Multiwan + vlan = отваливаются vlan'ы [решено]

[igroykt]

Есть два провайдера. Один на pppoe а другое по ipoe.
Есть 6 подсетей:
wired_lan - vlan100
administr - vlan110
wifi1 - vlan200
conf_small - vlan400
conf_big - vlan500
ip_cam_tel - vlan600
Все подключены к procurve2824 (коммутатор работает в режиме layer-2).

Задача: сделать балансировку трафика и раздать подсетям.

Создаю gateway group:
group name - loadbalance
gateway1 - ttk_pppoe - tier 1
gateway2 - rtk_ipoe - tier 1
trigger level - member down

Далее правлю rules (у интерфейса wire_lan только это правило):
proto - ipv4
source - wired_lan
port - *
destination - *
port - *
gateway - loadbalance
После чего происходит следующая ситуация:
шлюз видит всех
вланы не видят друг друга
у всех есть доступ в интернет

Outbound:
interface - ttk_ppoe
source - wired_lan_net
source port - *
destination - *
nat address - ttk_ppoe_address
nat port - *

2.1.5-RELEASE (amd64)

Куда копать?

[werter]

Далее правлю rules (у интерфейса wire_lan только это правило):
proto - ipv4
source - wired_lan
port - *
destination - *
port - *
gateway - loadbalance

После чего происходит следующая ситуация:
шлюз видит всех
вланы не видят друг друга
у всех есть доступ в интернет

Все верно. Шлюзом по-дефолту является канал в Инет. Весь трафик туда и уходит.

Пф стоит перед свитчом, имеет несколько физ. интерфейсов , в к-ые приходят провайдеры (ВАНы), а кабель от ЛАН пф-а воткнут в порт на свитче ?
Если это так, то этот порт должен быть tagged всеми ID имеющихся влан , т.е. он должен быть multi-tagged. А порты, куда приходят ЛАНы - untagged.

Покажите скрины правил fw на всех интерфейсах.
Покажите, что выдает свитч по sh run и  sh vlan

[igroykt]

@werter:

Далее правлю rules (у интерфейса wire_lan только это правило):
proto - ipv4
source - wired_lan
port - *
destination - *
port - *
gateway - loadbalance

После чего происходит следующая ситуация:
шлюз видит всех
вланы не видят друг друга
у всех есть доступ в интернет

Все верно. Шлюзом по-дефолту является канал в Инет. Весь трафик туда и уходит.

Пф стоит перед свитчом, имеет несколько физ. интерфейсов , в к-ые приходят провайдеры (ВАНы), а кабель от ЛАН пф-а воткнут в порт на свитче ?
Если это так, то этот порт должен быть tagged всеми ID имеющихся влан , т.е. он должен быть multi-tagged. А порты, куда приходят ЛАНы - untagged.

Покажите скрины правил fw на всех интерфейсах.
Покажите, что выдает свитч по sh run и  sh vlan

Спасибо! На счет шлюза ты был прав.
Трейсороут показал что локальные айпи уходит искать во внешку %)
Включил ip routing и сделал адреса вланов шлюзами для подсетей (теперь маршрутизацией внутренних сетей занимается чисто коммутатор что логически правильно).
Одно не удобство это то что теперь указывать правила маршрутизации для других сетей надо в правилах vlan100 (основная сеть).
А так pfsense подключен к порту 1 который является trunk поскольку vlan интерфейсов 6 штук. Порты для ланов не тегированные.

[WY6EPT]

а правила в свиче через ACL пишешь? как файрволишь то?
или у тебя нет необходимости файрволить внутренние подсети?
одно не пойму. почему вланы на пфсенсе не принимать на отдельные интерфейсы?
у меня сейчас порядка 30 интерфейсов все прилетают через разные сетевухи.
WAN тоже тегами прилетают