динамический шлюз



  • Обычная ситуация - два инет провайдера со своими шлюзами.

    Можно ли настроить pfSense, чтобы если один провайдер упал, то весь трафик автоматически пускается по другому? ну, или не автоматически  :)



  • Load Balansing



  • а как одних пустить через один шлюз, а других через второй шлюз? меня вобщем интересует вэб трафик



  • а что такое прозрачный прокси? если а это включу то вэб интерфейс пфсенса будет работать?



  • @fardok:

    а что такое прозрачный прокси? если а это включу то вэб интерфейс пфсенса будет работать?

    Squid - не надо прописывать прокси ю пользователей, HTTP трафик перехватывается на лету
    Вэб интерфейс работать будет.
    С балансингом не дружит, ходит все через WAN.



  • @fardok:

    а как одних пустить через один шлюз, а других через второй шлюз? меня вобщем интересует вэб трафик

    Policy Routing rules (выбираем нужный шлюз в правилах). Тогда зачем балансинг?



  • @dvserg:

    @fardok:

    а что такое прозрачный прокси? если а это включу то вэб интерфейс пфсенса будет работать?

    Squid - не надо прописывать прокси ю пользователей, HTTP трафик перехватывается на лету
    Вэб интерфейс работать будет.
    С балансингом не дружит, ходит все через WAN.

    как это не надо прописывать проксю? имеется в виду что надо поставить галочку в автоматическое определение настроек прокси?



  • @dvserg:

    @fardok:

    а как одних пустить через один шлюз, а других через второй шлюз? меня вобщем интересует вэб трафик

    Policy Routing rules (выбираем нужный шлюз в правилах). Тогда зачем балансинг?

    два шлюза. чась пользователей на одном часть на другом. - это похоже через правила nat прописывается?
    и вот один шлюз вылетел. надо чтобы все пользователи автоматически\вручную пересели на другой шлюз. а потом вернулись на прежний после починки



  • поставил Haproxy

    документации по нему ноль. есть англ но ее тонну перелопачивать

    ну почему в вэб интерфейсе нет мааленького описания что такое backend sever и чем он отличается от просто server? мазафака!



  • @fardok:

    как это не надо прописывать проксю? имеется в виду что надо поставить галочку в автоматическое определение настроек прокси?

    Нет, не нужно прописывать у пользователей и браузере - тоесть они ходят как-бы напрямую. Правилами файрвола все запросы на 80 порт отлавливаются и загибаются на прокси.



  • два шлюза. чась пользователей на одном часть на другом. - это похоже через правила nat прописывается?
    и вот один шлюз вылетел. надо чтобы все пользователи автоматически\вручную пересели на другой шлюз. а потом вернулись на прежний после починки

    Нет не нат. Это есть в Rules. Прописываем на Lan разрешения для группы адресов и выбираем нужный шлюз. НО! с вылетами такое не получиться. просто узеры, которые ходят через вылетевший шлюз будут сидеть без инета.
    –-
    Изучите LoadBalansing - возможно вам удасться настроить его под ваши нужды без PolicyRouting



  • вобщем я сделал по простому
    LAN - 192.168.2.3
    WAN -  192.168.2.30 gateway 192.168.2.2
    WAN1- 192.168.2.31 gateway 192.168.2.12

    поднял LoadBalacer (нихера не работает кажется и как это понять неизвестно)
    поднял прокси - то работает, то не работает, то тормозит. и неизвестно LoadBalancer както влияет на прокси или ему по барабану?



  • Ну это слишком по простому. Ваши 3 сети Wan/Lan/Wan1 принадлежат одной подсети 192,168,2,* !
    Сделайте их разными
    192,168,1,0/24
    192,168,2,0/24
    192,168,3,0/24



  • @dvserg:

    Ну это слишком по простому. Ваши 3 сети Wan/Lan/Wan1 принадлежат одной подсети 192,168,2,* !
    Сделайте их разными
    192,168,1,0/24
    192,168,2,0/24
    192,168,3,0/24

    я в курсе что в одной подсети. но так и задумывалось)



  • @fardok:

    @dvserg:

    Ну это слишком по простому. Ваши 3 сети Wan/Lan/Wan1 принадлежат одной подсети 192,168,2,* !
    Сделайте их разными
    192,168,1,0/24
    192,168,2,0/24
    192,168,3,0/24

    я в курсе что в одной подсети. но так и задумывалось)

    Ну тогда ой - говорить чтО не правильно и почему не стану.



