Pf 2.0 Release непонятно себя ведет…



  • Доброго времени суток, форумчане. Помогите пожалуйста. Картина такая: есть сеть 192.168.150.0/24, территориально она делится на 2-е части (назовем сеть А и сеть Б), раньше эти 2-е части были соединены кабелем (UTP5) и все работало, сейчас же по техническим причинам пришлось это расстояние закрывать Wi-Fi антеннами. В пределах этой сети есть 2 Pfsens'а аналогично настроенных (разве что на одном из них 3 внешних интерфейса а на другом 2 внешних), каждый из pf работает на своей стороне. Так вот до того как сеть была "сделана" полностью из кабеля:) любой пользак из любой части сети мог попасть на любой pf и юзать инет. Сейчас же ситуация мне не понятная возникла: Если из сети "А" попробывать перенастроиться шлюзом на pf тот что в сети "Б", то видно что пинги до данного сервера идут отлично а вот запрос наружу уже не проходит…. по tracert'у видно что даже шлюз провайдера молчит на запросы, тогда как люди из сети "Б" тут же параллельно удачно пользуются данным сервером и инетом, и так же если человек из сети "Б" настроится на pf тот что в сети "А" получает тот же инет и все у него работает. Тоесть проблема в сервере который настроен в сети "Б", если рассуждать логично. А изначально мне казалось что в этом виноваты антенны Wi-Fi (хотя они настроены в бридже и до того что идет через них им нет никакого дела).

    з.ы. если кого то запутал, извиняюсь, просто попробывал нарисовать картину сложившегося:) Заранее спасибо за советы.



  • Нарисовать это хорошая идея.



  • @panika:

    А изначально мне казалось что в этом виноваты антенны Wi-Fi (хотя они настроены в бридже и до того что идет через них им нет никакого дела).

    Уже давненько столкнулся со схожей проблемой. Поведение бриджа действительно непредсказуемое!

    http://forum.pfsense.org/index.php/topic,34908.15.html



  • @dvserg:

    Нарисовать это хорошая идея.

    Вот как то так) Без особых подробностей, просто картина представления сети и проблемы…




  • @dr.gopher:

    @panika:

    А изначально мне казалось что в этом виноваты антенны Wi-Fi (хотя они настроены в бридже и до того что идет через них им нет никакого дела).

    Уже давненько столкнулся со схожей проблемой. Поведение бриджа действительно непредсказуемое!

    http://forum.pfsense.org/index.php/topic,34908.15.html

    Да я тоже слышал что бридж работает очень непредсказуемо, но тут "правда где то рядом":) Все друг друга видят и все отлично работает, но вот такой маленький неудел с сервером произошел, хотя с момента пока я устанавливал Wi-Fi вместо кабеля на том промежутке сети, в настройках самого сервера ничего не менялось, после того как установил вафлю и появилась проблема, я на проблемном сервере сделал апгред до релиза с RC3, но проблема никуда не делась. Методом исключения я конечно же грешу на антенны, но тут и pf тоже завязан:)



  • интересная проблема. ты уверен что сервера настроены одинаково? Точнее, что на сервере B рпавильно настроен NAT для подсети А?или он одинаково настроен на всю подсеть?
    Или они вообще находятся в одной подсети? Как получают адреса, статика?



  • @goliy:

    интересная проблема. ты уверен что сервера настроены одинаково? Точнее, что на сервере B рпавильно настроен NAT для подсети А?или он одинаково настроен на всю подсеть?
    Или они вообще находятся в одной подсети? Как получают адреса, статика?

    Да сервера настроены по аналогу, НАТ настроен автоматом, оба сервера находятся в одной подсети и в самой подсети используется только статитка…. я в первом топике это описывал:)



  • А пинги из сети А доходят до абонентов сети Б нормально?
    попробуй правило НАТа впиши вручную.
    Хотя непонятно что тут вообще может не работать.
    Типа WAN  192.168.150.0/24 * * * * *
    И попробуй пинговать инет без ДНСа, может чтото с форвардингом ДНС, типа пинг не на ya.ru а на 8.8.8.8



  • @goliy:

    А пинги из сети А доходят до абонентов сети Б нормально?
    попробуй правило НАТа впиши вручную.
    Хотя непонятно что тут вообще может не работать.
    Типа WAN  192.168.150.0/24 * * * * *
    И попробуй пинговать инет без ДНСа, может чтото с форвардингом ДНС, типа пинг не на ya.ru а на 8.8.8.8

