2 Internet Verbindung getrennt verwalten
-
Oh man. Schwer zu verstehen wo das Problem ist und wie ich dir helfen kann.
Tu mir bitte einen gefallen:
Kontrolliere die groß und klein Schreibung. Wieso sind hier Wörter mal groß und mal klein?Und bitte setze Kommas und Punkte…
Deine kompletten Absätze sind jeweils ohne Punkt und fast ohne Komma.Wenn ich es dann ohne Probleme und Kopfschmerzen lesen kann, werde ich versuchen dir zu helfen.
-
Hallo Kira,
Da muss ich Marv leider recht geben, dein Text ist sehr schwer verständlich, nicht nur wegen der Schreibweise oder Grammatik (obwohl das schon schwer genug ist), sondern auch weil mir nicht klar ist, was du wo wie versuchst eigentlich zu bauen. Vielleicht kannst du entweder ein in ASCII (siehe Diagramme hier: https://forum.pfsense.org/index.php?topic=20279.0) oder ein Bild mit einem kleinen Netzdiagramm einfügen, was du wo wie bauen möchtest und was dabei nicht klappt.
Warum du also bspw. 2 Router hast ist klar, weil du 2 Leitungen von Kabel-Anbietern hast, die einen Router brauchen. Dass du dahinter die pfSense packen willst ist auch OK. Warum dann aber ein Server vor, hinter oder sonstwo Clients hat und warum der dann auch noch in den Netzen IPs hat, die eigentlich den Kabel-Modems zugehörig sind, ist komplett unklar.
Ich hoffe du kannst hier noch etwas Einsicht und Ordnung reinbringen damit wir dir helfen können :)
Grüße
-
Ich Habe Leichte Rechtschreibe Probleme, Ich Versuche Immer viel zu schreiben, Daher nimmt es mir bitte nicht Böse.
also das mit der Rechtschreibung tut mir sehr leid das die so unverständlich ist ich versuche es nochmal leichter zu erklären.
ich habe 2 Internet Verbindungen und 2 Router und die Firewall und einen Server.
ich will gerne das ich die 2 Internet Verbindungen mit den Router verbinden und dann mit der PFsense verbinden, das funktioniert auch schon alles nun kommt mein Problem Wenn ich nun ein Ethernet Kabel von der PFsense an den Server verbinde, kann ich alle IP-Adressen sehen und mich auch verbinden mit dem Server.
Aber nun nehme ich ein Ethernet Kabel von dem Server (hat 4 Netzwerkkarten) an mein Laptop dran Sehe ich Nur den Server, die Firewall und den 2. Router wo eigentlich nicht sein darf. Weil ich ja am Server es so haben will und zwar, habe ich Am Server 4 Netzwerkkarten und habe die Belegt mit 192.168.0.90 und 192.168.5.56
Un Hier oben habe ich mich mit mein Laptop an 192.168.0.90 verbunden und habe von Dort den Router 192.168.5.1 gesehen aber nicht den 192.168.0.1.
Ist das Verständlicher.
PS: ich werde noch ein Plan Zeigen oder ein ASCII Diagramm erstellen.
-
WAN WAN2 : : :Cabelprovider :Cabelprovider : : .---+---. Router .---+---. WAN | Technicolor| |Fritzbox | WAN2 '---+---' '---+---' 192.168.0.1/24 | | 192.168.5.1/24 | | | 192.168.1.1/24 | | .----+----. | +------| pfSense | -----+ '----+----' | 192.168.1.101 | .----+----. | Server | 192.168.0.90/24 '-+-----+-' 192.168.5.56/24 | | ...--+-----+--... (Clients/Servers) -
Hallo Kira,
das nimmt dir keiner krumm, wenns mit der Rechtschreibung hapert, aber es macht es auch viel schwerer deinen Text zu lesen. Wenn du dich aber beim Schreiben anstrengst, dann fällt es uns leichter dich zu verstehen und wir können uns anstrengen, wie wir dein Problem lösen :)
Deine Zeichnung allerdings verstehe ich nicht, denn sie macht keinen Sinn:
- die pfSense hat beide Internet-Anschlüsse und soll darüber routen. Verstanden. Funktioniert auch so wie dus gezeichnet hast OK.
- Der Server hintendran macht überhaupt keinen Sinn. Er hängt am LAN der pfSense, hatt dann aber wieder 2 Interfaces, die auch noch exakt das gleiche Netz nutzen, wie vorne die Transfernetze zu den Internetanschlüssen.
- Mir ist unklar, warum der Server überhaupt zwischen das LAN der pfSense und die Clients/Server geschaltet ist - was soll das?
Grüße
-
Ok also
1. Das Mit der IP Adresse habe ich mir schon Gedacht das man die Auf jedenfal Ändern sollte ich habe mir schon Überlegt 172er zu nehmen.
