NO PUEDO NAVEGAR A WWW.MERISTATION.COM

Antonio

Hola a Todos.

tengo una red con pfsense y un cliente que se a dado cuenta de que no puede navegar a la dirección www.meristation.com y en mi firewall no tengo ninguna regla que impida la navegación ya que tengo los puertos 80,443, dns, icmp abiertos hacia la la wan y el resto de paginas funcionan perfectamente.

me he dado cuenta de que la dirección no responde a ping.

alguien me puede ayudar en este tema.

gracias.

bellera

¡Hola!

Muchos servidores en Internet no responden a ping, por razones de seguridad. O sea que tu problema no tiene nada que ver a si responde o no a ping.

Más bien puede tratarse de un problema de resolución DNS … Emplea nslookup www.meristation.com para ver si la resolución es correcta.

¿Estás empleando algún tipo de proxy?

Saludos,

Josep Pujadas

Antonio

Hola Bellera.

No estoy empleando ningun proxi en mi red y en cuanto anslookup podrias especificarme como lo realizo.

voy a ver en el apartado del pfsense si tengo la aplicación que me comentas.

gracias

bellera

¡Hola de nuevo!

En una estación Windows: [Inicio] [Ejecutar …] cmd [Intro]

nslookup www.meristation.com

O en cualquier consola Unix/Linux si tienes clientes Unix/Linux. Es el mismo comando, aunque en Unix/Linux tiene opciones mucho más potentes.

Nota: La pregunta sobre el proxy es por si podías tener algún filtro de páginas activado.

Saludos,

Josep Pujadas

Antonio

Hola Bellera.

te adjunto los resultados que tengo al ejecutar el comando que me comentas, ¿es correcta la resolución?

gracias.

Microsoft Windows XP [Versión 5.1.2600]
(C) Copyright 1985-2001 Microsoft Corp.
C:\Documents and Settings/xxxxxx>nslookup www.meristation.com
Servidor: buffalo.setup
Address: 192.168.10.1

Respuesta no autoritativa:
Nombre: meristation.com
Addresses: 82.194.75.23, 82.194.75.242
Aliases: www.meristation.com

bellera

¡Hola!

Sí, totalmente. Ya sabemos pues que no es un problema de resolución DNS.

Prueba, en el navegador:

http://82.194.75.23
http://82.194.75.242

A ver qué …

¿Con qué navegador estás? Podría ser que tuvieras el navegador con alguna opción de denegación de acceso a este dominio. Si estás con IExplorer 7:

[Herramientas] [Opciones de Internet] [Seguridad] [Sitios restringidos] [Sitios]

¿No tendrás algo ahí?

O ¿no tendrás alguna solución antivirus que incluya seguridad para Internet?

¿Puedes probarlo en más de una máquina?

Saludos,

Josep Pujadas

Antonio

Gracias por tu tiempo Bellera.

he probado lo que me comentas en varios ordenadoers, 1º desacivar el firewall de windows, 2º desactivar el antivirus, 3º ver los sitios restringidos del navegador y 4º todo lo anterior a la vez y sigue sin funcionar en ningun pc de la red.

¿no podria ser un problema de pfsense?

tambien te comento que tengo otro pfsense con un sig avi y direcciones ip publicas asignadas a clientes en modo bridge y en esta red si funciona correctamente y si pongo un pc directo al cable modem del isp si funciona.

en mi red las dns que tengo son las siguientes:

62.42.230.24
62.42.63.52

crees que si pusiera las dns:

62.42.230.24
80.58.61.254

que son de telefonica y otra de ono, podria funcionar, o como resulta que si se resuelven las dns no tiene importancia?

gracias.

bellera

¡Hola de nuevo!

¿Probaste?, en el navegador:

http://82.194.75.23
http://82.194.75.242

Por otro lado, ¿Puedes conectar tu PC a Internet sin pasar por pfSense?

Como ya te dije no parece un problema de resolución DNS … Más bien algún filtro.

Saludos,

Josep Pujadas

Antonio

Hola de nuevo Bellera.

gracias por tu interes, te comento.

si que he probado a introducir las ip´s en el navegador del pc tanto en internet explorer como en motzilla y no funciona, tambien he probado a abrir esta pagina conectando el pc directamente al cable modem y si lo hago asi ( sin pasar por pfsense ) si que funciona sin problemas.

¿se te ocurre algo más?

¿puede ser pfsense?

saludos y gracias.

bellera

¡Hola de nuevo!

Bueno, evidentemente hay algo mal en la instalación que tienes con pfSense.

¿Está pfSense haciendo de DHCP en tu red?

¿Quién es buffalo.setup en tu red? Lo digo por la respuesta de nslookup … ¿Es tu pfSense?

¿Tienes reglas en pfSense que manejen álias? ¿Hay en esos álias direcciones IP?

