Netgate Discussion Forum
    • Categories
    • Recent
    • Tags
    • Popular
    • Users
    • Search
    • Register
    • Login

    проблема с маршрутизацией, потери пакетов

    Scheduled Pinned Locked Moved Russian
    23 Posts 2 Posters 1.9k Views
    Loading More Posts
    • Oldest to Newest
    • Newest to Oldest
    • Most Votes
    Reply
    • Reply as topic
    Log in to reply
    This topic has been deleted. Only users with topic management privileges can see it.
    • L
      legsedel
      last edited by legsedel

      Добрый день!

      Есть маршрутизатор с выходом в интернет, PFSENSE 2.6 , 2 WAN (WAN, TTK), LAN (192.168.20.254)
      Есть L3 коммутатор eltex mes2348b, на нем нарезаны 2 VLAN 70 и 50 (192.168.70.0/24 и 192.168.50.0/24 со шлюзами 192.168.70.1/24 и 192.168.50.1/24 соответственно). На VLAN-ах включен relay 192.168.21.3. На VLAN1 (192.168.20.1/23). Шлюз по умолчанию 192.168.20.254 (LAN). Маршрутизация между VLAN50 и VLAN70 настроена на L3 коммутаторе, а маршрутизация между VLAN50, 70 и подсетью 192.168.20.0/23 настроена на PFSENSE. В подсети 192.168.20.0/23 все сервера и часть рабочих станций, один из них контроллер домена, DNS и DHCP (192.168.23.1/23).
      Проблема заключается в том, что когда пингую из подсетей 192.168.50.0/24 (VLAN50) и 192.168.70.0/24 (VLAN70) подсеть 192.168.20.0/23 (любой хост, например 192.168.21.3), происходит потеря пакетов, в обратную сторону нет потерь. Но стоит мне прописать статические маршруты на этих хостах в 20 подсети
      (route ADD 192.168.70.0 MASK 255.255.255.0 192.168.20.1
      route ADD 192.168.50.0 MASK 255.255.255.0 192.168.20.1) , то потеря пакетов прекращается, почему не срабатывает маршрутизация в эти подсети на PFSENSE?

      Скриншоты прилагаю.

      упрощенная схема сети.png
      маршруты pfsense.png
      шлюзы1.png
      статические маршруты1.png
      правила1.png
      трассировка1.png
      ping from vlan.png

      L 1 Reply Last reply Reply Quote 0
      • L
        legsedel @legsedel
        last edited by

        @legsedel

        Добавлю маршрутизацию на коммутаторе L3 и то что происходит на 192.168.21.3 (WireShark)
        маршруты  на L3  коммутаторе.png
        редиректы3.png

        K 1 Reply Last reply Reply Quote 0
        • K
          Konstanti @legsedel
          last edited by Konstanti

          @legsedel
          Здравствуйте
          Попробуйте представить путь пакета туда и обратно в первом случае

          Смотрите , что происходит
          Туда ( хост 192.168.21.3 ничего не знает про сеть 50.0/24)
          192.168.50.163 ->192.168.50.1->192.168.20.1->192.168.21.3
          Обратно
          192.168.21.3->192.168.20.254->192.168.20.1->192.168.50.1->192.168.50.163

          Ничего странного не находите ????
          Поэтому сразу понятно , почему при добавлении стат маршрута нет проблем .....

          В простонародье это называется "асимметричная маршрутизация"
          Используйте исходящий Нат на интерфейсе 192.168.20.1 и будет Ваша проблема решена

          L 1 Reply Last reply Reply Quote 0
          • L
            legsedel @Konstanti
            last edited by

            @Konstanti

            Добрый день!

            Да, я вижу, что пакеты туда и обратно ходят разными путями.
            Исходящий НАТ на интерфейсе 192.168.20.1 не могу сделать, так как это коммутатор L3 (mes2348b), да и зачем внутри сети городить 2-й НАТ?
            Уже стоял НАТ внутри сети, только избавились от него.
            Другой способ выровнять маршрутизацию есть? Как узнать хостам из подсети 192.168.20.0/23 о подсетях 50.0/24 и 70,0/24, не прописывая статические маршруты?