  • чето лоад балансинг не пашет как надо



  • @dvserg:

    два шлюза. чась пользователей на одном часть на другом. - это похоже через правила nat прописывается?
    и вот один шлюз вылетел. надо чтобы все пользователи автоматически\вручную пересели на другой шлюз. а потом вернулись на прежний после починки

    Нет не нат. Это есть в Rules. Прописываем на Lan разрешения для группы адресов и выбираем нужный шлюз. НО! с вылетами такое не получиться. просто узеры, которые ходят через вылетевший шлюз будут сидеть без инета.
    –-
    Изучите LoadBalansing - возможно вам удасться настроить его под ваши нужды без PolicyRouting

    Почему не получится? LoadBalancer - этот тот же Policy Routing. всё будет работаеть, если конечно сломать железную волю человека, который "всё так и задумывал" -)



  • @Eugene:

    @dvserg:

    два шлюза. чась пользователей на одном часть на другом. - это похоже через правила nat прописывается?
    и вот один шлюз вылетел. надо чтобы все пользователи автоматически\вручную пересели на другой шлюз. а потом вернулись на прежний после починки

    Нет не нат. Это есть в Rules. Прописываем на Lan разрешения для группы адресов и выбираем нужный шлюз. НО! с вылетами такое не получиться. просто узеры, которые ходят через вылетевший шлюз будут сидеть без инета.
    –-
    Изучите LoadBalansing - возможно вам удасться настроить его под ваши нужды без PolicyRouting

    Почему не получится? LoadBalancer - этот тот же Policy Routing. всё будет работаеть, если конечно сломать железную волю человека, который "всё так и задумывал" -)

    болтуны. пошли вон отсюда



  • @fardok:

    болтуны. пошли вон отсюда

    В ответ могу предложить магистру пройтись покурить маны по основам сетей и подумать над вопросом почему у него ничего не получается с одинаковыми подсетями на всех интерфейсах. Волшебных маршрутов, кроме исконно русских, в жизни не бывает.



  • @fardok:

    болтуны. пошли вон отсюда

    Какая странная реакция на искренние и миролюбивые попытки принести доброе и светлое знание в то, что у вас называется головой. -)





  • fardok, поищи в форумах PFSENSE (Search -> Advanced Search) посты от dvserg, Eugene, zar0ku1. Почитай и возможно появится желание извиниться за болтуны. пошли вон отсюда.
    Ищи не только в русскоязычном, но и в english…



  • прочитал топ, плачу… спасибо idelta, что я есть в твоем списке, аж прям прослезился...

    а что такое прозрачный прокси? если а это включу то вэб интерфейс пфсенса будет работать?

    подстулом

    как это не надо прописывать проксю? имеется в виду что надо поставить галочку в автоматическое определение настроек прокси?

    человек, тебя на google.com и wikipedia.org видать забанили и ты сюда пришел?



  • Доброго времени суток…
    Сразу сознаюсь - в linux я новичок, поэтому могу не знать очевидных вещей :) но очень хочу научиться.
    Ситуация такая:
    есть LAN 192.168.10.1-254,
    есть WAN1 - 212.111.204.* - оптика.
    Есть WAN2 - ADSL модем, работает в режиме роутера, IP динамический - меняется раз в сутки, на его LAN интерфейсе выставлен 192.168.1.254, но можно задать любой.
    WAN1 - основной провайдер, WAN2 резервный. Все это заведено через роутер с IPCOP-ом, на который пароль давно потерян еще до меня... Конечно же роутер этот WAN2 не видит в упор, ящик опломбирован, лезть туда низзя... Собрал пока что второй роутер, который при успешной настройке просто поставлю вместо первого.
    Суть проблемы такова: последнее время WAN1 начал подозрительно часто падать. Соответственно, необходимо, чтобы в момент "падения" WAN1 роутер отправлял весь траффик на WAN2 - причем автоматически.
    Поставил на роутер pfsense. Как настроить вышеописанное? Ну и какие мануалы почитать? Спасибо!



