN:

              и?

              @pigbrother said in Вопрос по маршрутизации между VLAN:

              Влан у которого нет интернета, которому разрешено ходить до Wan pfsense,

              Непонятно, о каком правиле идет речь.

              A 1 Reply Last reply Reply Quote 0
              • A
                AntonR69 @pigbrother
                last edited by

                @pigbrother said in Вопрос по маршрутизации между VLAN:

                @sirota said in Вопрос по маршрутизации между VLAN:

                и?

                @pigbrother said in Вопрос по маршрутизации между VLAN:

                Влан у которого нет интернета, которому разрешено ходить до Wan pfsense,

                Непонятно, о каком правиле идет речь.

                IPv4 * VLAN30 net * WAN net * * none
                Я так понимаю, это правило разрешает интерфейсу VLAN30 ходить на WAN. Но при таком правиле интернета на VLAN30 нет. В керио контрол с таким правиом все рабртатет. Интернет есть.

                S 1 Reply Last reply Reply Quote 0
                • S
                  sirota @AntonR69
                  last edited by sirota

                  @antonr69 а с чего оно должно работать? Dest у тебя же при попытке выйти в Инет не wan, а ресурс на который ты хочешь попасть. По этом dst ставим any. А перед ним ставим все vlan что запрещаем. Я же нарисовал в общих тонах правила. И почему так инета не будет уже объяснил.

                  A 1 Reply Last reply Reply Quote 1
                  • A
                    AntonR69 @sirota
                    last edited by

                    @sirota said in Вопрос по маршрутизации между VLAN:

                    @antonr69 а с чего оно должно работать? Dest у тебя же при попытке выйти в Инет не wan, а ресурс на который ты хочешь попасть. По этом dst ставим any. А перед ним ставим все vlan что запрещаем.
                    Спасибо. Проверил, работает. То что было не понятно связано с опытом КериоКонтрол. Там можно создать ОДНО правило: такому то ИНТЕРФЕЙСУ влану можно ходить на ИНТЕРФЕЙС ван. И все работает. Этот влан имеет интернет, и в то же время отделен от других интерфейсов. Ключевое различие что правило построено на взаимодействии интерфейсов. Почему в pfsense так нельзя не понимаю. Еще не могу понять разницу van net, wan adr и "этот фаервол"

                    S 1 Reply Last reply Reply Quote 0
                    • S
                      sirota @AntonR69
                      last edited by

                      @antonr69 said in Вопрос по маршрутизации между VLAN:

                      @sirota said in Вопрос по маршрутизации между VLAN:

                      @antonr69 а с чего оно должно работать? Dest у тебя же при попытке выйти в Инет не wan, а ресурс на который ты хочешь попасть. По этом dst ставим any. А перед ним ставим все vlan что запрещаем.
                      Спасибо. Проверил, работает. То что было не понятно связано с опытом КериоКонтрол. Там можно создать ОДНО правило: такому то ИНТЕРФЕЙСУ влану можно ходить на ИНТЕРФЕЙС ван. И все работает. Этот влан имеет интернет, и в то же время отделен от других интерфейсов. Ключевое различие что правило построено на взаимодействии интерфейсов. Почему в pfsense так нельзя не понимаю. Еще не могу понять разницу van net, wan adr и "этот фаервол"

                      Потому что как сделано в PF - логично. Я могу разрешить маршрут вплоть до WAN интерфейса, но далее запретить. К примеру у провайдера есть локальные ресурсы (телефония) в этой же подсети. Я разрешаю для телефона доступ к WAN net и не более. Все. Интернета у телефонии не будет, но будет доступ к серверу телефонии. Т.е. всего 1 правило.
                      С керио лет 10 уже как не знаком, но осмелюсь предположить там просто нет в конце запрещающего правила на все. У PF если совсем грубо на каждом интерфейсе есть правило которое не видно: s:* d:* Action:drop
                      Т.е. все что мы явно не разрешили выше будет дропаться. Так сделано во всех нормальных файрволах.

