Dúvidas



  • Bom dia galera, tem pouco tempo que estou trabalhando com PfSense e estou gostando muito dele, tanto pela performance acima da média com um hardware não muito bom quanto pela estabilidade e facilidade dele.
    Tenho algumas dúvidas que gostaria de tirar com vocês sobre alguns assuntos.
    Quero frisar que fiz buscas no fórum relacionados a esses assuntos mas não encontrei um que se encaixasse pra mim, por isso peço uma ajuda de vcs.

    Estrutura

    Link WAN1(estático)
    Link WAN2(Dinâmico)
    LAN

    PfSense 2.0+Squid+SquidGuard (transparente)

    1ª Dúvida:
    Tenho LoadBalance com 2 links (um estático e outro dinâmico), vamos chamar aqui WAN1(estático) = 192.168.1.1 e WAN2(dinâmico) = 192.168.2.1.
    Há algum jeito para configurar o acesso para acessar os serviços de qualquer um dos links ? Exemplo: Criei uma regra para acesso via TS a um servidor interno. Quero ter acesso digitando tanto o IP da WAN1 como o IP da WAN2, há a possibilidade ? Vocês conhecem algum recurso que me mostre o novo ip da interface que está configurada o IP dinâmico ? sempre que mudar o IP ele me envie um e-mail ou algo do tipo ?

    2ª Dúvida:
    Preciso liberar um Range de portas para um serviço interno. Tentei criar um alias colocando as portas mas quando vou criar uma "rule" ele me diz que o alias que criei não tem um ip válido. Verifiquei no fórum que o alias seria somente para "ips". Como eu posso criar um range de portas para fazer a liberação ?

    3ª Dúvida:
    Faço o acesso a um computador através do Logmein, mas só consigo ter acesso nesse computador se ele não estiver passando pelo proxy. Como faço uma regra para liberar o acesso via logmein para os computadores ?

    Por enquanto são somente essas dúvidas….

    Como falei anteriormente, não encontrei respostas para essas minhas dúvidas no fórum, caso já tenham respondidos, me enviem o link do post para que eu veja com mais calma.

    Desde já agradeço a ajuda de todos.

    Obrigado.



  • Amigos,

    Faço outra pergunta..

    pq ainda insiste em colocar o modem em modo router ???
    qual seria o problema em deixar o pfsense gerenciar as conexão e o modem em modo bridge..

    Muitos problema ai.. é a questão de NAT. Deixando o pfsense ser um router.. ja resolve quase tudo.



  • @vicdias:

    Tenho LoadBalance com 2 links (um estático e outro dinâmico), vamos chamar aqui WAN1(estático) = 192.168.1.1 e WAN2(dinâmico) = 192.168.2.1.
    Há algum jeito para configurar o acesso para acessar os serviços de qualquer um dos links ? Exemplo: Criei uma regra para acesso via TS a um servidor interno. Quero ter acesso digitando tanto o IP da WAN1 como o IP da WAN2, há a possibilidade ? Vocês conhecem algum recurso que me mostre o novo ip da interface que está configurada o IP dinâmico ? sempre que mudar o IP ele me envie um e-mail ou algo do tipo ?

    configurando o serviço de dns dinamico em uma maquina interna(seu servidor de ts por exemplo) e em seguida cria uma regra para acesssar o 'provedor' de dns dinamico atraves da wan2.

    @vicdias:

    Preciso liberar um Range de portas para um serviço interno. Tentei criar um alias colocando as portas mas quando vou criar uma "rule" ele me diz que o alias que criei não tem um ip válido. Verifiquei no fórum que o alias seria somente para "ips". Como eu posso criar um range de portas para fazer a liberação ?

    No configuração do alias, você precisa especifica o tipo dele, no seu caso 'port(s)' .
    Para aplicar seu alias nas regras, você precisa fazer a mesma coisa, se for um alias de host, você cadastra ele em source ou em destination e se for um alias de porta, você só pode aplica-lo nas portas de origem ou destino da regra.