Saludos,

Josep Pujadas

Antonio

Hola Bellera.

gracias de nuevo por tu ayuda, en respuesta a tus preguntas te confirmo:

el pfsense no realiza dhcp tengo otro servidor ems que es el que lo realiza.

buffalo.setup es el ruter por el que salgo hacia internet ( la red del pfsense, es mi router en mi red local de la oficina )

no, no tengo rutas con alias y no hay ip´s en los alias ya que no tengo ninguno establecido.

espero que te sirva para indicarme, gracias.

bellera

¡Hola!

el pfsense no realiza dhcp

Bueno, en ese caso pfSense tampoco es responsable de la resolución DNS.

buffalo.setup es el ruter por el que salgo hacia internet

Se me hace un tanto extraño que sea el router quien te dé la respuesta DNS.

En los servidores DHCP suele indicarse quién hace de DNS …

Si ejecutas ipconfig /all en la línea de comandos de la estación Windows verás qué configuración para DNS tiene la estación.

Si el router (entiendo que en lado WAN de pfSense) está haciendo de DNS puede que haya algún problema, porque por defecto pfSense bloquea el tráfico exterior con redes privadas. Podrías probar a poner una regla en LAN que autorice cualquier tráfico con destino a la IP privada de tu router. No sé si lo administras tú, pero suele ser cómodo poder llegar al router desde el lado LAN (de pfSense) …

Saludos,

Josep Pujadas

Antonio

Hola de nuevo Bellera.

te comento la topologia de red de mi red.

cable modem 1 ( wan direcciones ip por dhcp) cable modem 2 ( wan2 direcciones ip por dhcp )
/ /

pfsense
/

lan ( ip´s 169.254.x.x)
/
clientes con dhcp y direcciones ip staticas ems servidor linux con dhcp para la red
/ (este servidor asigna el dhcp en la lan)
routers y pc´s de la lan

cuando ejecuto el ipconfig/all desde un pc conectado a un router de mi lan ( 169.254.x.x) el resultado es:

Microsoft Windows XP [Versión 5.1.2600]
(C) Copyright 1985-2001 Microsoft Corp.

C:\Documents and Settings\MOLINA>ipconfig/all

Configuración IP de Windows

Nombre del host . . . . . . . . . : molinaq310
Sufijo DNS principal . . . . . . :
Tipo de nodo . . . . . . . . . . : desconocido
Enrutamiento habilitado. . . . . .: No
Proxy WINS habilitado. . . . . : No
Lista de búsqueda de sufijo DNS: ONTITEL.COM

Adaptador Ethernet Lan Ontitel :

Sufijo de conexión específica DNS : ONTITEL.COM
Descripción. . . . . . . . . . . : Marvell Yukon 88E8055 PCI-E Gigabit
Ethernet Controller
Dirección física. . . . . . . . . : 00-13-77-6E-7F-A4
DHCP habilitado. . . . . . . . . : No
Autoconfiguración habilitada. . . : Sí
Dirección IP. . . . . . . . . . . : 192.168.10.11
Máscara de subred . . . . . . . . : 255.255.255.0
Puerta de enlace predeterminada : 192.168.10.1
Servidor DHCP . . . . . . . . . . : 192.168.10.1
Servidores DNS . . . . . . . . . .: 192.168.10.1
Concesión obtenida . . . . . . . : lunes, 01 de diciembre de 2008 18:08
:21
Concesión expira . . . . . . . . .: miércoles, 03 de diciembre de 2008 1
8:08:21

Adaptador Ethernet Conexiones de red inalámbricas :

Estado de los medios. . . .: medios desconectados
Descripción. . . . . . . . . . . : Intel(R) WiFi Link 5100 AGN
Dirección física. . . . . . . . . : 00-16-EA-56-B6-0E

si ejecuto ipconfig/all desde un pc de la lan sin router el resultado es:

C:\Documents and Settings\MOLINA>ipconfig/all

Configuración IP de Windows

Nombre del host . . . . . . . . . : molinaq310
Sufijo DNS principal . . . . . . :
Tipo de nodo . . . . . . . . . . : desconocido
Enrutamiento habilitado. . . . . .: No
Proxy WINS habilitado. . . . . : No
Lista de búsqueda de sufijo DNS: ONTITEL.COM

Adaptador Ethernet Lan Ontitel :