  • Создайте лучше новую тему, а то предыдущий оратор всех обгадил и свалил.
    пфСенсе на ФриБСД.
    По теме http://doc.pfsense.org/index.php/Multi_WAN_/_Load_Balancing.
    А еще было много на самом форуме, просто надо поискать.



  • во-первых, спасибо за мануал, очень помог! :) но возникли некоторые трудности.
    значит, сдела все по мануалу, за исключением некоторых пунктов, а именно:

    • у меня 1 адсл-модем, который резервный канал, висит на орт1.
    • мне не нужно распределение нагрузки между интерфейсами, потому не прописал соотв. пункты тут:
      http://doc.pfsense.org/images/0/0c/LoadBalance.jpg
      и тут:
      http://doc.pfsense.org/images/6/6e/FirewallRulesLan.jpg
      сосбтвенно дошел до этого пункта. Инет с оптики пошел, переключение на адсл по отказу пинга с гейтвэя оптики работает, а вот дальше… а дальше ситуация такая: сам адсл модем пингуется, но дальше него пинг не идет. Причем, если сам модем подключить к клиенту напрямую - все работает. Модем Huawei MT880...
      Возможно, нужно выложить логи? оптика отключена, модем онлайн, но тоже пишет что link down (не пингуется днс провайдера по вышеописанной причине):
      Вот diagnostics->routing table
      ipv4
      default 212.111.204.65 UGS 0 747 1500 ed1  
      127.0.0.1 127.0.0.1 UH 0 0 16384 lo0  
      192.168.10.0/24 link#1 UC 0 0 1500 ed0  
      192.168.10.133 00:1e:68:02:83:b1 UHLW 1 1128 1500 ed0 1193
      192.168.50.0/24 link#3 UC 0 1 1500 ed2  
      192.168.50.1 00:18:02:02:20:b6 UHLW 1 621 1500 ed2 1183
      212.111.204.64/29 link#2 UC 0 0 1500 ed1  
      212.111.204.65 link#2 UHLW 2 0 1500 ed1  
      IPv6
      Destination Gateway Flags Refs Use Mtu Netif Expire
      ::1 ::1 UHL 1 0 16384 lo0  
      fe80::%ed0/64 link#1 UC 0 0 1500 ed0  
      fe80::250:baff:fee0:9ddd%ed0 00:50:ba:e0:9d:dd UHL 1 0 1500 lo0  
      fe80::%ed1/64 link#2 UC 0 0 1500 ed1  
      fe80::250:baff:fedc:1a8c%ed1 00:50:ba:dc:1a:8c UHL 1 0 1500 lo0  
      fe80::%ed2/64 link#3 UC 0 0 1500 ed2  
      fe80::250:baff:fedc:21f2%ed2 00:50:ba:dc:21:f2 UHL 1 0 1500 lo0  
      fe80::%lo0/64 fe80::1%lo0 U 0 0 16384 lo0  
      fe80::1%lo0 link#6 UHL 1 0 16384 lo0  
      ff01:1::/32 link#1 UC 0 0 1500 ed0  
      ff01:2::/32 link#2 UC 0 0 1500 ed1  
      ff01:3::/32 link#3 UC 0 0 1500 ed2  
      ff01:6::/32 ::1 UC 0 0 16384 lo0  
      ff02::%ed0/32 link#1 UC 0 0 1500 ed0  
      ff02::%ed1/32 link#2 UC 0 0 1500 ed1  
      ff02::%ed2/32 link#3 UC 0 0 1500 ed2  
      ff02::%lo0/32 ::1 UC 0 0 16384 lo0  
      Вот Show States
       Proto    Source -> Router -> Destination    State    
