Policy routing

[alexandrnew]

как сделать простой policy routing? есть два WAN канала, мне надо что бы пакеты пришедшие по одому wan на него же и возвращались…. а они идут в шлюз по умолчанию, причем это надо не для локальной сети а для самого пфсенса...

[dvserg]

Вопрос не ясен. Может ситуацию опишешь?

[alexandrnew]

есть два провайдера интерфейсы wan и opt1 , есть впн клиенты (ipsec mobile) - надо что бы эти клиенты могли подключаться по  двум провайдерам, сейчас если отваливается интерфейс wan - то перестает отвечать и opt1, так как маршрут по умолчанию идет через  wan, мне надо что бы каналы работали независимо друг от друга, т.е работают оба, или один или второй - клиенты могут подключится…

[dvserg]

Клиенты со стороны LAN ?

[alexandrnew]

нет, клиенты со стороны интернета

[dvserg]

@alexandrnew:

нет, клиенты со стороны интернета

А куда подключаются? На WAN или OPT ?

[alexandrnew]

сейчас на WAN, но могут и на OPT, но при отключении канала WAN, они не могут подключится на OPT, и он перестает тоже пинговаться (по маршрутам пакеты пытаются выйти через WAN)

[dvserg]

@alexandrnew:

сейчас на WAN, но могут и на OPT, но при отключении канала WAN, они не могут подключится на OPT, и он перестает тоже пинговаться (по маршрутам пакеты пытаются выйти через WAN)

Нужно смотреть ваши правила на интерфейсах.
Полис-роутинг имеет смысл при доступе пользователей Lan > inet. И это жесткая привязка (альтернатива - load balansing). Для внешних пользователей, при правильных настройках, должно быть доступно подключение и на OPT и на WAN вне зависимости друг от друга (есс-нно если канал поднят).

[alexandrnew]

какие именно надо правила?
почему тогда перестает пинговаться воторй канал если ложится первый?

[dvserg]

@alexandrnew:

какие именно надо правила?
почему тогда перестает пинговаться воторй канал если ложится первый?

Все правила
Пинговаться откуда - из лана или из Wan? Опять-же трудно сказать не виды ваших правил

[alexandrnew]

пинговаться из интернета
приаттачил скрины правил
ипы позатирал …..
wan - первый провайтер, где собственно прописан шлюз по умолчанию
GT opt2 -воторй провайдер
wan2msg opt1 - дружественная сеть - на нее прописан статистич. маршрут

[alexandrnew]

так что делать? подскажите плиз…
от имени какого интерфейса\ип адреса работает ipsec? как правильное правило создать?

[alexandrnew]

роуты и нат

[alexandrnew]

так как сделать policy routing  для входящего ipsec трафика?

[Eugene]

На OPT2 (второй провайдер) default gateway прописан?