2. Warum der Server nach der PFsense ist, weil ich Auf dem Server ein Drucksystem habe und ich würde es gerne so einstellen das beide Netze ihn nutzen kann, und ich will es auch so Einrichten das man mit einer IP Adresse eine Internetleitung nutzen kann z.B 172.16.1.1 soll Wan 1 Nutzen soll und 172.16.2.1 soll Wan 2 Nutzen.
Hoffentlich ist es jetzt wider Deutlicher :)
-
Also Mit einer Andere IP-Adresse Funktioniert es Jetzt Erstmal schon mal, Ich kann Die IP Adresse des Router verbinden das ging vorher noch nicht. ok dann wehre das 1. Problem Gelöst und das war nur DIE IP-Adresse schuld XD Ich depp.
Aber das 2. Problem ist Wie kann ich nun mit 172.16.0.1 und 172.16.1.1 einzeln die Internetleitung nutzen z.B
172.16.0.1 soll 192.168.0.1 nutzen und 172.16.1.1 soll 192.168.5.1 nutzen Ich will Kein Multiwan nutzen also Nicht das man Beide Internetverbindung zusammen nutzen das will ich nicht sondern nur einzeln.
-
Das geht dann über sog. Policy Based Routing. Sprich auf der pfSense werden Filterregeln auf dem LAN Interface erstellt, die den Traffic von bspw. Netz_1 (.0.1) nach any (Internet) erlauben, allerdings wird hier noch der Zusatz unter "advanced" gesetzt, dass er das Gateway von WAN1 benutzen soll.
Gleiches wird dann mit einer Regel für Netz_2 (.1.1) gemacht, bei dem dann unter advanced das Gateway von WAN2 eingestellt wird.Geht jetzt ein Gerät von Netz_1 ins Internet matched die Regel für Netz_1 und zwingt den Traffic über WAN1, gleiches dann für Netz_2.
Grüße
-
Geniallll :D
Danke :) Nun muss ich das nun so einrichten in der PFsense, Muss ich dies nur beim Lan so einrichten oder muss ich das bei beiden Wan Verbindung in der Pfsense einrichten.
-
Da du die Verbindungen vom LAN ins Internet über WAN1/2 abzweigen willst natürlich auf dem LAN Interface. Der Rückweg geschieht dann über die NAT Regeln automatisch (IP der NAT, stateful connections, etc.)
Prinzipiell bei Regeln in der pfSense immer drüber nachdenken, WO die Verbindung die du freigeben/blocken willst in die pfSense HINEIN geht und auf diesem Interface wird die Regel dann angelegt.
Randnotiz genereller Art (kannst du getrost ignorieren damit es dich nicht verwirrt): Der verwendete Paketfilter benötigt eigentlich immer zwei Regeln, denn PF sieht die Firewall als geschlossene Box an. Es muss also erlaubt werden, dass etwas hineingeht, genauso wie etwas herauszulassen. Deshalb musste man - wenn man PF Regeln direkt schreibt - immer überlegen, WO geht es REIN und WO geht es RAUS. Alles was bspw. mit einem "pass in em0" auf dem WAN heineingelassen wird, muss mit "pass out em2" auch ins interne LAN gelassen werden. Damit das aber nicht zu kompliziert wird, erstellt pfSense die OUT Regeln automatisch.
Deshalb ist es immer gut, sich die pfSense als geschlossene Burg vorzustellen, die mehrere Tore ins Land hat und bewacht. Alles was irgendwo rein kommt, muss auch irgendwo wieder raus, es sei denn, es ist für einen Dienst auf der Firewall selbst bestimmt, was eher selten der Fall ist ;)
Grüße
-
Ok ich schreibe es mall Gleich hier rein wie ich es machen würde ok :)
Und Danke Für deine Hilfe und deine Information, Ich kenne mich Schon gut aus und weiß wie mann was einstellt nur ab und zu Muss ich selber auch noch andere Fragen ob es wirklich so richtig ist.
-
IPv4 TCP LAN net 80 (HTTP) WAN net 80 - 443 WAN_DHCP none
So wird es dann bei mir stehen wenn ich das richtig verstanden habe.
-
Nein, das wäre falsch.
