» pfSense межсетевой экран

Присоединяюсь, книга очень нужна. Хотя это черновик.

Цитата:

Если успели выкачать pfSense book 21draft

я успел, но уже стёр.
ничего особенного там нет, драфт и в Африке черновик -- куча глав только обозначена заголовками без контента, ип6 нет и т.д. -- лучше предыдущую книжку читать

Цитата:

ничего особенного там нет, драфт и в Африке черновик -- куча глав только обозначена заголовками без контента, ип6 нет и т.д.

Присоединяюсь к сему оратору.

доброго времени суток!

помогите пожалуйста с таким вопросом:
у меня pfSense разделяет две сети (192.168.1.0 и 172.16.1.0). В первую сеть 192.168.1.0 смотрит интерфейс 192.168.1.1, на котором настроен PortForwards порта 8080 на сервер 172.16.1.2 из второй сети, в неё смотрит интерфейс 172.16.1.1. При обращении клиента (допустим 192.168.1.2) к 192.168.1.1:8080 на сервере 172.16.1.2 я вижу обращение с адреса 192.168.1.2.
Вопрос: в какие настройки лезть и что менять, чтобы pfSense подменял в исходящих пакетах 192.168.1.2 на свой внешний 172.16.1.1 и соответственно все общение с другой сетью шло именно от этого ip?
надеюсь более менее понятно обрисовал проблему

версия pfSense-2.1-RELEASE

спасибо

Nogard2
Для этого вам надо настроить нат из 192 сети в 172-ую. Тогда PortForwards не нужен будет.

urodliv
подскажите в каком пункте pfsense он настраивается?
PortForwards нужен чтобы отобразить на сеть 192.168.1.0 сервер из 172.16.1.0

Nogard2
PortForwards процедура обратная процедуре "трансляции сетевых адресов". Если вы её сейчас используете, то это говорит о том, что сеть 172 находится за nat`ом по отношению к 192.
Вы же при этом хотите, чтобы и 192 сеть была за nat`ом по отношению к 172. Это два взаимоисключающих процесса.
Так что вы бы определились зачем вам такие сложности. От кого и что пытаетесь скрыть.

urodliv
я просто хочу сделать так, чтобы пользователи сети 192.168.1.0 работали с сервером из сети 172.16.1.0 без шлюза, без дополнительных каких то настроек - так как будто эта машина находится в сети с ними. Потом планирую со стороны 172.16.1.0 провернуть такую же операцию в сторону 192.168.1.0, но пока останавливает отсутствие знаний работы с pfsense и его возможностей

Добавлено:
всё, кажись допер, т.к. заработало. Надо настроить Firewall: NAT: Outbound.
Уря! )

Доброго времени суток, такая ситуация, настраивал OpenVPN site to site так и не получилось настроить пока что, грешу на firewall тк белый ip из вне не пингуется, на другом роутер сервере на ipcop - с внешки пингуется ip но на web- морду зайти удалённо нельзя.
Вот хотелось бы тоже самое настроить и для pfsense. Можно подкинуть ссылку, а то искал и не чего толком не нашел ну или тута подсказать, я думаю это несложно делается, тк как у меня для WAN интерфейса совсем нету не каких правил (
И может из за этого OpenVPN не работать ?

Я думаю Вам достаточно повесить на WAN интерфейс правило "pass any to any", но это аля не безопастно. Но для проверки я думаю достаточно будет. Если все заработает, ищите порты, которые использует VPN (их что-то около 4-х, на память не помню) и прописывайте руками.
У меня тоже на ПФ у одного клиента почему-то не работает клиент VPN, поднимаемый с винды, а вот у некоторых других на микротиках поднимается нормально. Тоже не понял пока в чем дело.

SaintZyo
Делал вот по этому http://www.youtube.com/watch?v=VdAHVSTl1ys
пишет ошибку:
Tue Apr 01 11:16:03 2014 OpenVPN 2.3.2 i686-w64-mingw32 [SSL (OpenSSL)] [LZO] [PKCS11] [eurephia] [IPv6] built on Aug 22 2013
Enter Management Password:
Tue Apr 01 11:16:06 2014 Control Channel Authentication: using 'pfsense-udp-1194-1-tls.key' as a OpenVPN static key file
Tue Apr 01 11:16:06 2014 UDPv4 link local (bound): [undef]
Tue Apr 01 11:16:06 2014 UDPv4 link remote: [AF_INET]МОЙ IP:1194
Tue Apr 01 11:16:06 2014 WARNING: this configuration may cache passwords in memory -- use the auth-nocache option to prevent this
Tue Apr 01 11:16:07 2014 [VPN Server Cert] Peer Connection Initiated with [AF_INET]МОЙ IP:1194
Tue Apr 01 11:16:09 2014 do_ifconfig, tt->ipv6=0, tt->did_ifconfig_ipv6_setup=0
Tue Apr 01 11:16:09 2014 open_tun, tt->ipv6=0
Tue Apr 01 11:16:09 2014 All TAP-Windows adapters on this system are currently in use.
Tue Apr 01 11:16:09 2014 Exiting due to fatal error
С учётом того, что все правила и сервак создаётся автоматически, в чём может быть проблема ?

