Вопросы по pfSense 2.5/Plus

sirota · Jun 4, 2021, 6:39 AM

@sirota said in Вопросы по pfSense 2.5/Plus:

Ребят, еще багуля в 2.5.1. Приходят уведомления только о том что канал добавлен в LoadBalanceGroup, но что выбыл нет. При чем с WAN который первый по умолчанию приходят уведомления именно что добавлен, а о втором даже и этого нет. Сейчас обновляюсь на 2.5.2. посмотрю работает ли там. Да и обновление из web-gui на 2.5.2 и 2.6.0 из 2.5.1 не работает, "Unable to check for updates" и все. А так для меня с не работающим NAT на multiwan оказалось новостью...

Проблема с отправкой сообщений решилась просто. Default gateway IPv4 стоял wan_pppoe, который естественно и падал и самому pfsense не от куда было добраться до инета. При этом все пользователи были либо в группе failover или loadbalance, соответственно для нас инет и не пропадал.

pigbrother · Jun 4, 2021, 8:06 AM

@sirota said in Вопросы по pfSense 2.5/Plus:

Через ssh - 13 обновилось. Уже на 2.5.2

И как Port Forward в 2.5.2? Работает?

sirota · Jun 4, 2021, 8:14 AM

@pigbrother said in Вопросы по pfSense 2.5/Plus:

@sirota said in Вопросы по pfSense 2.5/Plus:

Через ssh - 13 обновилось. Уже на 2.5.2

И как Port Forward в 2.5.2? Работает?

нет, не работает. Вернулся на 2.4.5-р1, зашел и пересохранил ovpn сервера и каждого клиента и все работает. и port forward при multiwan

pigbrother · Jun 4, 2021, 8:26 AM

@sirota said in Вопросы по pfSense 2.5/Plus:

нет, не работает

Странно, что сломали и не могут починить такую базовую вещь.

@sirota said in Вопросы по pfSense 2.5/Plus:

зашел и пересохранил ovpn сервера и каждого клиента

Без этого были проблемы?

sirota · Jun 4, 2021, 8:36 AM

@pigbrother said in Вопросы по pfSense 2.5/Plus:

@sirota said in Вопросы по pfSense 2.5/Plus:

зашел и пересохранил ovpn сервера и каждого клиента

Без этого были проблемы?

И Сервер и клиент ругались на шифрование (cipher). При чем pfsense ругался как на конфиг сервера, так и на конфиги пользвователей. но я просто открыл, сохранил и все заработало без правок.

@pigbrother said in Вопросы по pfSense 2.5/Plus:

@sirota said in Вопросы по pfSense 2.5/Plus:

нет, не работает

Странно, что сломали и не могут починить такую базовую вещь.

Ну в патчноуте написано что в 2.5.2 починили. Но в сборке от 20210602 (вроде бы ее накатывал) не работало.

pigbrother · Jun 4, 2021, 9:00 AM

@sirota Спасибо за детали.

viktor_g · Jun 8, 2021, 11:41 AM

@sirota said in Вопросы по pfSense 2.5/Plus:

@sirota said in Вопросы по pfSense 2.5/Plus:

Ребят, еще багуля в 2.5.1. Приходят уведомления только о том что канал добавлен в LoadBalanceGroup, но что выбыл нет. При чем с WAN который первый по умолчанию приходят уведомления именно что добавлен, а о втором даже и этого нет. Сейчас обновляюсь на 2.5.2. посмотрю работает ли там. Да и обновление из web-gui на 2.5.2 и 2.6.0 из 2.5.1 не работает, "Unable to check for updates" и все. А так для меня с не работающим NAT на multiwan оказалось новостью...

Проблема с отправкой сообщений решилась просто. Default gateway IPv4 стоял wan_pppoe, который естественно и падал и самому pfsense не от куда было добраться до инета. При этом все пользователи были либо в группе failover или loadbalance, соответственно для нас инет и не пропадал.

Ненормальная штука, создал багрепорт:
https://redmine.pfsense.org/issues/12010

sirota · Jun 8, 2021, 11:56 AM

@viktor_g said in Вопросы по pfSense 2.5/Plus:

@sirota said in Вопросы по pfSense 2.5/Plus:

@sirota said in Вопросы по pfSense 2.5/Plus:

Ребят, еще багуля в 2.5.1. Приходят уведомления только о том что канал добавлен в LoadBalanceGroup, но что выбыл нет. При чем с WAN который первый по умолчанию приходят уведомления именно что добавлен, а о втором даже и этого нет. Сейчас обновляюсь на 2.5.2. посмотрю работает ли там. Да и обновление из web-gui на 2.5.2 и 2.6.0 из 2.5.1 не работает, "Unable to check for updates" и все. А так для меня с не работающим NAT на multiwan оказалось новостью...

Проблема с отправкой сообщений решилась просто. Default gateway IPv4 стоял wan_pppoe, который естественно и падал и самому pfsense не от куда было добраться до инета. При этом все пользователи были либо в группе failover или loadbalance, соответственно для нас инет и не пропадал.

Ненормальная штука, создал багрепорт:
https://redmine.pfsense.org/issues/12010

Не. Камрад, вы меня не много не так поняли. У меня было вот так:

Я не многу сказать от куда там встал именно WAN_PPPOE, а не Automatic потому что pfsense я пользуюсь очень давно (в 2013 уже точно пользовался и есть великая вероятность что и раньше)
И вот когда падал WAN_PPPOE, тогда для самого pfsense и была проблема. При всем при этом в правила файрвола для части пользователей стоит принудительно failover group, а у части loadbalance group.
Если поставить automatic то скорее всего будет работать, но мне проще было указать именно failover group.
А разве так не должно быть? Если руками выставлен шлюз, то он и должен быть шлюзом по умолчанию.
Тут кстати попутно вопрос. У меня есть port forwarding на входящих интерфейсах. Для них создаются по умолчанию правила правила в файрволе на соответствующем интерфейсе. Так вот если я там ставлю к примеру для WAN_pppoe инетрфейса default gateway в дополнительных настройках именно что WAN_pppoe, а не default, то port forwarding перестает работать. Как только возвращаю обратно на default, то все работает как надо. Я так понимаю это связано с тем что трафик входящий?

