Подмена IP при пробросе портов
-
Rubic, какая разница нужно для чего, имхо это к теме меньше всего относится. Есть факт что старая версия работает, новая нет.
Касательно сети. Тут разницы нет, факт что подмена не происходит. Пробывал с локальной сети (с хоста с адресом 192.168.252.200). Подмена все равно не верная, трафик приходит с 192.168.252.100, а нужно чтобы приходил с 192.168.252.105 -
У Вас 2 правило так же натит от имени WAN
-
Rubic, какая разница нужно для чего, имхо это к теме меньше всего относится. Есть факт что старая версия работает, новая нет.
Касательно сети. Тут разницы нет, факт что подмена не происходит. Пробывал с локальной сети (с хоста с адресом 192.168.252.200). Подмена все равно не верная, трафик приходит с 192.168.252.100, а нужно чтобы приходил с 192.168.252.105Ну и какой вывод? Пакеты на целевой хост летят с WAN pfSense, потому что по таблице маршрутизации у вас WAN от LAN ничем не отличаются (типа, так задумано). Оба ведут в одну и ту же сеть и имеют outbound NAT на адрес интерфейса. Откуда pfSense знать, что вы пробрасываете с WAN на LAN? Может с WAN на WAN? Ведь все эти названия - лишь условность, интерфейсы абсолютно равноправны.
Так что с точки зрения теории все ок, так и должно быть. Если посмотрите таблицу маршрутизации, сами все увидите.
Если что-то по ошибке работало в старой версии, это еще не значит, что ошибку не надо исправлять только из-за того, что кто-то ее использовал, организовав сущий замес и головоломками)) -
Ок. Как мне сделать чтобы натило только с LAN и на дистинайшен хост приходили пакеты с сорсом 192.168.252.105?
-
rubic, дорогой коллега, вместо критики я хотел бы услышить конструктивные предложения. Какие правила в таком случае и как поменять? Еще раз - не вижу ошибки в работе старой версии. Почему в новой WAN натит а LAN нет? Давайте уберу все правила NAT c WAN. Это поможет?
-
rubic, дорогой коллега, вместо критики я хотел бы услышить конструктивные предложения. Какие правила в таком случае и как поменять? Еще раз - не вижу ошибки в работе старой версии. Почему в новой WAN натит а LAN нет? Давайте уберу все правила NAT c WAN. Это поможет?
Попробуйте во 2 правиле поставить ограничение на DEST !ваша_сетка Это всё таки нат для интернета.
-
Не спасло…
-
В 1 правиле Nat address и Nat port обнулите
-
rubic, дорогой коллега, вместо критики я хотел бы услышить конструктивные предложения. Какие правила в таком случае и как поменять? Еще раз - не вижу ошибки в работе старой версии. Почему в новой WAN натит а LAN нет? Давайте уберу все правила NAT c WAN. Это поможет?
Когда два интерфейса смотрят в один ethernet сегмент, для исходящего из pfSense трафика используется только один из них. Это отражено в документации, но ссылку я на вскидку сейчас не найду. Какой именно? Как-то выбирает система. С точки зрения port forward выходной интерфейс в правилах, как вы знаете, явно не задашь. Его опять же выбирает система на основе таблицы маршрутизации. А поскольку в ней выход в LAN на первом этапе определен через WAN, то и летит все с него.
Вы лучше объясните задачу не на уровне вашей реализации, а в общих словах. В смысле зачем вам надо-то чтобы один хост ходил на другой через третий. Почему им нельзя говорить напрямую и т.д. -
Рисуйте схему со связями, адресами\сетями , интерфейсами, т.е. что куда "смотрит" и через что "входит\выходит".
Только внимательно сперва обдумайте все, чтобы не было "аааа…я вот тут еще адрес неправильно указал\забыл указать"
-
dvserg обнулил NAT порт, а как обнулить NAT address? pfsense там автоматом поставил LAN address…
rubic о чем вы? Какие выборы интерфейсов?? Я с хоста четко обращаюсь на адресс wan на 443 порт, дальше должен отрабатывать pfsense и согласно правилам пробрасывать трафик на дестинайшен хост, если бы LAN натил нормально, то на дистенайшен должен приходит трафик внутри с адресом с интерфейса LAN, а не соурс хоста. Этого не происходит, при чем тут ваши рассуждения?
