Netgate Discussion Forum
    • Categories
    • Recent
    • Tags
    • Popular
    • Users
    • Search
    • Register
    • Login

    Настройка правил firewall на резервном канале

    Scheduled Pinned Locked Moved Russian
    45 Posts 5 Posters 10.2k Views
    Loading More Posts
    • Oldest to Newest
    • Newest to Oldest
    • Most Votes
    Reply
    • Reply as topic
    Log in to reply
    This topic has been deleted. Only users with topic management privileges can see it.
    • G Offline
      GSerg
      last edited by

      @pigbrother:

      Это нужно только при падении WAN или всегда?
      Если навсегда - создать на LAN 2 правила - одно запрещающее VOIP с явным указанием шлюза WAN, 2-е разрешающее, с явным указанием шлюза OPT.

      Шлюз указывается Advanced features-Gateway

      Это нужно только на период падения WAN.А по поводу явного указания шлюза -это интересная мысль

      1 Reply Last reply Reply Quote 0
      • P Offline
        pigbrother
        last edited by

        Это нужно только на период падения WAN.А по поводу явного указания шлюза -это интересная мысль

        Так если WAN падает, VOIP и так пойдет через OPT.

        1 Reply Last reply Reply Quote 0
        • G Offline
          GSerg
          last edited by

          @pigbrother:

          Это нужно только на период падения WAN.А по поводу явного указания шлюза -это интересная мысль

          Так если WAN падает, VOIP и так пойдет через OPT.

          И всё остальное тоже,а этого нужно избежать.По резервному каналу должен идти только VOIP ,и ничего больше.Как бы разрулить это правилами?

          1 Reply Last reply Reply Quote 0
          • G Offline
            GSerg
            last edited by

            @pigbrother:

            В принципе любые правила можно задавать, указывая вместо default конкретный gateway.

            Примерно так:

            1.Разрешение всего трафика через WAN 1
            2.Разрешение VOIP через OPT1
            3.Запрет всего через OPT1

            ?

            1 Reply Last reply Reply Quote 0
            • P Offline
              pigbrother
              last edited by

              И всё остальное тоже,а этого нужно избежать.По резервному каналу должен идти только VOIP ,и ничего больше.Как бы разрулить это правилами?

              Еще раз. Создать создать на LAN 1-е правило,  запрещающее VOIP с явным указанием шлюза WAN.
              Создать на  LAN 2-е  правило, запрещающее все, кроме DNS и VOIP  с явным указанием шлюза OPT.

              1 Reply Last reply Reply Quote 0
              • G Offline
                GSerg
                last edited by

                @pigbrother:

                И всё остальное тоже,а этого нужно избежать.По резервному каналу должен идти только VOIP ,и ничего больше.Как бы разрулить это правилами?

                Еще раз. Создать создать на LAN 1-е правило,  запрещающее VOIP с явным указанием шлюза WAN.
                Создать на  LAN 2-е  правило, запрещающее все, кроме DNS и VOIP  с явным указанием шлюза OPT.

                Я понял Вас,спасибо) Есть не очевидный (видимо) момент -до падения основного канала (WAN) никакого трафика вообще не должно идти через OPT1(трафик дорогой)

                1 Reply Last reply Reply Quote 0
                • P Offline
                  pigbrother
                  last edited by

                  Я понял Вас,спасибо) Есть не очевидный (видимо) момент -до падения основного канала (WAN) никакого трафика вообще не должно идти через OPT1(трафик дорогой)

                  Так на то и правильные указания tier в failover.
                  Для гарантии дайте WAN максимальный Weight в System: Gateways: Edit gateway->adwanced, а OPT - минимальный.
                  Но незначительный служебный трафик по OPT все равно будет идти, будет ли его считать провайдер - не знаю.
                  Если OPT - PPPOE, например, и задержка на поднятие интерфейса не критична, можно включить Dial on demand в настройках OPT.

                  1 Reply Last reply Reply Quote 0
                  • G Offline
                    GSerg
                    last edited by

                    @pigbrother:

                    Я понял Вас,спасибо) Есть не очевидный (видимо) момент -до падения основного канала (WAN) никакого трафика вообще не должно идти через OPT1(трафик дорогой)

                    Так на то и правильные указания tier в failover.
                    Для гарантии дайте WAN максимальный Weight в System: Gateways: Edit gateway->adwanced, а OPT - минимальный.
                    Но незначительный служебный трафик по OPT все равно будет идти, будет ли его считать провайдер - не знаю.
                    Если OPT - PPPOE, например, и задержка на поднятие интерфейса не критична, можно включить Dial on demand в настройках OPT.

                    Большое спасибо за подробные рекомендации ) OPT как раз PPPOE .
                    Теперь далее- не работают почему-то вот эти правила (на скриншоте) :

                    Трафик продолжает успешно ходить,ничего не дропается.ЧЯДН?

                    pfs.png
                    pfs.png_thumb

                    1 Reply Last reply Reply Quote 0
                    • werterW Offline
                      werter
                      last edited by

                      У Вас сейчас весь трафик идет через WAN_DHCP6.  Далее, sip чаще всего исп. UDP - у Вас же стоит TCP во 2-м правиле сверху.

                      1 Reply Last reply Reply Quote 0
                      • D Offline
                        dvserg
                        last edited by

                        @werter:

                        У Вас сейчас весь трафик идет через WAN_DHCP6.

                        Т.е. порядок правил не корректен.

                        SquidGuardDoc EN  RU Tutorial
                        Localization ru_PFSense

                        1 Reply Last reply Reply Quote 0
                        • G Offline
                          GSerg
                          last edited by

                          @werter:

                          У Вас сейчас весь трафик идет через WAN_DHCP6.

