Помогите разобраться с VLAN-ами



  • Доброе время суток!
    Помогите пожалуйста разобраться в работе этого дистрибутива с VLAN-ами. Первый раз столкнулся именно с pfsense и наткнулся на проблему:
    не получается добиться нормальной работы vlan1. Если втыкаю локальный интерфейс пф в тег-порт и забирю на кампе с не-тег порта, то ничего не вижу. Читал, что у пф есть проблема в работе именно с vlan id 1. Так ли это? Удаляю vlan1 и создаю vlan6 (192.168.1.1 - все для теста), с кампа пинговать не могу, но dhcp получаю с него…

    В чем собственно задача, сейчас стоит чистая фря и на ней около 200 vlan-ов, порядка 150 подсетей и 50 реальных IP, пф крутится как возможная замена ей...

    Заранее спасибо за помощь! ;)



  • А схема сети какая? У Вас между pf и ПК коммутаторы есть? Если есть, то какие (управляемые или нет)? Если неуправляемые - надо настраивать VLAN  и на порту сетевухи. (В винде не все сетевухи поэволяют это сделать). Если управляемый коммутатор - настраивать VLAN на нем. О настройке VLAN в pf можно прочитать в http://iboxjo.h1.ru/books/pfsense/ebook/pfSense_VLAN_CH10.pdf.  Т.е. добавить интерфейсы и настроить NAT и Rules.

    P.S. Хотя если у Вас уже есть 200 vlan-ов, то скорее всего Вы не настроили интерфейсы и правила на pf. У меня работает  Vlan c tag1 и с другими tag. причем и с неуправляемыми коммутаторами. На ПК на сетевухе (Marvell) настроеy VLAN. Никаких проблем нет. А вот на Atheros, при настройке VLAN сеть уходила в ступор. Бросил эту затею (VLAN на сетевухах) и настраиваю vlan на коммутаторах.



  • @gr0mW:

    А схема сети какая? У Вас между pf и ПК коммутаторы есть? Если есть, то какие (управляемые или нет)? Если неуправляемые - надо настраивать VLAN  и на порту сетевухи. (В винде не все сетевухи поэволяют это сделать). Если управляемый коммутатор - настраивать VLAN на нем. О настройке VLAN в pf можно прочитать в http://iboxjo.h1.ru/books/pfsense/ebook/pfSense_VLAN_CH10.pdf.  Т.е. добавить интерфейсы и настроить NAT и Rules.

    Да, конечно есть коммутатор. Стоят Nortel, управляемые, на них щас все и работает. Только вот на чистой Фре 9.0 вланы заводятся с полтычка, а тут первый ну как-то не могу побороть, аж стыдно)
    Уход в сеть с пф заходит в tag-порт на нортеле, и забираю с порта входящего во vlan1. И никак…
    Я уже прочитал про настройку вланов в пф...как раз именно в этом доке написано про vlan1...но загвоздка в том, что на куче оборудования есть первый vlan и он везде управляющий...



  • И, кстати, дополнение, добавил 6 влан (для теста) он прошел частично, я кампе получил с него dhcp, настроенное на пф для этого влан-интерфейса. Но пф не пингуется и не видится вообще…



  • Посмотрите в Interfaces: (на VLAN-интерфейсе ) в Private networks –убрать галки в Block private networks и Block bogon networks



  • @gr0mW:

    Посмотрите в Interfaces: (на VLAN-инткерфейсе ) в Private networks –убрать галки в Block private networks и Block bogon networks

    Они не стоят по-умолчанию. Я их не ставил, там описание нормально разъясняет)



  • Тогда покажите настройки NAT и правила на VLAN-интерфейсе. IP (и маску) на интерфейсах LAN и VLAN  проверьте. DHCP на pf или на другом ПК в сети? Если на pf посмотрите маску на настройке сети.
    На интерфейсах ИП адрес может быть с маской /32



  • @gr0mW:

    Тогда покажите настройки NAT и правила на VLAN-интерфейсе. IP (и маску) на интерфейсах LAN и VLAN  проверьте. DHCP на pf или на другом ПК в сети? Если на pf посмотрите маску на настройке сети.
    На интерфейсах ИП адрес может быть с маской /32

    Конфига завтра покажу, маска /24 100%. DHCP на пф поднял.