                      A 1 Reply Last reply Reply Quote 0
                      • A
                        AntonR69 @sirota
                        last edited by

                        @sirota said in Вопрос по маршрутизации между VLAN:

                        на каждом интерфейсе есть правило которое не видно: s:* d:* Action:drop. Т.е. все что мы явно не разрешили выше будет дропаться.
                        Так то оно так, но задача дать интерфейсу интернет, разрешает все. Выше упомянутое правило перестает работать. И приходится городить правила чтобы запретить не нужное. Вот в этом я вижу не логичность. И это сбивает с толку не только меня. Я нашел много тем с этим же вопросом. Вот пример, чел пишет: у меня один ван и одил лан. Я решил сделать сеть влан для гостей. Решение в этой конфигурации предложили не стандартное. Создать разрешающие правило для влана ходить на лан, но лан инвертировать. И мы получаем интернет на влане без доступа к лан. Я бы не догадался так сделать. Надо наверно тему создать для примеров решений стандартных и не только ситуаций.

                        S 1 Reply Last reply Reply Quote 0
                        • S
                          sirota @AntonR69
                          last edited by

                          @antonr69 said in Вопрос по маршрутизации между VLAN:

                          @sirota said in Вопрос по маршрутизации между VLAN:

                          на каждом интерфейсе есть правило которое не видно: s:* d:* Action:drop. Т.е. все что мы явно не разрешили выше будет дропаться.
                          Так то оно так, но задача дать интерфейсу интернет, разрешает все. Выше упомянутое правило перестает работать. И приходится городить правила чтобы запретить не нужное. Вот в этом я вижу не логичность. И это сбивает с толку не только меня. Я нашел много тем с этим же вопросом. Вот пример, чел пишет: у меня один ван и одил лан. Я решил сделать сеть влан для гостей. Решение в этой конфигурации предложили не стандартное. Создать разрешающие правило для влана ходить на лан, но лан инвертировать. И мы получаем интернет на влане без доступа к лан. Я бы не догадался так сделать. Надо наверно тему создать для примеров решений стандартных и не только ситуаций.

                          1. Научитесь нормально отвечать на комменты. Дико не удобно потом читать когда отвечаете внутри чужого комментария
                          2. Да нет, как раз таки это нормально и вполне себе стандартное решение (так же к примеру делается и у микротика если не использовать интерфейсы: s:vlan10 net d:!lan net a:accept Все. ). Всего в 1 правило умещается - разрешить все что не LAN net. И в инет пустили подсеть и в локалку не пустили.
                          werterW 1 Reply Last reply Reply Quote 1
                          • werterW
                            werter @sirota
                            last edited by werter

                            @sirota
                            @AntonR69
                            Достаточно ЯВНО указать шлюз в правиле fw на ВЛАН-интерфейсе(-ах) (WAN_GW) и в ЛАН уже никто не попадет. И на ЛАН тоже, если надо доступ во ВЛАНЫ закрыть. Это наз-ся Policy-based Routing (PBR)

                            Зы. Читаю и перечитываю https://linkmeup.ru/blog/11.html

                            P 1 Reply Last reply Reply Quote 1
                            • P
                              pigbrother @werter
                              last edited by

                              @werter said in Вопрос по маршрутизации между VLAN:

                              Достаточно ЯВНО указать шлюз в правиле fw на ВЛАН-интерфейсе(-ах) (WAN_GW) и в ЛАН уже никто не попадет

                              Я это ТС указал 1-м ответом на его вопрос.

                              A 1 Reply Last reply Reply Quote 0
                              • A
                                AntonR69 @pigbrother
                                last edited by AntonR69

                                @pigbrother said in Вопрос по маршрутизации между VLAN:

                                @werter said in Вопрос по маршрутизации между VLAN:

                                Достаточно ЯВНО указать шлюз в правиле fw на ВЛАН-интерфейсе(-ах) (WAN_GW) и в ЛАН уже никто не попадет

                                Здравствуйте. Я испробовал ваш совет добавить гетвей в правило, не помогает. И в правило пробовал, и в интерфейс.
                                У меня получилось по другому. Он подходит когда много vlan, каждому нужен интернет и при этом их нужно друг от друга изолировать.