    Тоже все опробовано)Пингами в локалке все друг друга видят и с обоих сторон сети. Пинг по днсу отрисовывает ip адреса того же яндекса, майла, гугла, но результат "превышен интервал ожидания", пингую по отрисованным ip результат тот же. На самом pf выпускаю локальный ip адрес напрямую сначала на один провайдер потом на другой (1prov-adsl, 2prov-dhcp lan), результат тот же…. Попробую вручную НАТ настроить, когда буду у консоли сервера:)



  • Правила фаервола точно в порядке? Думаю, если это не баги, то либо NAT либо фаервол.. Хотя если они абсолютно идентичны и вы в этом уверены(допустим меняли местами,конфиги, или он у вас вообще один, с разницей лишь на настройки WANов),то это Паранормальное Явление -) я сдаюсь)



  • Шлюз вестимо.
    У пользователей А шлюзом прописан роутер А.
    Через него они и пытаются выйти в интернет.
    Стандартная заморочка с 2-мя роутерами в сети.
    На сервере Б поднять прокси и у пользователей А прописать его в браузерах.



  • @dvserg:

    Шлюз вестимо.
    У пользователей А шлюзом прописан роутер А.
    Через него они и пытаются выйти в интернет.
    Стандартная заморочка с 2-мя роутерами в сети.
    На сервере Б поднять прокси и у пользователей А прописать его в браузерах.

    Ну проксю очень не хотелось бы поднимать тем более там где работает 3 внешних интерфейса, и проблематично  в не доменной сети пользакам в браузере прописывать проксю(пользователи-это малая домашняя сеть) я уже лучше тогда оставлю каждый сервер как автономию для своих территориальных сетей, как есть сейчас…. Вообще мне кажется что если сервер Б переустановить с чистого листа, то все заработает, но рабочую систему и трогать не очень хочется.

    з.ы. Вобщем наверное я еще попробую как нибудь перекинуть местами антенны (когда растает снег:) ), если не даст результата, то буду переставлять сервер Б. Но если у кого нибудь будут еще мысли, буду очень рад услышать предложения и решить эту проблему меньшей кровью :)



  • можно проверить просто. взять ноут приконнектиться там и тут с одни и тем же своим айпишником, разными шлюзами и независимой ДНСкой. посмотреть как работает и отписать результаты.



  • @goliy:

    можно проверить просто. взять ноут приконнектиться там и тут с одни и тем же своим айпишником, разными шлюзами и независимой ДНСкой. посмотреть как работает и отписать результаты.

    да это я как раз тоже делал в первую очередь) Сначала менял свой айпишник на не свой, пробывал из сети А пробиться через шлюз Б… и просил людей из сети Б, сидя у себя дома, произвести такие же настройки на разные шлюзы и у них все работало и работает... Вобщем у меня все подозрения уже точно падают на pf сервера Б, переходов на той платформе с RC1 до RELEASE было 3, проще будет начистую установить release и не мучаться:) хотя вопросов остается много...



  • А какую смысловую нагрузку кроме Wi-Fi бриджа несут сенсы в вашей сети? Какие сервисы ещё предоставляют?
    я бы на досуге нарисовал две подробные схемки: до изменения бриджа (когда был кабель и по вашим утверждения всё работало) и после, уже с вифи бриджем.



  • @aleksvolgin:

    А какую смысловую нагрузку кроме Wi-Fi бриджа несут сенсы в вашей сети? Какие сервисы ещё предоставляют?
    я бы на досуге нарисовал две подробные схемки: до изменения бриджа (когда был кабель и по вашим утверждения всё работало) и после, уже с вифи бриджем.

    Наверное вы немного не так поняли, сенсы не являются бриджами, а тем более wi-fi) они являются роутерами для людей, которые пользуют инет через них, а wi-fi как раз таки настроен бриджом (ар, station) и пропускает через себя все что можно и нельзя. Просто сервера 2 штуки, они территориально снабжают инетом каждый свою часть сети, а находятся в одной подсети (192.168.150.0/24) потому что это домовая сеть с неким взаимообменом файлов и т.п., да и как резерв они тоже должны выступать друг другу, потому что провайдеры которые за сенсами очень нестабильны, да и ресурсы каналов провайдеров очень скудны для предоставления людям более менее скоростного интернета или хотябы качественного (о чем я молчу)



  • Наверное вы немного не так поняли, сенсы не являются бриджами, а тем более wi-fi) они являются роутерами для людей, которые пользуют инет через них, а wi-fi как раз таки настроен бриджом (ар, station)

