Работа OSPF маршрутов


  • @Moron
    Скрины правил fw на ВСЕХ интерфейсах + правила NAT + таблицу марш-ции пф покажите.


  • @werter said in Работа OSPF маршрутов:

    @Moron
    Скрины правил fw на ВСЕХ интерфейсах + правила NAT + таблицу марш-ции пф покажите.

    51a1f6e5-453d-46d0-b3a3-73107868f578-image.png

    a82d6254-85ae-43a5-9563-552c4df0eb0d-image.png

    54e42444-8b54-4da9-872c-50d2f03edee0-image.png

    721780fe-2c51-4014-836c-5d323e6d388b-image.png

    020b26cb-ce6a-45f9-8c09-7934af5b625e-image.png

    70f76a9f-80cb-4b0a-aebe-8966247b0979-image.png

    c65abb54-0aec-4c10-a970-4e7a46cf91c4-image.png

    549fe98f-031f-4c3d-aea5-80e90b6131c2-image.png

    9a4f75ef-ded1-48ee-ac85-587210dbdcd5-image.png

    fc42afaa-2357-4ae8-9cc2-a9b9cf3f8e53-image.png

    e2d51ac1-11b8-4e86-9778-6b98c69ac1b5-image.png


  • @Moron

    LAN вроде Passive должен быть? Галка не стоит.

    Тут https://forum.netgate.com/topic/147028/два-провайдера-и-openvpn-клиент/68?_=1606214566753 настраивал ospf (frr). Сравните скрины со своими. У меня с овпн работало.

    Зы. В Monitor ip НЕ ПОЛЬЗУЙТЕ шлюз пров-а. Пользуйте , напр., ip гугло-днс (8.8.8.8). Потому что доступность gw про-ва НЕ ВСЕГДА подразумевает наличие Инета.


  • @Moron
    Если не выгорит, то я бы рискнул перевести 1-2-3 филиала на овпн (да-да, только tcp и вот это вот всё или ROS 7 beta и овпн по udp) и попробовать связку ovpn +ospf.


  • @werter said in Работа OSPF маршрутов:

    @Moron
    Если не выгорит, то я бы рискнул перевести 1-2-3 филиала на овпн (да-да, только tcp и вот это вот всё или ROS 7 beta и овпн по udp) и попробовать связку ovpn +ospf.

    Совершенно не приемлю использование OVPN для связи офисов при наличии в каждом IP адесов

    LAN вроде Passive должен быть? Галка не стоит.

    Поставил пассив, объявляю подключенный маршрут. Но все равно не работает.

    Тут https://forum.netgate.com/topic/147028/два-провайдера-и-openvpn-клиент/68?_=1606214566753 настраивал ospf (frr). Сравните скрины со своими. У меня с овпн работало.

    У вас овпн подключается к самому шлюзу и он один, у меня такая схема работает без проблем

    Зы. В Monitor ip НЕ ПОЛЬЗУЙТЕ шлюз пров-а. Пользуйте , напр., ip гугло-днс (8.8.8.8). Потому что доступность gw про-ва НЕ ВСЕГДА подразумевает наличие Инета.

    pfSense стоит в датацентре, так что шлюз либо доступен, либо недоступен

    Главный вопрос - как они начинает работать при полностью отключенном firewall, что-то ведь пускает ICMP в обе стороны, но при этом остальной трафик только в одну сторону


  • Главный вопрос - как они начинает работать при полностью отключенном firewall, что-то ведь пускает ICMP в обе стороны, но при этом остальной трафик только в одну сторону

    Вкл. логирование на fw и смотрите что там происходит. Пробуйте tracert и с пф и с клиента ЗА пф. Только помните, что tracert в никсах по-дефолту работает по udp.

    Совершенно не приемлю использование OVPN для связи офисов при наличии в каждом IP адесов

    Наличие адресов тут роли не играет (нужет только один "реальный" ip).
    Овпн гибче в настройках, чем ипсек - один порт, можно иметь нес-ко овпн на одном интерфейсе, умеет и tcp и udp, умеет L2 (tap) + L3 (tun), умеет через прокси, умеет "шарить" порт между http, ssh и ovpn, умеет пушить роуты клиентам. В свежем 2.5.0 появилось много вкусного www.opennet.ru/opennews/art.shtml?num=53981
    Из минусов овпн вижу, что не все железо из-коробки его умеет. Из плюсов же ипсек только нативная поддержка на множестве оборудования (и то только потому, что ипсек появился раньше) и наличие прямо в никсовом ядре.