Sufijo de conexión específica DNS : ONTITEL.COM
Descripción. . . . . . . . . . . : Marvell Yukon 88E8055 PCI-E Gigabit
Ethernet Controller
Dirección física. . . . . . . . . : 00-13-77-6E-7F-A4
DHCP habilitado. . . . . . . . . : No
Autoconfiguración habilitada. . . : Sí
Dirección IP. . . . . . . . . . . : 169.254.129.245
Máscara de subred . . . . . . . . : 255.255.0.0
Puerta de enlace predeterminada :169.254.128.1 ( pfsense)
Servidor DHCP . . . . . . . . . . : 169.254.128.2
Servidores DNS . . . . . . . . . .: 169.254.128.2
Concesión obtenida . . . . . . . : lunes, 01 de diciembre de 2008 18:08
:21
Concesión expira . . . . . . . . .: miércoles, 03 de diciembre de 2008 1
8:08:21

Adaptador Ethernet Conexiones de red inalámbricas :

Estado de los medios. . . .: medios desconectados
Descripción. . . . . . . . . . . : Intel(R) WiFi Link 5100 AGN
Dirección física. . . . . . . . . : 00-16-EA-56-B6-0E

espero que te ayude a entender mi red, gracias de nuevo.

salu2.

bellera

¡Hola!

Si no comprendí mal tu montaje …

La LAN de pfSense tiene que estar en el rango de direcciones de tu LAN, cuestión que no parece ser así. Si tu PC de prueba es 192.168.10.11/24 su puerta de enlace no debería ser 192.168.10.1/24. Debería ser la LAN de pfSense, configurada con una IP dentro de la red 192.168.10.0/24.

Al tener tu PC como puerta de enlace tu servidor Linux estás enviando el tráfico saliente hasta él, el cual lo rebota hacia la puerta de enlace que tenga ... No sé si hay una razón para hacer esto pero con la topología que das no la veo.

A parte de esto, 169.254.0.0/16 es un rango para direcciones privadas, pero está reservado. Un equipo que esté configurado por DHCP toma una dirección aleatoria dentro de este rango si no consigue una dirección de un servidor DHCP en la red. No es recomendable trabajar dentro de este rango.

(Véase http://www.ietf.org/rfc/rfc3330.txt y http://www.ietf.org/rfc/rfc3927.txt )

Saludos,

Josep Pujadas

Antonio

Hola Bellera.

Creo que no me explique bien.

la lan del pfsense tiene una ip 169.254.128.1/16 y las ip de la lan para ordenadores o routers de la misma se asignan por dhcp por medio de otro servidor con un rango de 169.254.128.100/16 a 169.254.130.254/16.

En el anterior post que te remiti hay dos pruebas la 1º es de un pc conectado a una red lan que pertenece a un router bufalo que a su vez la wan de este router bufalo esta en mi red de pfsense con una ip de la wan 169.254.5.2 y su gateway es 169.254.128.1( que es el pfsense). por ese motivo el pc tiene una ip de rango 192.168.10.x/24 y su gateway y servidor de dhcp es el propio router bufalo 192.168.10.1/24.

En el 2º caso el pc esta conectado a la lan directa del pfsense con direción ip 169.254.129.245/16 que le asigna mi servidor ems, por dhcp. Por ello en el ip config/all muestra que el servidor de dns y dhcp es 169.254.128.2/16 y el gateway es 169.254.128.1/16 ( que es pfsense).

Me aconsejas que monte el pfsense como servidor de dhcp y dns?

crees que deberia cambiar el rango de ip´s de la red? nunca he tenido problemas con ello.

salu2 y gracias

bellera

¡Hola de nuevo!

Ok, ahora sí entiendo bien toda tu topología …

¿Me aconsejas que monte el pfsense como servidor de dhcp y dns?

No es imprescindible. Puedes dejarlo como lo tienes.

¿crees que deberia cambiar el rango de ip´s de la red? nunca he tenido problemas con ello.

Sí. Estás fuera de normas. No puedo, sin embargo, asegurarte que este sea la causa del problema que tienes.

La norma http://www.ietf.org/rfc/rfc3927.txt lo dice bien claro, 169.254/16 no debe emplearse en configuración manual de IPs ni como rango de direcciones asignadas por un servicio DHCP:

1.6. Alternate Use Prohibition

Note that addresses in the 169.254/16 prefix SHOULD NOT be configured
manually or by a DHCP server. Manual or DHCP configuration may cause
a host to use an address in the 169.254/16 prefix without following
the special rules regarding duplicate detection and automatic
configuration that pertain to addresses in this prefix. While the
DHCP specification [RFC2131] indicates that a DHCP client SHOULD
probe a newly received address with ARP, this is not mandatory.
Similarly, while the DHCP specification recommends that a DHCP server
SHOULD probe an address using an ICMP Echo Request before allocating
it, this is also not mandatory, and even if the server does this,
IPv4 Link-Local addresses are not routable, so a DHCP server not
directly connected to a link cannot detect whether a host on that
link is already using the desired IPv4 Link-Local address.

Ya me dirás si con el cambio se resuelve el problema …

Saludos,

Josep Pujadas

Jhon Martinez

Hola Buenos días.