    я то как раз понял вас правильно, но у вас у самого каша в голове. В вашем предложении есть два противоречия:

    сенсы не являются бриджами, а тем более wi-fi

    а wi-fi как раз таки настроен бриджом

    Так что подробная схемка нужна прежде всего вам самому, для понимания что же в вашей сети происходит на самом деле.
    –------------
    Wi-Fi бриджи (ваш случай) замечательно поднимаются и пашут на тике, + имеем максимальное быстродействие бридж-линка. Но делать так вы конечно же не будите.  ;)



  • Читая начало, я понял что у Вас pci-ные WIFI в каждом из роутеров. На рисунке это выглядит как отдельные точки доступа.
    Действительно, поставьте две точки доступа (самые дешевые TPLink) в бридж и будет вам счастье.
    А проблема бриджа на ПФ действительно есть! :(



  • Люди причем тут бридж wi-fi и бридж на сенсах?????? Рисунок я выложил. Подробно могу сказать что wi-fi это nanostation m2, они соединены между собой а до них кабель идет от свитча, как показано на рисунке и сенсы тут роли вообще никакой не играют и настроек на них (pf) в качестве бриджа тоже не делалось) серверы на сенсах автономны для каждой территориальной части сети, опять же как показано на рисунке изложенном выше… на них настроена раздача интернета (использую captive portal) и все!!! wi-fi и сенсы это 2-е разные вещи, а до того как появилась вафля там был кабель вот и вся разница. ОБЫЧНАЯ ОДНОРАНГОВАЯ СЕТЬ :)

    только я уже понемногу понимаю что тот самый злосчастный сервер Б просто глючит и переустановка его "снуля" поможет решить проблему. вот:)

    Про "тик" я так и не понял, что это ув. aleksvolgin

    dr.gopher У меня не дешевые точки доступа :) и с ними я думаю проблем нет никаких, просто я связал эти два события воедино (установку вафли в сетке и недоступность юзерам А ресурсов интернета через сервер Б)

    з.ы. каши в голове у меня нет, просто очень тяжело было описать ситуацию словами, а теперь ее донести и перестроить под каждого, просто у каждого свое понятие проблемы и ситуации



  • Настройки WIFI интерфейсов на обоих pfSense точно идентичны? Галок никаких не попутано?



  • Теперь я тоже не понимаю, какие "настройки wifi интерфейсов на pfsense"?
    Как я понимаю, pfsense реализован без всякой привязки к wifi. он о wifi и слышать не слышал. Там просто по 1 LAN сетевушке на каждом роутере. На картинке же все четко показано. Я думаю бриджи тут не причем совершенно. На их месте могла бы быть оптика, витуха, коаксиалка, да что угодно. pfsensу то что с этого? к нему приходят православные ethernet кадры



  • На картинке же все четко показано.

    и где на картинке хоть один сенс? Ткните, плиз.

    Там просто…

    еслиб там всё было просто, простая замена шнурка на air никак не отразилась на работоспособности сети. Ждём подробную схему сети от топикстартера но думаю её не будет, тогда будет предметный разговор, а не гадание на кофейной гуще.



  • @aleksvolgin:

    На картинке же все четко показано.

    и где на картинке хоть один сенс? Ткните, плиз.

    Там просто…

    еслиб там всё было просто, простая замена шнурка на air никак не отразилась на работоспособности сети. Ждём подробную схему сети от топикстартера но думаю её не будет, тогда будет предметный разговор, а не гадание на кофейной гуще.

    Server A и Server B, я думаю, что он их имел ввиду.



  • @goliy:

    Теперь я тоже не понимаю, какие "настройки wifi интерфейсов на pfsense"?

    Да, сори, не тем глазом в схему глянул.



  • @goliy:

    Теперь я тоже не понимаю, какие "настройки wifi интерфейсов на pfsense"?
    Как я понимаю, pfsense реализован без всякой привязки к wifi. он о wifi и слышать не слышал. Там просто по 1 LAN сетевушке на каждом роутере. На картинке же все четко показано. Я думаю бриджи тут не причем совершенно. На их месте могла бы быть оптика, витуха, коаксиалка, да что угодно. pfsensу то что с этого? к нему приходят православные ethernet кадры

    Извиняюсь за долгое молчание. Наконец то светлая мысль по поводу понятия инфраструктуры. Вот и я о том же ув. goliy, на месте air мог быть любой другой вид кабеля, просто этих два события (по моему) как то могли быть связаны…. (настройка wi-fi в сети и отказ сервера pf работать как прежде). А настройка pf очень стандартна (как тоже было замечено  goliy) конкретно на проблемном сервере (LAN, WAN, OPT1, OPT2, captive portal) настройки в аттаче. Сервер А с рабочей конфигурацией настроен идиентично






  • @aleksvolgin:

    На картинке же все четко показано.