                                1. Создаем алиас в котором перечисляем сети всех вланов, если нужно и Lan-ов. Он будет один для правил всех вланов (интерфейсов).
                                2. Для каждого влана (интерфейса) создаем 3 правила.
                                  1. разрешаем ходить на собственный влан. Дист "имя влана" (* * vlan01 * *)
                                  2. запретить ходить на другие вланы. Дист имя ранее созданного алиаса. (* * vlans * *)
                                  3. Разрешить все всем. (* * * * *)
                                    И оно работает. Мы получаем изолированный влан с доступом в интернет.
                                    На днях помучал ИКС https://xserver.a-real.ru/sysadmins/ Он тоже на freebcd. Но ему такой трюк как я описал выше не нужен. Там в правилах, в графе дист есть "интернет". Так вот, там достаточно одного правила, разрешить ходить до "интернет", и этот интерфейс ходит исключительно в интернет. Почему в pfsense этого нет до сих пор не пойму.
                                werterW 1 Reply Last reply Reply Quote 0
                                • werterW
                                  werter @AntonR69
                                  last edited by werter

                                  @antonr69 said in Вопрос по маршрутизации между VLAN:

                                  Здравствуйте. Я испробовал ваш совет добавить гетвей в правило, не помогает. И в правило пробовал, и в интерфейс.

                                  Почему-то уверен, что порядок правил неверный у вас (

                                  разрешаем ходить на собственный влан. Дист "имя влана" (* * vlan01 * *)

                                  Лишнее. Пф этим не рулит. Пф рулит от себя вовне и наборот.

                                  На днях помучал ИКС https://xserver.a-real.ru/sysadmins/ Он тоже на freebcd

                                  Открыл демку. Потыкал. Увидел, что это "супер-ультра-мега-комбайн" с почтой, fw и т.д. Закрыл демку. Эти поделием пользоваться, если только ЗАСТАВЯТ.

                                  Надо почту? Отдельно (mailcow, iredmail или руками)
                                  Надо ftp? Отдельно (truenas, xigmanas, omv)
                                  Надо firewall? Вы поняли )

                                  Зы. Ребята имеют сертиф от ФСТЭК. 99.9% что контора создана под дядю из структур, к-му нужно госбабло ))

                                  A 1 Reply Last reply Reply Quote 1
                                  • A
                                    AntonR69 @werter
                                    last edited by

                                    @werter Без первого правила пинг до ip самого влана не идет, и нет интернета.

                                    werterW 2 Replies Last reply Reply Quote 0
                                    • werterW
                                      werter @AntonR69
                                      last edited by werter

                                      @antonr69
                                      Пинг - это не про интернет.

                                      Покажите скрины правил на ВСЕХ интерфейсах.

                                      1 Reply Last reply Reply Quote 0
                                      • S
                                        sirota
                                        last edited by

                                        @antonr69 тогда ставим в дестенейщене this firewall

                                        A 2 Replies Last reply Reply Quote 0
                                        • werterW
                                          werter @AntonR69
                                          last edited by werter

                                          @antonr69

                                          Покажите скрины правил на ВСЕХ интерфейсах.

                                          Зы. И никаких WAN net в dst. Этим вы точно доступ в инет не дадите )

                                          1 Reply Last reply Reply Quote 0
                                          • A
                                            AntonR69 @sirota
                                            last edited by AntonR69

                                            @sirota said in Вопрос по маршрутизации между VLAN:

                                            @antonr69 тогда ставим в дестенейщене this firewall

                                            Да, в третьем правиле можно и так, в дестенейщене this firewall. Скрин прилагаю.base-rule.JPG

                                            S werterW 2 Replies Last reply Reply Quote 0
                                            • First post
                                              Last post
                                            Copyright 2025 Rubicon Communications LLC (Netgate). All rights reserved.