Pfsense als 2de router

[Clavat]

Ik ben een test omgeving aan het opzetten ook voor studie doeleinden en om de kennis bij te houden.
Nu doe ik dit gewoon thuis zoals de meesten van jullie.

En zit met een vraagstuk cq iets waar ik niet uitkom.

Ik heb een internet lijntje dat binnenkomt die naar een TL-WDR4300 gaat. Deze zorgt dus voor wireless en internet naar bepaalde apparaten in het huishouden.

Er gaat ook een kabel naar een ESXI bak daar ik Pfsense op geïnstalleerd heb.
So far so good.

De TL-WDR4300 deelt ip range 192.168.1.x uit dhcp aan natuurlijk voor de apparaten die er verbinding mee maken.
De Pfsense deelt aan de ESXI uit 192.168.2.x uit zonder DHCP omdat hier een W2k8 alsDHCP e.d. draait.
Internet krijg ik vanuit de PFsense. En werkt.

Echter ik wil dus ook van extern uit de Server kunnen benaderen in de 192.168.2.x reeks.
maar dit nis niet mogelijk.
Ik kan pingen van 192.168.2.x naar 192.168.1.x
Maar pingen van 192.168.1.x naar 192.168.2.x niet.
Stel ik op de Tplink een static rout in naar de 2.x krijg ik de melding met ping destination host unreachable.
Haal ik de static route weg dan Request timed out.

Nu heb ik in de PFsense de firewall uit staan.
Hoe kan ik ervoor zorgen dat ze elkaar wel kunnen zien en benaderen zonder dat de 2.x reeks gaat storen in de 1.x reeks omdat ik graag de proeftuin wil scheiden van de normale omgeving?

[Ximon]

Hoe ziet de routetabel op de pfSense router eruit?

[MdBruin]

Je zit al redelijk in de goede richting maar je bent 1 stap vergeten.

Het probleem zit niet of je de firewall aan hebt staan of niet maar in de route.
je zou het als volgt kunnen oplossen.
In de tplink maak je een static route aan voor het 192.168.2.0/24 naar je ip adres ( je 192.168.1.?) van je pfsense wan ip
vervolgens zal je in pfsense ook een static route aan moeten maken welke het verkeer routeert naar het 192.168.2.0/24 subnet.

Je geeft aan dat je beide netwerken wilt kunnen scheiden, dit kan je doen met je firewall door regels op te stellen wat wel mag en de rest op deny te zetten

[Clavat]

Dit is dan in een andere omgeving met andere ip ranges aangezien ik niet thuis ben maar op een andere locatie en daar ook zo'n zelfde soort opstelling gemaakt heb waar ik kan stoeien

[Clavat]

MdBruin schreef op woensdag 27 mei 2015 @ 09:00:
Je zit al redelijk in de goede richting maar je bent 1 stap vergeten.

Het probleem zit niet of je de firewall aan hebt staan of niet maar in de route.
je zou het als volgt kunnen oplossen.
In de tplink maak je een static route aan voor het 192.168.2.0/24 naar je ip adres ( je 192.168.1.?) van je pfsense wan ip
vervolgens zal je in pfsense ook een static route aan moeten maken welke het verkeer routeert naar het 192.168.2.0/24 subnet.

Je geeft aan dat je beide netwerken wilt kunnen scheiden, dit kan je doen met je firewall door regels op te stellen wat wel mag en de rest op deny te zetten

Dan krijg ik in PFsense de melding:
The following input errors were detected:

This network conflicts with address configured on interface .
Ik heb een tekening ter illustratie erbij gedaan

[ Voor 10% gewijzigd door Clavat op 27-05-2015 10:46 ]

[MdBruin]

Doe je dat op de machine die werkt of op de andere locatie?

Als je deze foutmelding krijgt zou NAT namelijk actief moeten zijn en gewoon routeren.
Als je een tracert gebruikt, waar gaat het dan mis?

Het blijft altijd een beetje lastig met 2 routers in 1 netwerk maar het is niet onmogelijk

Vraagje welk IP adres heeft de TPlink en welke de wan van PFsense.
Als ik me niet vergis heb je de gateway van je static route niet goed staan + je subnet waar je heen wilt (192.168.2.0/24 )

[ Voor 25% gewijzigd door MdBruin op 27-05-2015 10:57 ]

[Clavat]

MdBruin schreef op woensdag 27 mei 2015 @ 10:53:
Doe je dat op de machine die werkt of op de andere locatie?

Als je deze foutmelding krijgt zou NAT namelijk actief moeten zijn en gewoon routeren.
Als je een tracert gebruikt, waar gaat het dan mis?

Het blijft altijd een beetje lastig met 2 routers in 1 netwerk maar het is niet onmogelijk

Op de machine die werkt.
Als ik een tracert doe dan krijg ik bij 2:
Destenation host unreachable.

[MdBruin]

Zie mijn laatste aangepaste bericht.

Waarschijnlijk is je static route niet goed geconfigureerd.

Zou moeten zijn:

Static route 192.168.2.0 255.255.255.0 gateway (IP WAN pfsense)

[Hipska]

Heb je er rekening mee gehouden dat NAT niet actief mag/hoeft te staan op de Pfsense?

[Clavat]

Deze Meldingen krijg ik naar boven bij de Pfsense.

En als ik onder het kopje Firewall NAT kijk bij pfsense is die helemaal leeg

[ Voor 9% gewijzigd door Clavat op 27-05-2015 11:08 ]

[Fbarmentlo]

in PFSense(2e screenshot) moet je ipv 192.168.1.1, 192.168.1.0/24 invoeren:
1.1 - host adres
1.0 - netwerk adres

Daarnaast heeft PFSense dit adres al op 1 van de interfaces. Als het goed is kan PFSense dit netwerk dus wel vinden.
het probleem lijkt mij een ontbrekende route in de TP-link.