    и где на картинке хоть один сенс? Ткните, плиз.

    Там просто…

    еслиб там всё было просто, простая замена шнурка на air никак не отразилась на работоспособности сети. Ждём подробную схему сети от топикстартера но думаю её не будет, тогда будет предметный разговор, а не гадание на кофейной гуще.

    Сенсы на картинке это серверы А и Б. А вот по поводу "Просто" я тоже не думал не гадал что при замене шнурка на аир такое может случиться, так бы не морочил мозг всем присутствующим и заранее извиняюсь за отнятое время. А схема та что была вначале топика это и есть подробная) Любые другие подробности это уже скрины с самих серверов наверное, которые я могу предоставить конечно же, но знать бы куда копать, может это железная проблема может программная.



  • Не совсем понятна конфигурация оборудования моста между частями сети. А именно: в ранних постах топикстартером указано, что это AP-Station, т.е. АП-клиент (если я понял топикстартера правильно). В этом случае подобное поведение мостового (как бы) соединения очень даже возможно, по причине изначальной своей не полной симметричности. Для достижения полной прозрачности (симметрии) моста в обоих направлениях, обе железки, образующие этот мост должны быть сконфигурированны не как АП-клиент, а как Бридж (обе)!!!



  • В этом случае подобное поведение мостового (как бы) соединения очень даже возможно, по причине изначальной своей не полной симметричности. Для достижения полной прозрачности (симметрии) моста в обоих направлениях, обе железки, образующие этот мост должны быть сконфигурированны не как АП-клиент, а как Бридж (обе)!!!

    +1, и тему можно закрывать.



  • @QWERTik:

    Не совсем понятна конфигурация оборудования моста между частями сети. А именно: в ранних постах топикстартером указано, что это AP-Station, т.е. АП-клиент (если я понял топикстартера правильно). В этом случае подобное поведение мостового (как бы) соединения очень даже возможно, по причине изначальной своей не полной симметричности. Для достижения полной прозрачности (симметрии) моста в обоих направлениях, обе железки, образующие этот мост должны быть сконфигурированны не как АП-клиент, а как Бридж (обе)!!!

    Они обе в бридже…






  • @aleksvolgin:

    +1, и тему можно закрывать.

    Я бы сказал точнее, тему можно не продолжать, за неимением смысла. Как я решусь переставить pf на проблемном сервере, я обязательно отпишусь о результатах. Всем спасибо.



  • 2 panika:
    А не судьба глянуть на собственные же скрины - что написано в строке режима Wireless Mode каждой железки??? Я вот, вижу, что одна находится в режиме Accsess Point с одним подключенным клиентом, а вторая в режиме Station, т.е. того самого клиента! Разбирайтесь с вашим "мостом", а Сенсы не трогайте - они тут не причём.

    P.S. Запись о том, что у вас "мост", относится к LAN интерфейсу и означает, что LAN интерфейс железки находится в режиме "моста" с Wireless интерфейсом, т.е. в режиме банального преобразователя интерфейса, а не маршрутизатора, да ещё и с НАТ!





  • Да, вот ещё: для подтверждения или опровержения сказанного мной, смею предположить, что panika не может достучаться из другого сегмента сети до гейта, находящегося за железкой с Wireless Mode: station…. :) .



  • @QWERTik:

    2 panika:
    А не судьба глянуть на собственные же скрины - что написано в строке режима Wireless Mode каждой железки??? Я вот, вижу, что одна находится в режиме Accsess Point с одним подключенным клиентом, а вторая в режиме Station, т.е. того самого клиента! Разбирайтесь с вашим "мостом", а Сенсы не трогайте - они тут не причём.

    P.S. Запись о том, что у вас "мост", относится к LAN интерфейсу и означает, что LAN интерфейс железки находится в режиме "моста" с Wireless интерфейсом, т.е. в режиме банального преобразователя интерфейса, а не маршрутизатора, да ещё и с НАТ!

    Ура! Я знал что правда где то рядом(  Это наверное про меня: "машину купил, а ездить не купил" :) Проблема решена, все заработало! Огромнейшее спасибо!


Log in to reply