pfSense Configuratie

[Proxx]

ik kom er niet meer uit en heb wat hulp nodig

probeer een pfsense-firewall achter een bestaand netwerk te hangen maar krijg geen internet.
lees verder om een duidelijkere omschrijving te vinden
<EDIT>

ik ga het anders uit leggen.
heb nu een modem/router (speedtouch) met het netwerk 192.168.1.0
daar wil ik een pfsense-firewall aan hangen. met daar achter ander netwerk.

dus dit eigenlijk:

10.1.1.0 <=> pfsense <=> 192.168.1.0 <=> modem/router <=> internet

pfsense op de hdd geinstalleerd. geconfigureerd:

WAN 192.168.1.65(DHCP)
LAN 10.1.1.123 (STATIC)
DHCP server enabled
DNS 192.168.1.254 <-- de speedtouch route/modem

nu werkt mijn internet niet via de pfsense.

tracert 192.168.1.254 (speedtouch.lan)

code:

1   <1 ms   <1 ms   <1 ms  pfSense.local [10.1.1.123]
2     1 ms   <1 ms   <1 ms  speedtouch.lan [192.168.1.254]

tracert google.nl

code:

1   <1 ms   <1 ms   <1 ms  pfSense.local [10.1.1.123]
2     *        *        *     Time-out bij opdracht.

nslookup naar google.nl:

code:

Name:    google.nl
Addresses:  216.239.59.104, 74.125.77.104, 209.85.229.104

[ Voor 145% gewijzigd door Proxx op 28-10-2009 13:15 ]

[joekoe]

zit er niet standaard ergens een vinkje aan in pfsense dat hij requests aan de wan kant die in een private net liggen blokkeert?

[Proxx]

Block private networks
When set, this option blocks traffic from IP addresses that are reserved for private
networks as per RFC 1918 (10/8, 172.16/12, 192.168/16) as well as loopback addresses
(127/8). You should generally leave this option turned on, unless your WAN network
lies in such a private address space, too.

Block bogon networks
When set, this option blocks traffic from IP addresses that are reserved (but not RFC 1918) or not yet assigned by IANA.
Bogons are prefixes that should never appear in the Internet routing table, and obviously should not appear as the source address in any packets you receive.

maar die heb ik al in alle mogelijke combinatie gehad

[joekoe]

hmm lijkt dan inderdaad goed.

kun je je regelset eens posten?

[Proxx]

joekoe schreef op woensdag 28 oktober 2009 @ 21:42:
hmm lijkt dan inderdaad goed.

kun je je regelset eens posten?

ik heb zojuist factory defaults gedaan de ene regel die ik nu vind is:



schema


als het met een regel toevoegen voor bijvoorbeeld wan opgelost kan zijn. dan ben ik al geholpen

alleen mijn netwerk interfaces heb ik ingesteld en mijn lan static ip

[ Voor 86% gewijzigd door Proxx op 29-10-2009 15:42 ]

[joekoe]

ik heb dat probleem geloof ik ook wel eens gehad wanneer de wan kant in een private range lag.

Probeer eens alles tijdelijk open te gooien.

Zowel op de Wan als de Lan kant.

[soulrider]

ik heb ongeveer dezelfde config enkel is het bij mij:
192.168.2.* ->pfsense -> switch met eigen clients in 192.168.1.* subnet -> adslmodem -> internet

(die pfsense staat op mijn pc in vmware en gebruikt 1 van de netwerkaansluiting voor dat eigen netwerk - waar openbare access points aanhangen en heeft als 2de aansluiting de vmware 'bridged'-connectie om de 2de lan-connectie van mijn pc die in het private gedeelte hangt ook te kunnen gebruiken: pc heeft *.5, pfsense *.12 op dat gedeelte)

in pfsense blokkeer ik elk verkeer van 192.168.2.* naar 192.168.1.* zodat een bezoeker niet even mijn modem kan herconfigureren of mijn eigen systemen proberen te hacken en ook omgekeerd is alles dicht gezet mocht er eentje toch op mijn private netwerk geraken dat er niets terug geraakt.

de eerste regel aan lan zijde bij mij:
block * LAN net * 192.168.1.1/24 * * block LAN -> WAN

ergens op het einde staat:
allow ICMP LAN net * * * * allow ICMP LAN -> any

(waardoor internet-systemen wel bereikbaar blijven maar het lan-netwerk nog steeds afgeschermd is)


en toch werkt een tracert netjes zoals het hoort.
(eentje naar tweakers.net loopt bv pas mis vlak voor tweakers zelf - tussen belbone.be en tweakers.net en dat is wellicht omdat die laatste geen eigen icmp doorlaat)

heb je nergens die icmp geblokkeerd? op je pfsense of op je modem?
werkt die tracert wel correct van je private netwerk?

misschien de captive portal opstaan en nog niet ingelogd geweest?
(maar dan zou je speedtouch ook al niet bereikbaar zijn geweest natuurlijk)


onderbuur: met of zonder NAT zou het moeten gaan.
ik heb bv ook NAT op pfsense en NAT op adsl-modem en bij werkt dat wel correct.
ik heb echter bij pfsense -> firewall -> nat de regel " Automatic outbound NAT rule generation (IPsec passthrough)" aanstaan.

Als NAT niet correct werkte zou ook de tracert naat eigen modem niet goed gaan bij TS.
het kan natuurlijk de NAT van de modem van TS zijn die lastig doet - want op die hop gaat het mis...
daarmee de vraag of het wel werkt vanaf private net (dat 172.* netwerk)


TS: kan je eventueel ook even testen met een client in dat 192.168.1.* netwerk?
zodat je weet of het probleem aan je pfsense ligt of aan je speedtouch.
(zou de eerste test moeten zijn zodra je problemen merkt achter de 2de router in je netwerk)

[ Voor 39% gewijzigd door soulrider op 29-10-2009 20:40 ]

[DiedX]

Zet je NAT eens uit, en maak er een echte router van...

[Proxx]

DiedX schreef op donderdag 29 oktober 2009 @ 20:32:
Zet je NAT eens uit, en maak er een echte router van...

sorry dat ik zo laat pas reageer. maar ik schaamde mij diep

ik zal het maar verklappen. eerst had ik wan via DHCP alles zag er goed uit. maar was het toch niet.
als ik op de interfaces pagina keek kwam alles gewoon netjes te staan. deed ik ifconfig kreeg ik elke keer rare dingen te zien. ipadres die 0.0.0.0 of subnet die heel anders was als dat ik moest hebben. daarna heb ik WAN van dhcp naar static gezet ( 192.168.1.30 ) / 32 je ziet het waarschijnlijk al maar ik had er overheen gekeken. naar een avond lang afzien kwam ik er de dag erna achter. hoe stom ook eigenlijk maar goed 32 veranderd naar 24 en alles werkt als een zonnetje

iig bedankt voor alle reacties