    @vicdias:

    Faço o acesso a um computador através do Logmein, mas só consigo ter acesso nesse computador se ele não estiver passando pelo proxy. Como faço uma regra para liberar o acesso via logmein para os computadores ?

    Abre o tcpdump no seu pfsense e monitora quais são os ips/hosts que a maquina usa quando é acessada via logmein



  • Bom dia Marcelloc,

    Posso utilizar a configuração em 'Services->Dynamic DNS' ? Sabe me dizer se é a mesma coisa que eu instalar um cliente em um servidor interno ?

    Poderia me explicar melhor sobre o Alias ? tentei fazer do jeito que vc disse, mas quando vou escolher as portas, não aparece a que eu criei.

    Mais uma dúvida: Estou tentando liberar o acesso externo no SQL server que utiliza a porta 1433. Criei a NAT para redirecionar as requisições para o servidor do SQL mas a porta não abre de jeito nenhum. Estou esquecendo de alguma coisa ? A regra NAT está da seguinte forma:

    If                Proto    Src.Addr      Src Port    Dest. Addr      Dest. Port    NAT IP        NAT Port
    EMBRATEL -> TCP ->      *      ->    1433  ->      *        ->    1433    -> IP Servidor -> 1433



  • @vicdias:

    Posso utilizar a configuração em 'Services->Dynamic DNS' ? Sabe me dizer se é a mesma coisa que eu instalar um cliente em um servidor interno ?

    Para funcionar da forma que você quer, use o dynamic dns em uma maquina interna. O dynamic dns no pfsense vai precisar de alguns hacks para funcionar na wan2.

    @vicdias:

    Poderia me explicar melhor sobre o Alias ? tentei fazer do jeito que vc disse, mas quando vou escolher as portas, não aparece a que eu criei.

    Quando você cria um alias, ele não aparece na lista de portas dispoíveis da regra. Escolha o opção other e digite o nome do alias que você criou.

    @vicdias:

    Criei a NAT para redirecionar as requisições para o servidor do SQL mas a porta não abre de jeito nenhum. Estou esquecendo de alguma coisa ? A regra NAT está da seguinte forma:

    If                Proto    Src.Addr      Src Port     Dest. Addr      Dest. Port     NAT IP         NAT Port
    EMBRATEL -> TCP ->      *      ->    1433   ->       *        ->    1433    -> IP Servidor -> 1433

    muda a source port para any.



  • Ok, a questão do dynamic dns eu entendi.
    O Alias vou testar aqui e comento depois.

    Agora a NAT eu mudei do jeito que você falou mas não deu certo.
    Lembrando que só tenho a NAT, não criei nenhuma rule, tem quem criar na Rule tbm ? Criei uma NAT na porta 80 e funcionou normalmente.



  • @vicdias:

    Agora a NAT eu mudei do jeito que você falou mas não deu certo.
    Lembrando que só tenho a NAT, não criei nenhuma rule, tem quem criar na Rule tbm ? Criei uma NAT na porta 80 e funcionou normalmente.

    Quando você cria o nat, você tem a opção de associar uma regra automaticamente.

    Outro detalhe no seu nat é que destination address deve ser wan/embratel interface address no lugar de any.



  • Ave maria… tá osso essa regra hein...

    Coloquei do jeito que você falou e nada ainda.
    Seguem as telas da regra, ve se você encontra algum erro....






  • @marcelloc:

    @vicdias:

    Criei a NAT para redirecionar as requisições para o servidor do SQL mas a porta não abre de jeito nenhum. Estou esquecendo de alguma coisa ? A regra NAT está da seguinte forma:

    If                Proto    Src.Addr      Src Port     Dest. Addr      Dest. Port     NAT IP         NAT Port
    EMBRATEL -> TCP ->      *      ->    1433   ->       *        ->    1433    -> IP Servidor -> 1433

    muda a source port para any.

    vicdias,

    Você esqueceu de mudar a source port para any, conforme o Marcello disse.  ;D



  • Fala Johnnybe,

    Eu já mudei e mesmo assim ainda não consigo abrir a porta….