                          Но физически WAN_DHCP6 выключен,и весь трафик идёт через OPT1.
                          Поле Gateway вообще за что отвечает и на что влияет?

                          1 Reply Last reply Reply Quote 0
                          • werterW Offline
                            werter
                            last edited by

                            sip чаще всего исп. UDP - у Вас же стоит TCP во 2-м правиле сверху.

                            1 Reply Last reply Reply Quote 0
                            • werterW Offline
                              werter
                              last edited by

                              Но физически WAN_DHCP6 выключен,и весь трафик идёт через OPT1.

                              Reset states сделайте.

                              Поле Gateway вообще за что отвечает и на что влияет?

                              Еще и как. Если только правильно настроено.

                              1 Reply Last reply Reply Quote 0
                              • G Offline
                                GSerg
                                last edited by

                                @dvserg:

                                @werter:

                                У Вас сейчас весь трафик идет через WAN_DHCP6.

                                Т.е. порядок правил не корректен.

                                А если поменять порядок правил,и поставить allow VOIP для OPT1 то весь трафик будет идти через OPT1(резервный канал)  всегда  независимо от того,работает ли WAN..
                                Задача в том,чтобы тем или иным образом
                                а) Заставить ВЕСЬ трафик в штатном режиме(это когда WAN работает) ходить через WAN -и VOIP  в том числе.OPT при этом поднят,но трафик через него должен быть запрещён-даже VOIP (канал этот резервный,трафик на нём тарифицируется довольно дорого)
                                б)При переключении на резервный канал OPT через него разрешается только хождение VOIP (SIP ,RTP ну и DNS).
                                Возможно ли такое сотворить с помощью Pfsense? Появилась было надежда с указанием в поле "Gateway" целевого шлюза для правила,но видимо это означает не то,что я думаю.

                                1 Reply Last reply Reply Quote 0
                                • P Offline
                                  pigbrother
                                  last edited by

                                  Ваше Default allow LAN to any rule, разрешающее все всем стоит выше остальных правил, из-за чего они не действуют - до них просто дело не доходит (правила выполняются сверху вниз).
                                  Поставьте  Default allow LAN to any rule последним, а свои правила - выше него.

                                  WAN_DHCP6 реально имет адрес IPv4 или IPv6? В правиле ведь явно задано IPv4. Без необходимости IPv6 использовать не надо.

                                  Появилась было надежда с указанием в поле "Gateway" целевого шлюза для правила,но видимо это означает не то,что я думаю.

                                  Указание  поля Gateway позволяет привязать любое правило к шлюзу. Описанная вами задача выглядит решаемой.

                                  1 Reply Last reply Reply Quote 0
                                  • G Offline
                                    GSerg
                                    last edited by

                                    @pigbrother:

                                    Ваше Default allow LAN to any rule, разрешающее все всем стоит выше остальных правил, из-за чего они не действуют - до них просто дело не доходит (правила выполняются сверху вниз).
                                    Поставьте  Default allow LAN to any rule последним, а свои правила - выше него.

                                    WAN_DHCP6 реально имет адрес IPv4 или IPv6? В правиле ведь явно задано IPv4. Без необходимости IPv6 использовать не надо.

                                    В реальности 4 версия IP,название просто осталось.Спасибо,сейчас попробую поменять правила местами.

                                    1 Reply Last reply Reply Quote 0
                                    • P Offline
                                      pigbrother
                                      last edited by

                                      Спасибо,сейчас попробую поменять правила местами.

                                      В принципе правильно расположенное разрешающее правило с dst-портом 5060 с указанием шлюза OPT одновременно запретит такому трафику ходить через шлюз WAN

                                      Не забывать reset states или reboot.

                                      1 Reply Last reply Reply Quote 0
                                      • G Offline
                                        GSerg
                                        last edited by

                                        @pigbrother:

                                        Появилась было надежда с указанием в поле "Gateway" целевого шлюза для правила,но видимо это означает не то,что я думаю.

                                        Указание  поля Gateway позволяет привязать любое правило к шлюзу. Описанная вами задача выглядит решаемой.

                                        Увы,это иллюзия и нативными средствами pfsense 2.2.2 эту задачу решить не получится.Загвоздка в том,что правило разрешающее только  VOIP через определённый интерфейс должно работать только при условии , что другой интерфейс лежит . Остаётся только организовать кластер pfsens'ов,или писать скрипты.

                                        1 Reply Last reply Reply Quote 0
                                        • S Offline
                                          Scodezan
                                          last edited by

                                          Не знаю что вы там городите, лично у меня последовательность

                                          
allow IPv4 TCP 192.168.1.244 * *  Ports80443  GW_MARK  none  (Vahta)
allow IPv4 TCP  LocalNet    * *  Ports80443  prio_mark  none  (MAIN ALLOW)

                                          запрещает компьютеру 192.168.1.244 переходить на резервный канал. Где GW_MARK основной шлюз, prio_mark - фаловер.

                                          С VoIP, конечно немного сложнее…

                                          1 Reply Last reply Reply Quote 0
                                          • P Offline
                                            pigbrother
                                            last edited by

                                            только при условии , что другой интерфейс лежит.

                                            Да, в правилах нет возможности привязки к состоянию шлюза\интерфейса.
                                            А не поможет ли  Allow default gateway switching?

                                            https://forum.pfsense.org/index.php?topic=45081.0

                                            1 Reply Last reply Reply Quote 0
                                            • First post
                                              Last post
                                            Copyright 2025 Rubicon Communications LLC (Netgate). All rights reserved.