_ | IPv4 TCP | LAN net | * | !LAN net | P_web | WAN_DHCP | none | _ | Regel für LAN http(s) via WAN(1)
Grund: Ausgehend von dem, dass du damit eine Regel erstellen willst, damit die Teilnehmer von LAN net im Web surfen können sollen:
- LAN net kannst du machen, ich hatte das aber so verstanden, dass du einen Teil des LANs über WAN1 und einen anderen Teil über WAN2 routen willst? Dann müsste hier statt dessen entweder das Netz welches du routen willst (172.16.0.0/24 bzw. 172.16.1.0/24) oder ein Alias für dieses eingetragen werden (ich empfehle Aliase, damit lässt sich später leichter was ändern oder hinzufügen)
- Quellport bei HTTP/S Verbindungen ist NIE 80, sondern ein zufälliger Port >1023. Deshalb hier * (du könntest aber auch >1023 eintragen)
- !LAN net als Destination verbietet lediglich nochmal den Adressbereich des LANs als Zieladresse um irgendwelche krummen Routings abzublocken. Im Endeffekt ist das somit "any". WAN net würde nichts bringen, da hier der IP Range des WAN interfaces der pfSense gmeint wäre, das heißt die Teilnehmer des LANs dürften in das Transfernetz zwischen pfSense und WAN1 Router -> bringt nichts und da haben sie im Normalfall auch nix zu suchen ;) Besser hier wäre noch ein Alias zu machen, welches die Netze zwischen pfSense und den WAN Routern sowie die LANs selbst enthält und diese zu verneinen (also Haken bei "not" rein und dann dieses Alias auswählen). Grund dafür: Das LAN sollte eh nie an der pfSense aufschlagen, denn die sehen sich alle gegenseitig und sollen direkt miteinander reden und nicht über die Firewall routen. Und in den WAN/WAN2 Transfernetzen hin zu den Gateways der Kabelleitung haben sie auch nix verloren. Damit düften sie dann "nur" ins Internet, aber lokal keinen Schaden anrichten.
- 80-443 -> wird so nicht gehen, deshalb ein Aliasvorschlag: P_web (kurz für Ports_Webserver, welches die Ports 80 und 443 enthält, das ist einfacher als zwei getrennte Regeln für 80 und 443. 80 bis 443 enthält zu viele anderen Ports zwischen 80 und 443, die potentiell nichts gutes sind, und sollten nicht erlaubt werden.
- WAN_DHCP -> wenn das der Name für dein WAN Gateway ist, dann korrekt.
Ich hoffe das hilft weiter.
-
Ich Will ja das 172.16.0.0 in Wan 1 Rein kommen können und 172.16.1.0 soll in Wan 2 rein
Wollte nur nochmal Schreiben das wir auch Das gleiche meinen ;)
-
Dann nochmal die Frage ;)
Die sollen ÜBER WAN1 ins INTERNET kommen oder? NICHT IN das WAN1? Denn das ist genau das, was ich oben meinte. Im WAN1 Netz zwischen pfSense und dem Router von WAN1 haben die ja nix zu suchen. Du möchtest ja nicht, dass dir einer die Router-Oberfläche des Kabelmodems o.ä. abfragen kann. Sie sollen nur über den entsprechenden Zugang dann ins Internet kommen, richtig?
Dann gilt das was ich 2 Posts darüber schrieb: Genau überlegen WER, von WO, WOHIN (Ziel) kommen soll. Der Weg dahin ist nur dann wichtig, wenns eben über verschiedene Strecken ins Internet geht, und dass hier der Weg WAN1 oder WAN2 gegangen wird, entscheidet sich lediglich beim verwendeten Gateway. Das WOHIN (Ziel) ist aber bspw. Google oder Facebook oder eine x-beliebige Webseite. Deshalb "any" - oder besser "alles außer den internen Netzen". Denn in den Paketen, die die Firewall bekommt, steht auch nur drin, von wo sie kommen (WER) und wohin sie wollen (WOHNIN), die Strecke dazwischen ist dem Filter egal :)
Grüße
-
Ja so Will ich es Das die nur ins Internet Können sonst nichts.
Ich habe es Genau so Eingerichtet wie du es Erklärt hast aber ich Gehe immer noch mit 172.16.1.0 in Wan 1 aber nicht in WAN 2
-
Wenn ich Irgendwas lade oder ein Speedtest mache dann sehe ich wie es am WAN 1 sich was bewegt aber nicht WAN 2 das finde ich halt komisch, ich denke grade darüber nach ob ich vielleicht am Server noch was ändern müsste das die wissen was vor ein netz es sein soll.
-
Puh, um das jetzt zu diagnostizieren, bräuchte ich schon Screenshots, wie du die Regeln angelegt hast, wie deine Gateways sind und Konfig von den WANs. Wenn du das als Screenshots hochladen kannst (ohne wichtige Infos zu verraten, ggf. verpixeln), wäre das schon sehr hilfreich.
-
Ok Dann werde ich es mall beschreiben.
-
So Habe sie Alle Hochgeladen, Und zur info ich habe Schon Versucht Block private networks An und aus Gesachaltet und Funktioniert nicht. Und Wan1 und Wan1-2 Sind auch so eingestellt wie Wan 2.