AlexBJ · Jun 28, 2021, 1:13 PM

Насчет шлюзов в 2.5.1 что-то сильно поменялось. В 2.4.5 L2TP интерфейс для билайна просто нужно было выбрать шлюзом по-умолчанию и все работало (через WAN подхватывался DNS и маршрутизация до сервера L2TP, потом переключался на новый шлюз). В 2.5.1 получилось запустить маршрутизацию только через создание Gateway Group для WAN и L2TP интерфейсов, и поставить Tier 1 на L2TP, Tier 2 на WAN. Попытка просто вес шлюза поправить в настройках не помогает - WAN остается всегда как default.

Настраивал кстати с 0, благо на ESXi все запускаю, так вот OpenVPN сервер на 2.5.1 не поднялся, с сертификатами какая-то ерунда пошла ,хотя делал через wizard. 2.4.5 работает нормально..

Кстати, FreeDNS (afraid.org который) тоже на 2.5.1 не работает - Curl не может достучаться до страницы с обновлением адреса, но если поставить режим Custom и забить в него нужный адрес - то работает. Причем пробовал указывая и конкретный интерфейс L2TP и Gateway Group. Посмотрел про ошибку с Curl - пишут, что Curl не может определить шлюз по-умолчанию.

werter · Jun 29, 2021, 9:26 AM

@alexbj said in Вопросы по pfSense 2.5/Plus:

afraid.org

Это тот, что каждые полгода РУКАМИ продлевать?

OpenVPN сервер на 2.5.1 не поднялся

15+ филиалов - проблем нет (OVPN + OSPF)

AlexBJ · Jun 29, 2021, 9:36 AM

@werter

Руками не надо - надо на сайт заходить иногда )

По OVPN пока не стал глубоко копать, времени не хватает на все..

werter · Jun 29, 2021, 9:54 AM

@alexbj
https://desec.io
https://dynv6.com
https://freemyip.com/
https://www.nsupdate.info/

... и не надо ничего руками )

sirota · Jun 29, 2021, 11:34 AM

@werter said in Вопросы по pfSense 2.5/Plus:

https://freemyip.com/

А у кого из них можно как у no-ip передать через "url" ip?
Юзю вот такой скрипт для микрота:

:local NOIPDomain "$NOIPUser.ddns.net"
:local IpCurrent [/ip address get [find interface=$WANInter] address];
:for i from=( [:len $IpCurrent] - 1) to=0 do={ 
  :if ( [:pick $IpCurrent $i] = "/") do={ 
    :local NewIP [:pick $IpCurrent 0 $i];
    :if ([:resolve $NOIPDomain] != $NewIP) do={
      /tool fetch mode=http user=$NOIPUser password=$NOIPPass url="http://dynupdate.no-ip.com/nic/update\3Fhostname=$NOIPDomain&myip=$NewIP" keep-result=no
      :log info "NO-IP Update: $NOIPDomain - $NewIP"
     }
   } 
}

Заранее спасибо.

werter · Jun 29, 2021, 12:15 PM

@sirota
Так они все для обновления ip пользуют url.

sirota · Jun 29, 2021, 1:34 PM

@werter said in Вопросы по pfSense 2.5/Plus:

@sirota
Так они все для обновления ip пользуют url.

Ты не понял. Мне надо передать в URL мой IP. Т.е. я сам генерирую URL в который сам заношу нужный IP. Смысл дома у меня вот в чем: если я захожу на 2ip.ru к примеру, то у меня айпишник отображается отличный от того что у меня на WAN интерфейсе. Но при этом на WAN белый IP. Соответственно все сервисы который требуют для обновления IP перейти по URL с токеном и сами дергают мой IP (freemyip.com к примеру) отобразят у себя не верный ip.

werter · Jun 29, 2021, 1:34 PM

@sirota
Кинь в тг скрин "чуда" с твоим ip. Аж интересно )

pigbrother · Jun 30, 2021, 1:17 PM

@sirota said in Вопросы по pfSense 2.5/Plus:

у меня айпишник отображается отличный от того что у меня на WAN интерфейсе. Но при этом на WAN белый IP

Встречал такое в ОАЭ много лет назад. Так работал общий для всей страны файрволл\фильтр.

zabiyako · Jul 5, 2021, 10:08 AM

This post is deleted!

Scodezan · Jul 18, 2021, 10:16 AM

@sirota said in Вопросы по pfSense 2.5/Plus:

Ты не понял. Мне надо передать в URL мой IP. Т.е. я сам генерирую URL в который сам заношу нужный IP.

Здесь можно:
http://www.duckdns.org/install.jsp#synology

А как Вы узнаёте нужный адрес, он статический?

sirota · Jul 18, 2021, 10:19 AM

@scodezan said in Вопросы по pfSense 2.5/Plus:

@sirota said in Вопросы по pfSense 2.5/Plus:

Ты не понял. Мне надо передать в URL мой IP. Т.е. я сам генерирую URL в который сам заношу нужный IP.

Здесь можно:
http://www.duckdns.org/install.jsp#synology

А как Вы узнаёте нужный адрес, он статический?

Скриптом.