Если честно, сам VPN-сервер на ПФ я не поднимаю. Так что тут я Вам врядли помогу. Я просто пров для клиентов, которые уже сами воротят, что хотят)

tempik
дык нету
TAP-Windows adapters on this system

Вот я думаю тут будет лучше почитать или задать
https://forum.pfsense.org/index.php?board=9.30

SaintZyo
Вот моя проблема (
Вот как я делаю
сервер
http://i011.radikal.ru/1404/6c/e170142d9628.png
вот сами сертификаты
http://s52.radikal.ru/i137/1404/bd/044e06d80c08.png
Кружочками обведено, что я экспортирую.
Вот конфиг из под винды:
dev tun
persist-tun
persist-key
cipher AES-128-CBC
auth SHA1
tls-client
client
resolv-retry infinite
remote Мой IP порт udp
lport 0
verify-x509-name "VPN Server Cert" name
#auth-user-pass
ca ServerOpenVPNSiteToSite.crt
cert UsrSertSiteToSite.crt
key UsrSertSiteToSite.key
#pkcs12 pfsense-udp-1194-1.p12
#tls-auth pfsense-udp-1194-1-tls.key 1
ns-cert-type server
comp-lzo

И вот лог:
Wed Apr 02 13:13:37 2014 OpenVPN 2.3.2 i686-w64-mingw32 [SSL (OpenSSL)] [LZO] [PKCS11] [eurephia] [IPv6] built on Aug 22 2013
Enter Management Password:
Wed Apr 02 13:13:38 2014 UDPv4 link local (bound): [undef]
Wed Apr 02 13:13:38 2014 UDPv4 link remote: [AF_INET]Мой IP:Порт
Wed Apr 02 13:14:38 2014 TLS Error: TLS key negotiation failed to occur within 60 seconds (check your network connectivity)
Wed Apr 02 13:14:38 2014 TLS Error: TLS handshake failed
Wed Apr 02 13:14:38 2014 SIGUSR1[soft,tls-error] received, process restarting
Wed Apr 02 13:14:40 2014 UDPv4 link local (bound): [undef]

Что я делаю не так ?)
Вот WF
http://s005.radikal.ru/i210/1404/50/7e0f24f4b2c0.png
Порты поправил, на сервере и в WF 1194

Trotter_NN, а почему #tls-auth pfsense-udp-1194-1-tls.key 1 в клиентском конфиге закомментирован, если на сервере он включен? Либо на клиенте включить tls и разместить на клиенте корректный tls-auth pfsense-udp-1194-1-tls.key, либо на сервере отключить TLS. Собственно он и в логах у вас говорит: TLS Error: TLS handshake failed ...

#!/bin/sh

#USERNAME="MyUsername"
#PASSWORD="MyPassword" # Your HMA_USER_PASSWORD not PPTP password
PROTOCOL="udp" # udp / tcp MUST BE lower case

# Add - delete - edit servers between ##BB## and ##EE##
REMOTE_SERVERS="
##BB##
# Atlanta - UDP
remote Мой IP порт
##EE##
"

#### DO NOT CHANGE below this line ####

CA_CRT='-----BEGIN CERTIFICATE-----
ключик
-----END CERTIFICATE-----
'

CLIENT_CRT='Ключик
'

CLIENT_KEY='Ключик'