  • Вот правила ната:

    [2.0.3-RELEASE][admin@router.dafi.com.ua]/root(18): pfctl -s nat
    no nat proto carp all
    nat-anchor "natearly/*" all
    nat-anchor "natrules/*" all
    nat on em2 inet from 192.168.21.0/24 to any port = isakmp -> 188.230.127.61 static-port
    nat on em2 inet from 192.168.21.0/24 to any -> 188.230.127.61 port 1024:65535
    nat on em2 inet from 127.0.0.0/8 to any -> 188.230.127.61 port 1024:65535
    nat on em2 inet from 192.168.1.0/24 to any port = isakmp -> 188.230.127.61 static-port
    nat on em2 inet from 192.168.1.0/24 to any -> 188.230.127.61 port 1024:65535
    nat on em2 inet from 127.0.0.0/8 to any -> 188.230.127.61 port 1024:65535
    no rdr proto carp all
    rdr-anchor "relayd/*" all
    rdr-anchor "tftp-proxy/*" all
    rdr-anchor "miniupnpd" all
    
    

    Вот правила на vlan6:

    block drop in on em3_vlan6 inet6 from fe80::21b:21ff:fe20:fe1b to any
    pass in quick on em3_vlan6 inet proto udp from any port = bootpc to 255.255.255.255 port = bootps keep state label "allow access to DHCP server"
    pass in quick on em3_vlan6 inet proto udp from any port = bootpc to 192.168.1.1 port = bootps keep state label "allow access to DHCP server"
    pass out quick on em3_vlan6 inet proto udp from 192.168.1.1 port = bootps to any port = bootpc keep state label "allow access to DHCP server"
    
    


  • @Zyo:

    Вот правила на vlan6:

    block drop in on em3_vlan6 inet6 from fe80::21b:21ff:fe20:fe1b to any
    pass in quick on em3_vlan6 inet proto udp from any port = bootpc to 255.255.255.255 port = bootps keep state label "allow access to DHCP server"
    pass in quick on em3_vlan6 inet proto udp from any port = bootpc to 192.168.1.1 port = bootps keep state label "allow access to DHCP server"
    pass out quick on em3_vlan6 inet proto udp from 192.168.1.1 port = bootps to any port = bootpc keep state label "allow access to DHCP server"
    
    

    Могу ошибаться, но правил типа "Any to any" для vlan6 я в выше показанном не увидел. Увидел - дропать пакеты IPv6, увидел разрешение на принятие адреса по DHCP.
    Не увидел (даже) разрешение на прохождение ICMP.



  • @werter:

    @Zyo:

    Вот правила на vlan6:

    block drop in on em3_vlan6 inet6 from fe80::21b:21ff:fe20:fe1b to any
    pass in quick on em3_vlan6 inet proto udp from any port = bootpc to 255.255.255.255 port = bootps keep state label "allow access to DHCP server"
    pass in quick on em3_vlan6 inet proto udp from any port = bootpc to 192.168.1.1 port = bootps keep state label "allow access to DHCP server"
    pass out quick on em3_vlan6 inet proto udp from 192.168.1.1 port = bootps to any port = bootpc keep state label "allow access to DHCP server"
    
    

    Сорри, тут согласен. нужно еще вот такое правило:

    pass in quick on em3_vlan6 inet from 192.168.1.0/24 to any flags S/SA keep state label "USER_RULE"
    
    

    Почему-то подумал, что данное правило должно само создаться при создании подсети. Спасибо за подсказку;)
    Но с первым вланом все равно что-то непонятное…



  • Но с первым вланом все равно что-то непонятное…

    как вариант = поменяйте управляющий влан на коммутаторе

    хотя просто скорее всего, что Вы правила не все добавили в нужный влан



  • @randreevich:

    Но с первым вланом все равно что-то непонятное…

    как вариант = поменяйте управляющий влан на коммутаторе

    В тестовом варианте допустим это решит вопрос, но в реальной сети это не прокатит…



  • @Zyo:

    @randreevich:

    Но с первым вланом все равно что-то непонятное…

    как вариант = поменяйте управляющий влан на коммутаторе

    В тестовом варианте допустим это решит вопрос, но в реальной сети это не прокатит…

    у меня прокатывает несколько лет, с пф пару тройку месяцев.



  • @randreevich:

    @Zyo:

    @randreevich:

    Но с первым вланом все равно что-то непонятное…

    как вариант = поменяйте управляющий влан на коммутаторе

    В тестовом варианте допустим это решит вопрос, но в реальной сети это не прокатит…

    у меня прокатывает несколько лет, с пф пару тройку месяцев.

    Неправильно выразился, оно того прокатит, но перенастраивать кучу свичей не особо хочется.





  • @randreevich:

    http://www.thin.kiev.ua/router-os/50-pfsense/566-pfsense20.html

    читали?

    Читал эту же статью в другом месте. Но там не говорится, что не нельзя и не будет работать, а говорится только о рекомендации так не делать. Вопрос только вот в чем: почему на пф (основанный на фре) не хочет у меня понимать первый влан, когда фря щас прекрасно с ним работает?



  • Вопрос решился переходом на pfSense 2.1-RC1 (все равно все в тесте). Всем спасибо за советы;)


Locked