            K 1 Reply Last reply Reply Quote 0
            • K
              Konstanti @legsedel
              last edited by

              @legsedel
              посмотрите тут
              https://docs.netgate.com/pfsense/en/latest/troubleshooting/asymmetric-routing.html

              Может быть это решение подойдет .....
              или .....как вариант ( если у Вас ip адреса хосты получают по dhcp, то есть опция, которая передает статические маршруты )

              Но, по-моему, самый простой путь это, чтобы хосты получали пакеты от 192.168.20.1 ( просто и эффективно)

              или
              отказаться от L3 на коммутаторе , сделать L2 + транковый порт до PF ( и пусть pf маршрутизирует весь трафик)

              L 2 Replies Last reply Reply Quote 0
              • L
                legsedel @Konstanti
                last edited by

                @Konstanti said in проблема с маршрутизацией, потери пакетов:

                посмотрите тут
                https://docs.netgate.com/pfsense/en/latest/troubleshooting/asymmetric-routing.html

                У меня галочка стоит , поэтому это не подойдет.
                обход правил.png

                @Konstanti said in проблема с маршрутизацией, потери пакетов:

                или .....как вариант ( если у Вас ip адреса хосты получают по dhcp, то есть опция, которая передает статические маршруты )

                Какая опция передает статические маршруты, не помните?

                @Konstanti said in проблема с маршрутизацией, потери пакетов:

                или
                отказаться от L3 на коммутаторе , сделать L2 + транковый порт до PF ( и пусть pf маршрутизирует весь трафик)

                Ну это вариант уже "Роутер на палочке" (Router-on-a-Stick), зачем его использовать когда есть L3 коммутатор?

                Может еще есть варианты? Схема сети же совсем простая.......

                K 1 Reply Last reply Reply Quote 0
                • K
                  Konstanti @legsedel
                  last edited by

                  @legsedel

                  https://forum.netgate.com/topic/141005/dhcp-classless-static-route-option-resuelto?_=1614104874229

                  тут посмотрите
                  это на испанском , я переписывался по этому поводу

                  L 1 Reply Last reply Reply Quote 0
                  • L
                    legsedel @Konstanti
                    last edited by legsedel

                    @Konstanti said in проблема с маршрутизацией, потери пакетов:

                    https://forum.netgate.com/topic/141005/dhcp-classless-static-route-option-resuelto?_=1614104874229

                    тут посмотрите
                    это на испанском , я переписывался по этому поводу

                    У меня DHCP сервер на windows server 2016, как я понимаю, опция должна стоять со стороны релея на L3 коммутаторе Option 249, Option 121?

                    K 1 Reply Last reply Reply Quote 0
                    • K
                      Konstanti @legsedel
                      last edited by

                      This post is deleted!
                      1 Reply Last reply Reply Quote 0
                      • L
                        legsedel @Konstanti
                        last edited by

                        @Konstanti said in проблема с маршрутизацией, потери пакетов:

                        .....как вариант ( если у Вас ip адреса хосты получают по dhcp, то есть опция, которая передает статические маршруты )

                        Хотя, как вы сами писали, хосты в 50.0/24 и 70.0/24 знают о подсети 20.0/23, зачем им передавать статические маршруты по dhcp.
                        Вот как узнает подсеть 20.0/23 о других подсетях, ей по хорошему, надо получить на автомате статический маршрут, так же по dhcp!?

                        @Konstanti said in проблема с маршрутизацией, потери пакетов:

                        Но, по-моему, самый простой путь это, чтобы хосты получали пакеты от 192.168.20.1 ( просто и эффективно)

                        Как это сделать?

                        K 1 Reply Last reply Reply Quote 0
                        • K
                          Konstanti @legsedel
                          last edited by

                          @legsedel

                          1 50.0 и 70.0 ничего не нужно знать о других сетях ( для этого у них есть шлюз) - им ничего передавать не надо
                          2 NAT исходящий на интерфейсе 20.1 (тогда хостам в сети 20.0 ничего не надо знать о сетях 50.0 и 70.0 ) Они пакеты будут отправлять обратно на 20.1

                          L 1 Reply Last reply Reply Quote 0
                          • L
                            legsedel @Konstanti
                            last edited by legsedel

                            @Konstanti said in проблема с маршрутизацией, потери пакетов:

                            1 50.0 и 70.0 ничего не нужно знать о других сетях ( для этого у них есть шлюз) - им ничего передавать не надо
                            2 NAT исходящий на интерфейсе 20.1 (тогда хостам в сети 20.0 ничего не надо знать о сетях 50.0 и 70.0 ) Они пакеты будут отправлять обратно на 20.1

                            Единственным, приемлемым решением будет получать по dhcp хостам в подсети 20.0/23 статические маршруты Option по 249, Option 121? Хосты все на винде в основном.
                            А что делать с хостами, у которых ip статические?

                            K 1 Reply Last reply Reply Quote 0
                            • K
                              Konstanti @legsedel
                              last edited by

                              @legsedel
                              Родилась одна идея , к каким хостам из 20.0/23 нужен доступ из 50.0/24 и 70.0/24 ?