OPVPNENABLE=`nvram get openvpncl_enable | awk '$1 == "0" {print $1}'`

if [ "$OPVPNENABLE" != 0 ]
then
nvram set openvpncl_enable=0
nvram commit
fi

sleep 30
mkdir /tmp/hmavpncl; cd /tmp/hmavpncl
#echo -e "$USERNAME\n$PASSWORD" > userpass.conf
echo "$CA_CRT" > ca.crt; echo "$CLIENT_CRT" > client.crt; echo "$CLIENT_KEY" > client.key
echo "#!/bin/sh" > route-up.sh; echo -e "#!/bin/sh\nsleep 2" > route-down.sh
echo "#!/bin/sh
iptables -I FORWARD -i br0 -o tun0 -j ACCEPT
iptables -I FORWARD -i tun0 -o br0 -j ACCEPT
iptables -I INPUT -i tun0 -j REJECT
iptables -t nat -A POSTROUTING -o tun0 -j MASQUERADE" > /tmp/.rc_firewall
chmod 644 ca.crt client.crt; chmod 600 client.key userpass.conf; chmod 700 route-up.sh route-down.sh
chmod 700 /tmp/.rc_firewall
sleep 30
echo "client
proto $PROTOCOL
tls-client
client
dev tun
#proto udp
tun-mtu 1400
remote-random
cipher BF-CBC
comp-lzo
verb 3
ns-cert-type server
ca ca.crt
cert client.crt
key client.key
daemon
#auth-user-pass userpass.conf
#remote-random
$REMOTE_SERVERS" > openvpn.conf
ln -s /tmp/hmavpncl/hmavpn.log /tmp/hmavpn.log
(killall openvpn; openvpn --config /tmp/hmavpncl/openvpn.conf --route-up /tmp/hmavpncl/route-up.sh --down-pre /tmp/hmavpncl/route-down.sh) &
exit 0

Стоит ли добавлять вот это ?
iptables -I INPUT 3 -i tun0 -p icmp -j ACCEPT
iptables -I INPUT 1 -i tun0 -p tcp --dport 80 -j ACCEPT

Вот не подключается он с этим конфигом, хоть тресни (((
Добавил в Sava Start Up
Ребутнул роутер, смотрю лог в pfsense а он пустой, он даже не пытается стукнутся

OpenVPN кто нито нормально умудрился настроить ? Нужна помощь с маршрутизацией не вижу сети за VPN

Подскажите, пожалуйста:
можно ли с помощью PfSense опубликовать множество web серверов при наличии одного внешнего IP?
Сейчас для этих целей используется TMG, но по ряду причин принято решение от него отказаться.
Суть задачи такова:
приходит клиент по урлу site1.contoso.com а firewall транслирует его в 192.168.1.50:8080
site2.contoso.com = 192.168.1.50:8081
site3.contoso.com = 192.168.1.100:80

Вроде как из коробки PfSense это не умеет, но дополнительно прикрутить такую возможность можно

deIfin

могу ошибаться но вы кажется катите роутер заставить выполнять функции веб сервера ..

то что вы написали делает апачь.. или используйте разные белые адреса и тогда роутер сможет пробросить сайт (порт на нужный сервер)

deIfin
pfsense - squid reverse proxy

копайте в этом направлении, на форуме сенса есть как это делается

Alexandrnew,
Спасибо, squid reverse proxy - это, кажется, то что нужно!

vit2002,
к сожалению, такова жизнь. Во-первых заказчик привык к ТМГ и хочет роутить трафик именно на шлюзе (и там есть своя специфика). Во-вторых, нет возможности заполучить нужное кол-во IP.

vit2002, pfSense типа межсетевой экран (МЭ), как бы. Так что фильтровать URL - его задача. Описание SquidGuard на русском http://iskatel.hut4.ru/index.php/ru/pfsense/85-stati/packages/pfsense-packages-squidguard

Добрый день!

установил pfsense захожу System-Pakages а там нет snort

Помогите где копать?


Заранее спасибо!


http://bruteforcer.ru/ustanovka-i-nastrojka-idsips-snort-v-pfsense/

artclub
а там хоть что то есть? днс правильно настроен?

SergeSerge3leo

насчет фильтровать соглашусь еще но не выполнять роль веб-сервера , рассовывовая нужные домены по нужным айпи...... чего требовалось по вопросу!

Alexandrnew

Там нет нечего!

Днс по умолчанию, какие днс нужно выставить и шлюз то же нужно указать?



Добавлено:
Alexandrnew

Спасибо что указали где копать!

Все настроил идет скачивание!

Добрый день!

Установил snort сделал регистрацию и настроил как показано по этой ссылке!
https://www.youtube.com/watch?v=n8TmfLJku-s

но как теперь настроить чтоб snort контролировал трафик майл сервера?

параметры майл сервера

WAN

81.17.81.13

LAN
172.16.*.*

где и что нужно прописать или подключить на Pfsense или snort чтоб трафик контролировался?

как я понял при запросе на 81.17.81.13 они должны попадать на snort, а snort должен проверять и пересылать весь трафик на майл сервера?!

значит нужно подменить IP на майл сервера и snort?!

Подскажите где я ошибся?!


Заранее спасибо!

lynx, Crash_Master, dg, emx, ShriEkeR

Добрый день!

Очень нужна помощь!

Помогите пожалуйста настроить Pfsense + snort чтоб контролировал трафик на майл сервере !



параметры майл сервера

WAN

81.17.81.13

LAN
172.16.*.*


параметры Pfsense + snort

WAN 10.10.10.51

Lan 172.16.51.1


Что и где нужно включить чтоб все заработало?

Заранее спасибо!

artclub
на родном форуме искали? там есть русская ветка в т.ч.