    Зы. Три основные команды одмина - ping, tracert, nslookup ))


  • @Moron
    Еще раз все внимательно посмотрел
    Что-то мне подсказывает , что у Вас ассиметричная маршрутизация присутствует
    Поэтому и не работает ваша схема в одну сторону
    Какой шлюз по умолчанию у хостов сети 10.1.0.0/24 ?


  • @Konstanti said in Работа OSPF маршрутов:

    @Moron
    Еще раз все внимательно посмотрел
    Что-то мне подсказывает , что у Вас ассиметричная маршрутизация присутствует
    Поэтому и не работает ваша схема в одну сторону
    Какой шлюз по умолчанию у хостов сети 10.1.0.0/24 ?

    Шлюз 10.1.0.1, как раз тот pfSense
    Верно, ассиметричная, пакет не обязательно должен идти тем же путем :)
    CHR отправляет запрос сразу на хост, хост отвечает уже через pfSense.
    Чтобы эта схема работала, включен Bypass firewall rules for traffic on the same interface
    Маршруты через OSPF приходят аналогичные, что я прописываю руками, но без прописывания руками трафик ходит только в одну сторону, ICMP при этом в обе стороны. А если вообще выключить фаервол, весь трафик ходит нормально во все стороны.


  • @Moron
    Вот смотрите ,
    к серверу от офиса
    192.168.12.0/24->10.1.0.2->10.1.0.25
    и обратно
    10.1.0.25->10.1.0.1->10.1.0.2->192.168.12.0/24
    видите разницу ?

    сервер всегда ждет ответный пакет от 10.1.0.1 ( а получает ответы напрямую от 10.1.0.2 )
    тут нужен NAT Reflection , по-моему ( чтобы 10.1.0.2 слал пакеты 10.1.0.1, а не напрямую 10.1.0.25)
    или проще на сервере прописать 1 статический маршрут
    192.168.0.0/16 через 10.1.0.2


  • @Konstanti said in Работа OSPF маршрутов:

    @Moron
    Вот смотрите ,
    к серверу от офиса
    192.168.12.0/24->10.1.0.2->10.1.0.25
    и обратно
    10.1.0.25->10.1.0.1->10.1.0.2->192.168.12.0/24
    видите разницу ?

    Разницу вижу и понимаю, pfSense должно быть все равно, что пакет идет другим путем, но ему становится все равно когда я выключаю полностью farewall

    сервер всегда ждет ответный пакет от 10.1.0.1 ( а получает ответы напрямую от 10.1.0.2 )

    Тогда почему при статичном маршруте работает?

    тут нужен NAT Reflection , по-моему ( чтобы 10.1.0.2 слал пакеты 10.1.0.1, а не напрямую 10.1.0.25)

    Вижу, что проблема в фаерволе, pfSense блочит, а городить NAT не правильный подход

    c8598d00-477c-4313-b608-3332479b633d-image.png


  • @Moron
    абсолютно верно
    у вас по таблице состояний не было первого пакета ( он пошел напрямую к серверу)
    а флаги в правиле выставлены только на syn пакет
    поэтому он блочит syn-ask ( ассиметричная маршрутизация )

    если так хочется гонять трафик через pf
    попробуйте так в правиле lan интерфейса
    7b94d778-69c2-41b4-847f-06adf8676c5e-image.png


  • @Moron said in Работа OSPF маршрутов:

    Вижу, что проблема в фаерволе, pfSense блочит, а городить NAT не правильный подход

    Так это вы сами такое делаете
    Сделайте проще , пропишите 1 статический маршрут на сервере , и все , проблема решена
    192.168.0.0/16 через 10.1.0.2


  • @Konstanti said in Работа OSPF маршрутов:

    @Moron said in Работа OSPF маршрутов:

    Вижу, что проблема в фаерволе, pfSense блочит, а городить NAT не правильный подход

    Так это вы сами такое делаете
    Сделайте проще , пропишите 1 статический маршрут на сервере , и все , проблема решена
    192.168.0.0/16 через 10.1.0.2

    У меня так и прописано, чтобы работало. Но меня это не устраивает, т.к. могут быть вообще разные сети и каждую прописывать при наличии OSPF не правильно.