Честно, даже не хочу спорить. -
dvserg обнулил NAT порт, а как обнулить NAT address? pfsense там автоматом поставил LAN address…
rubic о чем вы? Какие выборы интерфейсов?? Я с хоста четко обращаюсь на адресс wan на 443 порт, дальше должен отрабатывать pfsense и согласно правилам пробрасывать трафик на дестинайшен хост, если бы LAN натил нормально, то на дистенайшен должен приходит трафик внутри с адресом с интерфейса LAN, а не соурс хоста. Этого не происходит, при чем тут ваши рассуждения?
Честно, даже не хочу спорить.При том, что трафик через LAN вообще не идет, какое уж там "натил". Он пришел на WAN, порт форвардом поменял destination, а потом через WAN же к целевому хосту и вылетел, пройдя WAN outbound NAT. Это я вам и пытаюсь объяснить, не тупите. Можете outbound NAT на LAN вообще удалить, ничего не измениться.
-
werter, на одного вас надежда… Хоть какой-то конструктив...
Только не спрашивай зачем мне все это нужно, повторюсь, знаю что нот бай дизайн, знаю что тупо и тп. Просто мне это нужно...
Вот картинка. В иделае ситуация такая, мне нужно на хост Х.252.103 чтобы из сети 10.х приходил запрос на 3389 и на 443 порт форвадились запросы тоже на 3389 на Х.252.103. Картинка прояснит...
Так вот, на Х.252.103 все пакеты при запросе на 443 порт приходят, но соурс не .252.105! может быть соурс WAN адреса если из сети 252 обращаюсь, 10.ххх если из сети 10...
Но на старой версии 1.2.3 все работает как мне нужно... на 2.1 нет.... -
Он пришел на WAN, порт форвардом поменял destination, а потом через WAN же к целевому хосту и вылетел, пройдя WAN outbound NAT
А у меня давно вопрос имеется как раз по движению траффика: есть ли у кого подробная схема движения траффика в pfsense, как к примеру для микротика:
-
А у меня давно вопрос имеется как раз по движению траффика: есть ли у кого подробная схема движения траффика в pfsense, как к примеру для микротика
-
Почему он снова через WAN вылетает? Как ему указать идти на LAN интерфейс?
Поменял правило, теперь с любой сети идешь и соурс меняется на WAN. Почему на 1.2.3 он менял на LAN соурс и поворачивал трафик на LAN? А новой, продвинутой версии перестал??
-
2 rubic
Спасибо. -
Почему он снова через WAN вылетает? Как ему указать идти на LAN интерфейс?
Почему я вам выше все объяснил, читайте. А по сути проблемы попробуйте отключить LAN pfSense от сети, пусть в ней только WAN будет, на нем все и настройте, адрес ему дайте 105, если это принципиально.
ЗЫ c 10.x.x.x не подменяет источник потому, что на WAN outbound NAT нет правила для этой сети.
UPD: LANу дайте адрес и маску из любой левой подсети. В принципе можно и не отключать его из свитча -
rubic, извини если был груб. Просто не понимаю почему старая версия работает, новая нет… (вот серьезно, в чем причина и логика?) А какое нужно прописать правило чтобы с сетью 10.х заработало?
ЗЫ А как pfsense будет работать на одном интерфейсе? -
В NAT Outbound:
WAN 10.x.x.x * * * * *
То же, что и для LAN прописано, только Source 10.x.x.x
Так же как и сейчас будет работать, вы просто привыкли думать, что трафик должен влететь через один интерфейс, а вылететь через именно другой. Но это не так, входной интерфейс может быть тем же, что и выходной, при этом пакет проходит все этапы на картинке выше. Выходной интерфейс определяется на этапе routing и может быть тем же, как по вашему иначе локальные сервисы, тот же GUI бы работали? Ведь вы шлете на LAN запрос и получаете с него же веб-морду pfSense.
