Не могу настроить контроль подсети Server 2008R2+Pfsense2.1.5+squid+webfilt

[MoHroJI]

Здравствуйте форумчане! В общем опишу ситуацию:
Имеется связка Server 2008R2+Pfsense2.1.5+squid+webfilter. Настроил шлюз, прозрачный прокси и вебфильтр. Инет приходит от роутера провайдера и на сервак(Pfsense2.1.5 на VM Virtualbox) идет по DHCP. Получает адрес 192.168.1.104(сам роутер имеет адрес 192.168.1.1), на Win Server 2008R2 по виртуальному адаптеру приходит инет по DHCP от Pfsense. Шлюз Pfsense имеет адрес 192.168.56.1, собственно подсеть 192.168.56.0/24. А уже Win Server раздает интернет через шлюз 192.168.0.1,  подсеть 192.168.0.0/24 на 50 компов. DCHP на адаптере выключен, на каждой машине сеть настроена ручками. Все компы на ХР и Win7. Проблема в том что Pfsense видет только статистику, да и управлять может только трафиком самого сервака(адрес 192.168.56.1). То есть никакого контроля за подсетью по отдельности нет, только общего трафика, а мне необходимо разграничить скорость, фильтрацию и вести статистику каждого компах, xотябы по IP(если это возможно с прозрачным прокси). Помогите пожалуйста одолеть FreeBSD, так как нету у меня опыта работы с ним.
PS: Если что не пинайте меня. До меня все было настроено кроме Pfsense2.1.5, и трогать это нельзя(пробовал, отваливается все к чертям, ели вернул на место). И купить оборудование не предлагайте денег на него нет…

[fvf]

Судя по описанию, у Вас элементарная схема. Не городите городушки с виртуалками, возмите старенький пентиум три и 2 сетевухи триком905 например. Поставьте pf, настройте на лане 192.168.0.1/24 и ставьте заместо win сервера. Одолевать FreeBSD для этого не надо.

[MoHroJI]

Была такая мысль… Но вот тока айпи сервера(192.168.0.1) нельзя трогать((( на него все компы завязаны. рухнет все не разгребу...

[fvf]

@MoHroJI:

Была такая мысль… Но вот тока айпи сервера(192.168.0.1) нельзя трогать((( на него все компы завязаны. рухнет все не разгребу...

Что рухнет? Как завязаны? Виндовый сервер просто выкидываешь. Или на нем что то ещё важное вертится?

[MoHroJI]

Удаленный доступ для 1С-ки, Методкабинет удаленный…

[werter]

Рисуйте схему.

[fvf]

@MoHroJI:

Удаленный доступ для 1С-ки, Методкабинет удаленный…

А кстати интересно, я себе представил такую ситуацию. Есть полудохлый виндовый сервер (192.168.0.1) непонятно с какими сервисами, одновременно являющийся шлюзом в инет и куча компов со static IP. 
Можно ли поставить на его место pf(192.168.0.1)? Притом этот сервак поставить в сети рядом (192.168.0.2 например) и все запросы на 192.168.0.1 на порты этих непонятных сервисов, редиректить на этот рядом стоящий полуживой сервак (192.168.0.2)?

Т.е. что то типа портмаппига, только не wan->lan, а lan->lan

[werter]

А кстати интересно, я себе представил такую ситуацию. Есть полудохлый виндовый сервер (192.168.0.1) непонятно с какими сервисами, одновременно

являющийся шлюзом в инет и куча компов со static IP. 
Можно ли поставить на его место pf(192.168.0.1)? Притом этот сервак поставить в сети рядом (192.168.0.2 например) и все запросы на 192.168.0.1 на порты этих непонятных сервисов, редиректить на этот рядом стоящий полуживой сервак (192.168.0.2)?

Proxy Arp ?

http://xgu.ru/wiki/Proxy_ARP
http://lutung.lib.ums.ac.id/freebsd/pfSense/docs/special_nat_configuration_with_pfsense.php.html

[WY6EPT]

можно, но чревато траблами. портфорвадингом поиграть =)  так днс прокидываю от внутреннего хостинга ( он же днс сервером робит)

судя по описанию автора у него на вин сервере нат работает =)

а вообще дяденька рулишь так.
ставишь 192.168.0.2 (для примера) pfsense
на 50 машинах ( если статика) пробегаешь и меняешь шлюз, если DHCP бегать не надо, а на сервере поменять адрес шлюза выдаваемого.
на сервере вырубаешь левые сетевухи и прописываешь на внутренней сетевухе шлюзом pfs.
а дальше прокидываешь с прокси порты которые тебе надо на свой сервак.
и всё в шоколаде

странные админы нынче пошли, я конечно понимаю, что "Работает, не торогай" золотое правило, но представителям нашей профессии платят за то, что бы всё работало, а не на соплях держалось..

[fvf]

@WY6EPT:

а вообще дяденька рулишь так.
ставишь 192.168.0.2 (для примера) pfsense
на 50 машинах ( если статика) пробегаешь и меняешь шлюз, если DHCP бегать не надо, а на сервере поменять адрес шлюза выдаваемого.

В том то и прикол, что DHCP нет… а если допустим машин не 50 а 200 (чисто гипотетически). Я понимаю, что звучит как кошмар, но вот представь такую ситуацию. И надо, чтобы завтра все работало. Виндовый сервер, являющийся шлюзом, рушится от первого прикосновения - никакие настройки менять нельзя, никакие керио ставить тоже.
На 200 клиентах со static ip тоже стоит жесткая ссылка на 192.168.0.1 на допустим 80 и 345 порты этого полудохлого сервера. IP на сервере поменять можно, но тогда ссылки у клиентов перестанут работать.
Можно ли заместо этого полудохлого сервера поставить pfsense, а полудохлика поставить в сторонку с другим айпишником? Притом средствами pf переадресовывать запросты на 80 и 345 порты на этот стоящий в стороне сервер?

Потом уже, в течение месяца, можно потихоньку пробежать и поставить везде dhcp и поменять ссылку, но пока...

[werter]

2 fvf

Ок, повторюсь.

Proxy Arp ?

http://xgu.ru/wiki/Proxy_ARP
http://lutung.lib.ums.ac.id/freebsd/pfSense/docs/special_nat_configuration_with_pfsense.php.html

[MoHroJI]

У меня появилась идея! А что если добавить в виртуальную машину сетевой мост и назначить ту сетевуху коротая раздаёт интернет подсети, ну и прописать ей все настройки в Pfsense. Только вот будет ли работать потом удаленка из подсети на сервак….