[ Voor 60% gewijzigd door Fbarmentlo op 27-05-2015 11:12 ]

[Clavat]

Fbarmentlo schreef op woensdag 27 mei 2015 @ 11:11:
in PFSense(2e screenshot) moet je ipv 192.168.1.1, 192.168.1.0/24 invoeren:
1.1 - host adres
1.0 - netwerk adres

Daarnaast heeft PFSense dit adres al op 1 van de interfaces. Als het goed is kan PFSense dit netwerk dus wel vinden.
het probleem lijkt mij een ontbrekende route in de TP-link.

Op de Tplink staat die ingesteld zoals de screenshot.
Dat zou goed moeten staan.
Doe ik op pfsense de 192.168.1.0/ 24 invoeren dan krijg ik identiek dezelfde foutmelding.

[MdBruin]

We kunnen er dus van uit gaan dat het IP adres welke aan de WAN kant van de PFsense zit 192.168.1.1 is?


Ander testje wat je kan proberen:

Pak een van je computers op je normale netwerk en zet daar handmatig een IP adres in
IP 192.168.1.100
Sub 255.255.255.0
Gateway -> IP van de WAN kant PFsense

Kijk nu eens of je het 192.168.2.x subnet kunt bereiken

Configuratie op de PFsense blijft NAT aan Firewall uit

[ Voor 7% gewijzigd door MdBruin op 27-05-2015 11:17 ]

[Clavat]

MdBruin schreef op woensdag 27 mei 2015 @ 11:16:
We kunnen er dus van uit gaan dat het IP adres welke aan de WAN kant van de PFsense zit 192.168.1.1 is?


Ander testje wat je kan proberen:

Pak een van je computers op je normale netwerk en zet daar handmatig een IP adres in
IP 192.168.1.100
Sub 255.255.255.0
Gateway -> IP van de WAN kant PFsense

Kijk nu eens of je het 192.168.2.x subnet kunt bereiken

Configuratie op de PFsense blijft NAT aan Firewall uit

Inderdaad De Tplink is 192.168.1.1
De WAN kant Pfsense is 192.168.1.7

De Lan kant van PFsense geeft uit 192.168.2.x

Ik heb een fixed ip 192.168.1.41
255.255.255.0
192.168.1.1

Ping: 192.168.2.1 (pfsense Lan interface) Destenation host unreachable
Ping 192.168.2.10 server op de ESXI: Destenation host unreachable

[MdBruin]

Kijk, in je TPlink zou dus de volgende static route horen te staan:

Static route 192.168.2.0 255.255.255.0 gateway 192.168.1.7

Op die manier weet je TPlink (welke via de DHCP als gateway word ingesteld) dat het 192.168.2.0/24 subnet te bereiken is via 192.168.1.7

Voor het testje, je gateway staat verkeerd zet deze maar eens op 192.168.1.7

[Clavat]

MdBruin schreef op woensdag 27 mei 2015 @ 11:26:
Kijk, in je TPlink zou dus de volgende static route horen te staan:

Static route 192.168.2.0 255.255.255.0 gateway 192.168.1.7

Op die manier weet je TPlink (welke via de DHCP als gateway word ingesteld) dat het 192.168.2.0/24 subnet te bereiken is via 192.168.1.7

Voor het testje, je gateway staat verkeerd zet deze maar eens op 192.168.1.7

Thanks,

Nu werkt het idd.
Daar zat de fout.
Ik er de hele tijd overheen zitten kijken.
En denken je moet op jet hele segment de gateway instellen.

[MdBruin]

Is niet nodig zoals je ziet, je moet alleen zorgen dat je gateway moet weten waar die moet zoeken.
Wat er de hele tijd dus gebeurde is dat deze naar je internet provider ging zoeken waar het 192.168.2.0/24 netwerk bereikbaar was. Deze is geblokkeerd aangezien dit een private range is en krijg je dus destination unreachable.

Voor de zekerheid, op je WAN kant van de PFSense heb je static 192.168.1.7 gezet of via DHCP?
Als dit via DHCP is even een reservering in de DHCP server zetten voor het MAC Adres van de WAN ethernet kaart van de PFSense. Anders kan deze een ander IP adres krijgen en dan werkt het weer niet

[ Voor 31% gewijzigd door MdBruin op 27-05-2015 11:56 ]

[Clavat]

Ja nu ik het inderdaad allemaal na aan het gaan ben.
Klopt het ook. Even helemaal ontschoten

[tomdabom]

Fbarmentlo schreef op woensdag 27 mei 2015 @ 11:11:
in PFSense(2e screenshot) moet je ipv 192.168.1.1, 192.168.1.0/24 invoeren:
1.1 - host adres
1.0 - netwerk adres

Daarnaast heeft PFSense dit adres al op 1 van de interfaces. Als het goed is kan PFSense dit netwerk dus wel vinden.
het probleem lijkt mij een ontbrekende route in de TP-link.

TS geeft toch al aan dat hij naar de gateway van subnet 192.168.1.0/24 kan pingen, dus heeft PFSense daarvoor gewoon een route.

Omdat er geen route is naar subnet 192.168.2.0/24 kan je dus ook niet van subnet 192.168.1.0/24 pingen naar subnet 192.168.2.0/24. Basic routing people!

Edit: Lezen van de rest van de posts is ook makkelijk, zie dat het probleem al is opgelost.

[ Voor 6% gewijzigd door tomdabom op 27-05-2015 13:23 ]