PfSense(ALIX) + FreeBSD(Supermicro) разделение функционала



  • Добрый день уважаемые форумчане!
    Имеются pfSense 2.3.2-RELEASE-p1 (i386) built on FreeBSD 10.3-RELEASE-p9 на базе PC Engines ALIX nanobsd(4g) b FreeBSD 11/amd64 на базе Supermicro 2xXeon 4Gb memory.
    Стоит задача разделить между ними функционал таким образом чтобы pfSense выполнял первичную, "лёгкую/быструю" обработку входящего/исходящего трафика и затем перенаправлял его на FreeBSD(supermicro) для дальнейшей "тяжелой"(Squid и т.п.) обработки.
    Какие настройки нужно сделать на pfSense и на FreeBSD соответственно чтобы это реализовать? Каков общий алгоритм действий?



  • Ну так прям и разделяйте как написали, пусть на сенсе останется только функции роутера, остальное поднимаете на супермикровском серваке и все, потом прокидываете или форвардите нужный траффик на мощную машину.

    Алгоритм простой - ставите, настраиваете.



  • Спасибо за ответ. :)
    Тут вся сложность(для меня) в том, что это не вновь создаваемая конфигурация, а наполовину рабочая. pfSense так или иначе настроен и выполняет свои обязанности(за исключение анализа трафика) и мне хотелось бы реализовать новую конфигурацию по возможности "бесшовно", т.е. без отключения пфСенса и остановки сети. Если я для начала хочу поднять на супермикро Squid и посмотреть как это всё будет работать, то возникает вопрос как пускать трафик?

    Вариант 1: входящий трафик из WAN через pfSense идёт на Supermicro обрабатывается Squid'ом, а потом возвращается назад на pfSense и идёт дальше в локалку(для исходящего трафика верно обратное).

    Вариант 2: входящий трафик из WAN через pfSense идёт на Supermicro обрабатывается Squid'ом, но не возвращается назад а идёт дальше в локалку(для исходящего трафика верно обратное).

    Как мне кажется Вариант 1 будет замедлять/грузить, а при Варианте 2 я должен сделать Supermicro основным шлюзом для всей локалки и соответственно сразу поднимать на нём Nat и всё остальное со всеми настройками. Как сделать так чтобы соблюсти некий баланс на начальном этапе?

    Если я нагородил что-то лишнее, то поправьте меня пожалуйста. Буду благодарен за любые конструктивные замечания/советы/рекомендации.



  • Доброе.
    Supermicro задействуйте под вирт-цию (Proxmox). Только ОЗУ добавьте. И на нем же можно резервный pf поднять в вирт. маш.



  • Обычно все происходит так:

    1. Если хотите "зарулить" принудительно всех пользователей в прокси, то на роутере настраивается правило для форвардинга http трафика на прокси сервер . "Запрос" на трафик генерирует клиент сети, роутер его отправляет на прокси сервер и все.

    2. Можете прописать\отключить прокси сервер требуемым клиентам вручную\политиками, вот вам вариант все проверить на лету, в этом случае роутер вообще "не увидит" запросы клиента.

    В обоих случаях генерировать запросы в интернет и раздавать интернет клиентам будет прокси.