                              L 1 Reply Last reply Reply Quote 0
                              • L
                                legsedel @Konstanti
                                last edited by

                                @Konstanti said in проблема с маршрутизацией, потери пакетов:

                                Родилась одна идея , к каким хостам из 20.0/23 нужен доступ из 50.0/24 и 70.0/24 ?

                                Ну это в основном сервера: 1C, SQL сервера, 2 домена, файловые сервера, СКУД. почтовый сервер, NAS, телефония. Порядка 15 серверов.
                                К обычным хостам из 20.0/23 доступ не нужен.

                                K 1 Reply Last reply Reply Quote 0
                                • K
                                  Konstanti @legsedel
                                  last edited by Konstanti

                                  @legsedel
                                  Вообще-то , я имел в виду IP адреса ....
                                  p.s. появилась еще одна идея ....

                                  L 1 Reply Last reply Reply Quote 0
                                  • L
                                    legsedel @Konstanti
                                    last edited by

                                    @Konstanti said in проблема с маршрутизацией, потери пакетов:

                                    Вообще-то , я имел в виду IP адреса ....
                                    p.s. появилась еще одна идея ....

                                    192.168.20.2, 192.168.21.3, 192.168.20.128, 192.168.21.1, 192.168.20.20, 192.168.20.236, 192.168.20.6, 192.168.20.51, 192.168.21.4, 192.168.20.54, 192.168.21.200, 192.168.21.2

                                    K 1 Reply Last reply Reply Quote 0
                                    • K
                                      Konstanti @legsedel
                                      last edited by Konstanti

                                      @legsedel
                                      понятно
                                      1 идея была в том , чтобы все сервера перенести в адресное пространство 192.168.21.0/24
                                      и настроить l3 коммутатор так , чтобы он знал только о сети 192.168.20.0/24 (а pf знает о сети 192.168.20.0/23)
                                      в этом случае, при доступе к ресурсам сети 192.168.21.0/24 -> L3 коммутатор шлет весь трафик на pf ( а тот уже дальше)

                                      идея 2
                                      L3 коммутатор <-> PF соединить выделенной отдельной сетью ( например , 192.168.30.0/24 )
                                      тогда l3 коммутатор ничего не будет знать о сети 192.168.20.0/23 и будет все пакеты слать на pF , а тот уже , в свою очередь , дальше переправлять трафик , куда надо

                                      L 1 Reply Last reply Reply Quote 0
                                      • L
                                        legsedel @Konstanti
                                        last edited by

                                        @Konstanti said in проблема с маршрутизацией, потери пакетов:

                                        1 идея была в том , чтобы все сервера перенести в адресное пространство 192.168.21.0/24
                                        и настроить l3 коммутатор так , чтобы он знал только о сети 192.168.20.0/24 (а pf знает о сети 192.168.20.0/23)
                                        в этом случае, при доступе к ресурсам сети 192.168.21.0/24 -> L3 коммутатор шлет весь трафик на pf ( а тот уже дальше)

                                        Этот вариант не подходит.

                                        @Konstanti said in проблема с маршрутизацией, потери пакетов:

                                        идея 2
                                        L3 коммутатор <-> PF соединить выделенной отдельной сетью ( например , 192.168.30.0/24 )
                                        тогда l3 коммутатор ничего не будет знать о сети 192.168.20.0/23 и будет все пакеты слать на pF , а тот уже , в свою очередь , дальше переправлять трафик , куда надо

                                        это еще одну сетевую карту надо задействовать на PF?

                                        А может использовать динамическую маршрутизацию?

                                        K 1 Reply Last reply Reply Quote 0
                                        • K
                                          Konstanti @legsedel
                                          last edited by Konstanti

                                          @legsedel Vlan ( транковый порт)

                                          Vlan 100 (L3-L2)
                                          Транк L2-PF ( 100 + vlan на сеть 20.0/23)

                                          L 1 Reply Last reply Reply Quote 0
                                          • L
                                            legsedel @Konstanti
                                            last edited by

                                            @Konstanti said in проблема с маршрутизацией, потери пакетов:

                                            Vlan ( транковый порт)

                                            Vlan 100 (L3-L2)
                                            Транк L2-PF ( 100 + vlan на сеть 20.0/23)

                                            Саб интерфейс городить....мдя, как-то все через одно место получается😞

                                            K 1 Reply Last reply Reply Quote 0
                                            • First post
                                              Last post
                                            Copyright 2025 Rubicon Communications LLC (Netgate). All rights reserved.