  • Segue o print do pfTop.




  • Seu nat ainda tem os dois erros bem como a regra que você postou não trata a porta que você fez o nat.



  • Caros,

    Não estou entendendo muito bem como criar essa regra.
    O que eu preciso é o seguinte:

    Utilizamos um sistema CRM que conecta nas portas: 80 e 1433.
    Como já informei, já tentei criar as regras mas sem sucesso. Alguém poderia esfregar na minha cara como fazer essa regra ???? kkkkkkk
    Crio só uma NAT ? Crio NAT e Rule ?
    Como deve ser ?



  • Acerta a regra de nat(NAT.png) e pronto. A opção de associar o nat a uma regra já esta marcado no seu nat.

    A ordem das regras também é importante, veja se não existe nenhuma outra regra na interface EMBRATEL bloqueando o acesso.



  • Marcelloc,

    Obrigado pelo esclarecimento, fiz o que você disse e abriu as portas, porém percebi que no TOP a porta 80 está direcionando para a porta 80 do pfsense e não para o ip 192.168.10.251 como eu gostaria.
    Segue a NAT para a porta 80 que eu fiz.

    ![Sem título.png](/public/imported_attachments/1/Sem título.png)
    ![Sem título.png_thumb](/public/imported_attachments/1/Sem título.png_thumb)



  • @vicdias:

    percebi que no TOP a porta 80 está direcionando para a porta 80 do pfsense e não para o ip 192.168.10.251 como eu gostaria.

    Muda a porta do pfsense em system -> advanced



  • Caros amigos,

    Consegui abrir as portas da esperança…kkkkkk

    Agradeço a ajuda de todos principalmente do johnnybe e do marcelloc..... Vcs são os caras....

    Valew a todos.



  • Marcelloc,

    Você saberia fazer o dynamic dns funcionar no pfsense ? tem alguma documentação explicando como funciona ???
    Achei interessante e gostaria de tentar fazer aqui…



  • @marcelloc:

    @vicdias:

    Posso utilizar a configuração em 'Services->Dynamic DNS' ? Sabe me dizer se é a mesma coisa que eu instalar um cliente em um servidor interno ?

    Para funcionar da forma que você quer, use o dynamic dns em uma maquina interna. O dynamic dns no pfsense vai precisar de alguns hacks para funcionar na wan2.

    Quais hacks, Marcello?
    Dá pra explicar?
    Talvez, usando dois serviços de DNS dinamicos, cada um apontando para uma interface de link?



  • @johnnybe:

    Quais hacks, Marcello?
    Dá pra explicar?

    Tem um patch do luis gustavo para isso e a outra configuração se não me engano é criar floating rules para forçar a saida para a atualização de ip pelo segundo link.



  • Bom dia !!

    Onde tenho acesso a esse patch ?
    Tem alguma documentação gringa se referindo ao assunto ?



  • @vicdias:

    Bom dia !!

    Onde tenho acesso a esse patch ?
    Tem alguma documentação gringa se referindo ao assunto ?

    Aqui no forum mesmo:
    http://forum.pfsense.org/index.php/topic,47153.msg247982.html#msg247982

    Leia o post antes de aplicar o patch.



  • Boa tarde Marcelloc,

    Poderia me explicar como aplico esse patch ?
    Preciso utilizar o winscp para acessar a árvore de diretórios ?



  • outra coisa….
    configurei o dyndns com o no-ip, ele mostra o ip corretamente (ainda não houve troca de ip), criei uma regra para acesso via TS na interface mas ainda não consigo fazer o acesso.
    Liberei tudo no modem e mesmo assim não consigo acesso.

    Em rules exite a aba floating, pode me explicar a utilização das regras nessa aba ?

    Obrigado.



  • Outra dúvida,

    Temos 6 ips externos válidos pela embratel.
    Alguns serviços como os de cftv e ipbx estão direcionados para alguns desses ips válidos.
    Como faço para fazer o direcionamento desses ips para o servidor.