      udp 192.168.10.255:138 <- 192.168.10.133:138 NO_TRAFFIC:SINGLE  
      udp 212.111.204.68:37337 -> 168.95.1.1:53 SINGLE:NO_TRAFFIC  
      udp 212.111.204.68:53553 -> 82.207.67.6:53 SINGLE:NO_TRAFFIC  
      udp 168.95.1.1:53 <- 192.168.10.133:64785 NO_TRAFFIC:SINGLE  
      udp 192.168.10.133:64785 -> 212.111.204.68:56629 -> 168.95.1.1:53 SINGLE:NO_TRAFFIC  
      udp 213.227.224.194:53 <- 192.168.10.133:64785 NO_TRAFFIC:SINGLE  
      udp 192.168.10.133:64785 -> 212.111.204.68:52343 -> 213.227.224.194:53 SINGLE:NO_TRAFFIC  
      icmp 212.111.204.68:16670 -> 212.111.204.65 0:0  
      icmp 212.111.204.68:17438 -> 212.111.204.65 0:0  
      udp 212.111.204.68:1459 -> 168.95.1.1:53 SINGLE:NO_TRAFFIC  
      icmp 212.111.204.68:18462 -> 212.111.204.65 0:0  
      icmp 212.111.204.68:19230 -> 212.111.204.65 0:0  
      udp 212.111.204.68:60538 -> 82.207.67.6:53 SINGLE:NO_TRAFFIC  
      icmp 212.111.204.68:20254 -> 82.207.67.6 0:0  
      tcp 192.168.10.254:80 <- 192.168.10.133:51255 ESTABLISHED:ESTABLISHED  
      вот логи файрвола, на всех нижеследующих пунктах действие: запрет
      Last 50 firewall log entries
      Act Time If Source Destination Proto
       Dec 9 16:42:16 OPT1 192.168.50.1 224.0.0.1 IGMP
       Dec 9 16:42:59 OPT1 192.168.50.1 224.0.0.1 IGMP
       Dec 9 16:44:21 OPT1 192.168.50.1 224.0.0.1 IGMP
       Dec 9 16:45:04 OPT1 192.168.50.1 224.0.0.1 IGMP
       Dec 9 16:46:26 OPT1 192.168.50.1 224.0.0.1 IGMP
       Dec 9 16:47:09 OPT1 192.168.50.1 224.0.0.1 IGMP
       Dec 9 16:54:46 OPT1 192.168.50.1 224.0.0.1 IGMP
       Dec 9 16:54:55 OPT1 207.46.31.61:80 192.168.50.2:50933 TCP
       Dec 9 16:55:29 OPT1 192.168.50.1 224.0.0.1 IGMP
       Dec 9 16:56:31 OPT1 95.135.15.79:2285 192.168.50.2:23 TCP
       Dec 9 16:56:34 OPT1 95.135.15.79:2285 192.168.50.2:23 TCP
       Dec 9 16:56:51 OPT1 192.168.50.1 224.0.0.1 IGMP
       Dec 9 16:57:30 OPT1 95.215.238.151:63214 192.168.50.2:3038 TCP
       Dec 9 16:57:31 OPT1 95.215.238.151:63214 192.168.50.2:3038 TCP
       Dec 9 16:57:32 OPT1 95.215.238.151:63214 192.168.50.2:3038 TCP
       Dec 9 16:57:33 OPT1 95.215.238.151:63214 192.168.50.2:3038 TCP
       Dec 9 16:57:34 OPT1 192.168.50.1 224.0.0.1 IGMP
       Dec 9 16:57:34 OPT1 95.215.238.151:63214 192.168.50.2:3038 TCP
       Dec 9 16:57:35 OPT1 95.215.238.151:63214 192.168.50.2:3038 TCP
       Dec 9 16:57:37 OPT1 95.215.238.151:63214 192.168.50.2:3038 TCP
       Dec 9 16:57:41 OPT1 95.215.238.151:63214 192.168.50.2:3038 TCP
       Dec 9 16:57:49 OPT1 95.215.238.151:63214 192.168.50.2:3038 TCP
       Dec 9 16:57:51 OPT1 110.255.52.149:27381 192.168.50.2:18428 UDP
