pfSense сегодня — VPN

[Ra-Jah]

Надеюсь баг в стабильной версии 2.5.1 с неработающим статическим NAT при нескольких WAN починили.

[Nova_Logic]

Там ещё были проблемы с ipsec туннелями при использовании carp:-(

[silinio]

что конкретно?

[silinio]

исправлен как раз в 2.5.2 -

https://docs.netgate.com/pfsense/en/latest/releases/2-5-2.html#rules-nat:
Fixed: Port forward rules only function through the default gateway interface, reply-to does not work for Multi-WAN (CE Only) #11805

[TheRaven]

В ветке 2.5 творится какая-то невнятная фигня с VPN и маршрутизацией. Периодически трафик начинает ходить мимо L2TP в основной шлюз и я вижу заглушку провайдера о цензуре, вместо нужного сайта. Помогает Status -> Filter Reload.
На более ранних релизах подобное не наблюдалось.

[Bonio]

Сделайте основным шлюзом vpn интерфейс, а не провайдерский wan.

[silinio]

• Создаёте Policy-Based Route правило сверху остальных на LAN интерфейсе, указав L2TP VPN шлюз в Advanced / Gateway

• На странице System > Advanced > Miscellaneous ставите галочку у Skip rules when gateway is down

Теперь если L2TP VPN шлюз недоступен то трафик будет дропаться чтобы не нарваться на цензуру

[TheRaven]

Так в том-то и дело, что гейтвей не даун, VPN работает и pfSense отмечает его зеленым на дашборде. А трафик идёт не туда.

[silinio]

Тут надо смотреть правила файрвола и настройки роутинга / Gateway Groups. Что-то не так с очерёдностью правил скорее всего.
А какая версия, кстати?

[TheRaven]

Последняя, 2.5.2-RELEASE (amd64)
С настройкой, на мой взгляд, всё в порядке т.к. подобная конфигурация на 2.3.4 работает без проблем.
Если хотите, я могу выложить скриншоты настроек, но по хорошему нужно смотреть что там в роутах в момент проблемы.

[silinio]

Можно и скриншоты

Вообще сделаю отдельную статью именно про настройку Firewall / NAT в pfSense

p.s. не могу ускорится из-за низкой кармы

[NekoYos]

Ага, долгое время сидел на "вашем" pfsense и всем рекламировал, и в итоге перешел на чистую FreeBSD с IPFW) Причина - полный контроль и тюнинг всего что хочу, гибкость и отсутствие рамок в которых ты должен использовать специфичный гуй. Больше к нему не вернусь. Хотя дома у меня машрутизатор на opnsense :)

[Bonio]

За годы использования pfsense ни разу не столкнулся с ограничениями в рамках гуи, хотя конфигарация сети у меня сложная, с vlan, несколькими vpn туннелями, резервированием интернета и разными маршрутами. Хотя обычно я тоже не сторонник гуи, но вот конкретно в pfsense он очень мощный и позволяет сделать вообще все, что требуется от маршрутизатора. Сценарии, когда вы хотите запустить на нем неспецефичные для маршрутизатора задачи, вроде торрентов и всякого стороннего софта я не рассматриваю.

[NekoYos]

KEA DHCP. Один из примеров на моей практике. Гуйный файрволл удобный, но после чистого ipfw не понимаю как можно гуем полбзоваться для файрвола. Ну и конфигать квагу из cli намного понятнее и приятнее нежели из гуя.

Но это все привычки и вкуса. Хорошо что в гуе pfsense почти все предусмотрели

[silinio]

KEA DHCP хорошая штука. Но чего именно не хватает в pfSense'вском DHCP сервере?

Для FRR (квагу уже давно никто не использует) есть возможность использовать RAW-конфиг. Там уже что хотите можно накручивать.

[camojiet]

Здравствуйте!

Прошу помощи, уважаемое сообщество!

Настроил IKEv2 на pfsense по вот этому ману:
https://docs.netgate.com/pfsense/en/latest/recipes/ipsec-mob...

Всё получилось, но мне нужна связь до IP-шки VPN клиента из внутренней сети. Сейчас клиенту выдаётся 192.168.253.129, и ниоткуда я не могу пингануть этот адрес (Я хочу подключаться к клиенту). У pfsense нигде не видно ни этого интерфейса, ни ip из сети vpn клиента. На самом клиенте тоже нет никакого другого адреса кроме его самого (шлюза нет).

Я уже всё облазил в конфигурации и почти всё в интернете. Интернет говорит, что мне надо смотреть в  сторону Site to site и в pfsense такое представлено вот так:
https://docs.netgate.com/pfsense/en/latest/recipes/ipsec-s2s...
И в этом случае нужны две белые IP-шки, а есть только одна.

Старый PPTPd позволял мне раздавать VPN клиентам IP-шки из внутренней сети, и я мог обращаться к клиентам напрямую и роутить на них.