    попробуйте так в правиле lan интерфейса
    Не помогает, все равно не получается игнорировать LAN трафик


  • @Moron
    Вы сейчас сами усложняете себе жизнь
    Но , это Ваше право
    если отключить проверку флагов в правиле LAN интерфейса - есть заблокированные пакеты в логах или нет ?
    а если так сделать ? ( tcp flags и state type)
    f0bee5e3-d808-4a50-973a-85e2bbe8aaac-image.png

    или еще вариант решения - разнести сервер и chr в разные сети ( с помощью vlan )


  • @Konstanti said in Работа OSPF маршрутов:

    @Moron
    Вы сейчас сами усложняете себе жизнь
    Но , это Ваше право

    Это не усложнение жизни, а распределение шлюзов по серверам) На том же CHR вообще проблем нет и все работает... pfSense никак не могу побороть, а оставлять без фаервола это смерть.

    если отключить проверку флагов в правиле LAN интерфейса - есть заблокированные пакеты в логах или нет ?
    а если так сделать ? ( tcp flags и state type)
    f0bee5e3-d808-4a50-973a-85e2bbe8aaac-image.png

    или еще вариант решения - разнести сервер и chr в разные сети ( с помощью vlan )

    Вообще самый крайний вариант. Изучаю https://docs.netgate.com/pfsense/en/latest/troubleshooting/asymmetric-routing.html


  • State type=Sloppy ?


  • @werter said in Работа OSPF маршрутов:

    State type=Sloppy ?

    Все варианты состояния попробовал


  • @Moron
    А почему нельзя разнести CHR и сервер по разным сетям ? Например , с помощью VLAN и PF ? И проблема решена . Заодно
    изолируете сервер от второй точки выхода в инет. По-моему , сейчас Вы идете очень извилистым путем


  • @Konstanti said in Работа OSPF маршрутов:

    @Moron
    А почему нельзя разнести CHR и сервер по разным сетям ? Например , с помощью VLAN и PF ? И проблема решена . Заодно
    изолируете сервер от второй точки выхода в инет. По-моему , сейчас Вы идете очень извилистым путем

    Потому, что мой вариант на 146% рабочий если заменить pfSense на CHR, но мне это никто не даст сделать, как и разнести по vlan.
    По этому ищу причину почему трафик не ходит


  • @Moron
    Попробуйте сделать так

    1. отключаем эту опцию
      66688225-10e8-48d0-adeb-f31c2b954a63-image.png
    2. создаем floating правило для Lan интерфейса
      953680d4-7b26-423c-bcb8-207965e91896-image.png
      04538c5c-b06c-47e1-a03d-f87121a8df83-image.png

    проверяем с разными state type ( и есть ли какие-нибудь записи о блокировке пакетов в журналах файрвола ? )

    • так как у Вас PF запускается на виртуальной машине , то можно отключить еще и вот такую опцию
      0c200de3-33c7-445b-a90a-85d91b59e31b-image.png

    • запустите tcpdump на Lan интерефейсе pf ( если можно , то покажите )


  • @Konstanti said in Работа OSPF маршрутов:

    @Moron
    Попробуйте сделать так

    1. отключаем эту опцию
      66688225-10e8-48d0-adeb-f31c2b954a63-image.png
    2. создаем floating правило для Lan интерфейса
      953680d4-7b26-423c-bcb8-207965e91896-image.png
      04538c5c-b06c-47e1-a03d-f87121a8df83-image.png

    проверяем с разными state type ( и есть ли какие-нибудь записи о блокировке пакетов в журналах файрвола ? )

    • так как у Вас PF запускается на виртуальной машине , то можно отключить еще и вот такую опцию
      0c200de3-33c7-445b-a90a-85d91b59e31b-image.png

    Моей радости нет предела! Правило в Floating помогло!


  • @Moron

    Моей радости нет предела! Правило в Floating помогло!

    Точно ?

    Может помогло это ?

    @Konstanti said in Работа OSPF маршрутов:

    так как у Вас PF запускается на виртуальной машине , то можно отключить еще и вот такую опцию

    Есть ли возможность проверить?

    Зы. Ого. Так у ТС пф как ВМ? Я к тому что галка на Disable hw offload - это ПЕРВОЕ, что делают при развертывание пф как ВМ. И это описано в вики пф.


  • @werter said in Работа OSPF маршрутов:

    @Moron

    Моей радости нет предела! Правило в Floating помогло!

    Точно ?

    Точно, у меня 2 места с такой пробоемой и правило в Floating сработало

    Может помогло это ?

    @Konstanti said in Работа OSPF маршрутов:

    так как у Вас PF запускается на виртуальной машине , то можно отключить еще и вот такую опцию

    Есть ли возможность проверить?

    Зы. Ого. Так у ТС пф как ВМ? Я к тому что галка на Disable hw offload - это ПЕРВОЕ, что делают при развертывание пф как ВМ. И это описано в вики пф.

    Было отключено изначально, везде про это пишут