       Dec 9 16:58:05 OPT1 95.215.238.151:63214 192.168.50.2:3038 TCP
       Dec 9 16:58:40 OPT1 218.88.72.102:13263 192.168.50.2:15442 UDP
       Dec 9 16:58:53 OPT1 91.74.82.202:51181 192.168.50.2:23343 TCP
       Dec 9 16:58:53 OPT1 91.74.82.202:51181 192.168.50.2:23343 TCP
       Dec 9 16:58:54 OPT1 91.74.82.202:51181 192.168.50.2:23343 TCP
       Dec 9 16:58:55 OPT1 91.74.82.202:51181 192.168.50.2:23343 TCP
       Dec 9 16:58:56 OPT1 91.74.82.202:51181 192.168.50.2:23343 TCP
       Dec 9 16:58:56 OPT1 192.168.50.1 224.0.0.1 IGMP
       Dec 9 16:58:57 OPT1 91.74.82.202:51181 192.168.50.2:23343 TCP
       Dec 9 16:58:59 OPT1 91.74.82.202:51181 192.168.50.2:23343 TCP
       Dec 9 16:59:03 OPT1 91.74.82.202:51181 192.168.50.2:23343 TCP
       Dec 9 16:59:12 OPT1 91.74.82.202:51181 192.168.50.2:23343 TCP
       Dec 9 16:59:28 OPT1 91.74.82.202:51181 192.168.50.2:23343 TCP
       Dec 9 17:00:42 OPT1 95.133.19.27:3203 192.168.50.2:445 TCP
       Dec 9 17:00:56 OPT1 63.80.4.35:80 192.168.50.2:50951 TCP
       Dec 9 17:00:57 OPT1 63.80.4.35:80 192.168.50.2:50951 TCP
       Dec 9 17:00:58 OPT1 63.80.4.35:80 192.168.50.2:50951 TCP
       Dec 9 17:01:04 OPT1 203.69.113.19:80 192.168.50.2:50935 TCP
       Dec 9 17:01:05 OPT1 203.69.113.19:80 192.168.50.2:50935 TCP
       Dec 9 17:01:07 OPT1 203.69.113.19:80 192.168.50.2:50935 TCP
       Dec 9 17:01:22 OPT1 89.163.123.150:36438 192.168.50.2:45121 TCP
       Dec 9 17:01:25 OPT1 89.163.123.150:36438 192.168.50.2:45121 TCP
       Dec 9 17:01:31 OPT1 89.163.123.150:36438 192.168.50.2:45121 TCP
       Dec 9 17:01:43 OPT1 89.163.123.150:36438 192.168.50.2:45121 TCP
       Dec 9 17:01:48 OPT1 95.135.15.53 192.168.50.2 ICMP
       Dec 9 17:02:07 OPT1 89.163.123.150:36438 192.168.50.2:45121 TCP
       Dec 9 17:02:56 OPT1 80.251.50.3:46150 192.168.50.2:666 TCP

    что-то я упустил? Где закралась ошибка? Помогите пожалуйста, заранее благодарен.



  • перекинул модем в режим бриджа и поставил его на WAN1. Переделал по более новой инструкции отсюда: http://doc.pfsense.org/index.php/MultiWanVersion1.2
    Вроде заработало… Но не совсем... При отключении WAN1 всё отлично, пакеты идут на OPT1, да... но ДНС pfsense решительно пытается выцарапать из WAN1... хотя я в general settings пробовал прописывать все - и обоих провайдеров, и даже интернетовские, типа 168.95.1.1 :o и вообще творятся странные вещи. Например, адрес forum.pfsense.org ни с роутера, ни с клиента не пингуются, но по форуму лазаю нормально...



  • Про DNS - а галочка на Allow DNS server list to be overridden by DHCP/PPP on WAN
    в System->General Setup стоит?


Log in to reply