    Ex.:

    Ip principal: 200.xxx.xxx.1
    Ips válidos: 200.xxx.xxx.2 - 200.xxx.xxx.6

    Serviços de CFTV está no ip válido: 200.xxx.xxx.2
    Utilitário de vendas: 200.xxx.xxx.3
    Serviço de ipbx: 200.xxx.xxx.4

    e por aí vai…



  • @vicdias:

    Poderia me explicar como aplico esse patch ?
    Preciso utilizar o winscp para acessar a árvore de diretórios ?

    O luis gustavo colocou o procedimento no post.



  • @vicdias:

    configurei o dyndns com o no-ip, ele mostra o ip corretamente (ainda não houve troca de ip), criei uma regra para acesso via TS na interface mas ainda não consigo fazer o acesso.
    Liberei tudo no modem e mesmo assim não consigo acesso.

    já tentou usar o modem em modo bridge?
    Já conferiu suas regras de nat?

    @vicdias:

    Em rules exite a aba floating, pode me explicar a utilização das regras nessa aba ?

    A aba floating usa regras via ipfw enquanto as outras abas usam o pf.
    O captive portal por exemplo usa o ipfw



  • Marcelloc,

    Tenho 2 ips externos válidos 200.xxx.xxx.1 e 200.xxx.xxx.2.
    Os redirecionamentos do 200.xxx.xxx.1 já estão funcionando, mas queria fazer redirecionamentos para o outro IP.
    Como faço para o outro ip funcionar no pfsense ? Virtual IP ? tenho que criar uma vlan ?



  • vicdias,

    Se estão na mesma faixa de rede, basta criar um ip alias em firewall -> virtual ips.

    att,
    Marcello Coutinho



  • Fiz conforme vc falou marcello, só não entendo uma coisa:
    Criei o NAT e ainda não acesso, no Top ele aparece que bate na porta 80 do servidor interno mas não conecta, percbi que o STAGE fica sempre 0:2 ou 2:0.
    O que significa esse STAGE ?
    Será que é um problema de regra ? eu só criei a NAT.

    ![Sem título.png](/public/imported_attachments/1/Sem título.png)
    ![Sem título.png_thumb](/public/imported_attachments/1/Sem título.png_thumb)



  • Você conferiu o nat, outbound nat  e as regras na wan?

    O pacote pode estar voltando com o primeiro ip da interface, você provavelmente vai ter que alterar o outbound nat para manual  e forçar o nat de saida para o ip 2 nas maquinas que redirecionamentos para ele.

    att,
    Marcello Coutinho



  • Marcelloc, desculpe se estou sendo chato mas não sei como criar essa regra de outbound.

    Vc poderia me explicar ?



  • @vicdias:

    Marcelloc, desculpe se estou sendo chato mas não sei como criar essa regra de outbound.

    Vc poderia me explicar ?

    A aba fica em firewall -> nat -> outbound

    Procura no fórum, tenho certeza que você consegue encontrar.



  • Marcelloc,

    Não sei se é possível, mas existe alguma forma de alterar o tráfego de saída de determinadas portas ?
    Ex.: como tenho 2 links, quero fazer o acesso a um servidor pelo link 1 mas o tráfego de saída das portas 5060,10000-30000 seja pelo link 2.
    Tem como fazer isso ?



  • @vicdias:

    Tem como fazer isso ?

    Claro que sim, olha de novo as opções de regra do outbound nat.



  • essas portas são para voip.

    Como te falei, posso fazer o registro (5060) e outros acessos pelo link 1 e a saída pelo link 2 normalmente ?



  • @vicdias:

    Como te falei, posso fazer o registro (5060) e outros acessos pelo link 1 e a saída pelo link 2 normalmente ?

    mesma resposta. :)

    Minha sugestão é fazer o outbound nat baseado em protocolo ou ip de destino.



  • Obrigado.


Log in to reply