Hilfe bei der Fehlersuche

mark99

Hallo zusammen,

kann ich herausfinden, was die pfSense mit einem ping bzw traceroute Befehl eines Clients macht, der bei ihr ankommt, aber nicht an das Ziel weitergeleitet wird?

In den Logs (Status -> SystemLogs) der Firewall hätte ich etwas erwartet wie ClientIp ICMP oder ähnliches .
Die von mir verwendete ClientIP taucht aber in den Logs nicht auf und Ping bzw traceroute kommt nicht am Server hinter der pfSense an.

Liebe Grüße
Markus

viragomann

Verwende Packet Capture aus dem Diagnostics Menü.
Wähle z.B. das Interface, an dem Pakete die pfSense verlassen sollen, als Protokoll wähle ICMP für Pings, die IP lasse sicherheitshalber leer, wenn du nicht sicher bist, was NAT damit macht, starte das Capture und starte den Ping am Client. Beende dann das Capture, um das Ergebnis zu sehen.

Wie schon im anderen Thread angedeutet, es kommt häufig vor, dass ein Ping am Zielhost zwar ankommt, aber die Antwort dessen nicht zurück zum Quellhost, weil NAT oder Routing nicht passen.
Das Packet Capture zeigt dir die jeweiligen IP Adressen, an welchen zu erkennen ist, ob und was NAT tut, was bei der Fehlersuche ganz gut helfen kann.

mark99

Du bist der Hammer :D


20:33:24.807556 IP 10.49.0.84 > 192.168.1.2: ICMP echo request, id 11056, seq 40014, length 60
20:33:25.809118 IP 10.49.0.84 > 192.168.1.2: ICMP echo request, id 11056, seq 40270, length 60
20:33:26.871322 IP 10.49.0.84 > 192.168.1.2: ICMP echo request, id 11056, seq 40526, length 60
20:33:27.934295 IP 10.49.0.84 > 192.168.1.2: ICMP echo request, id 11056, seq 40782, length 60
20:33:28.503428 IP 10.49.0.84 > 10.49.0.181: ICMP echo request, id 22666, seq 0, length 64

Auslöser: ping an 10.49.0.181 über das GW 192.168.1.2

Wenn ich das richtig lesen, kommt der Ping an die richtige Stelle von der richtigen Adresse.

viragomann

Danke :) Ich verwende nur die pfSense ein paar Tage länger. :D

An der richtigen Stelle? Ja.
Von der richtigen Adresse? Nein.

Genau wie oben geschrieben, der Ping kommt von 10.49.0.84. Diese Adresse kennt das Gateway nicht und wird den Response (, den du hier auch sehen müsstest) an sein Default Upstream Gateway schicken, also vermutlich Richtung Internet.

Übrigens, die Zusammenhänge hier sind nur zu verstehen, wenn man deinen anderen Thread kennt.

mark99

https://forum.pfsense.org/index.php?topic=106588.0