Pfsense Wireless access point webgui bereiken

[R3MC02010]

Goededag,

mijn vraag is hoe bereik ik met mijn pc de webgui van me wireless ap.

pc zit op ip 192.168.100.15
Wireless ap zit op ip 192.168.200.0

ben nog vrij nieuw met pfsense dus misschien is het vrij makkelijk maar ik kom er niet uit,

heb het uitgetekend met paint voor de beeldvorming.



mvg remco

[ Voor 21% gewijzigd door R3MC02010 op 08-08-2017 18:43 ]

[Kabouterplop01]

kun je de AP pingen/ tracen?

-heb je gekeken naar je subnetting?
-heb je gekeken naar de rules die ping/trace tegen houden?
-heb je gekeken naar de routering?

[Vorkie]

@R3MC02010 je plaatje is stuk.

[R3MC02010]

Kabouterplop01 schreef op dinsdag 8 augustus 2017 @ 18:20:
kun je de AP pingen/ tracen?

-heb je gekeken naar je subnetting?
-heb je gekeken naar de rules die ping/trace tegen houden?
-heb je gekeken naar de routering?

ik kan me AP pingen vanaf mijn pc.

Zowel WAN LAN en OPT1 (AP) zitten allen op subnet 24 ( 255.255.255.0)

Hoe kan ik de routering checken ?

[R3MC02010]

Vorkie schreef op dinsdag 8 augustus 2017 @ 18:21:
@R3MC02010 je plaatje is stuk.

@ThaNetRunner
Nu wel als het goed is

[ Voor 4% gewijzigd door R3MC02010 op 08-08-2017 18:46 ]

[Annuk]

Je zit in 2 verschillende subnetten.. 192.168.100.xxx & 192.168.200.xxx
Dat gaat zonder firewall rules nooit bij elkaar komen omdat je een /24 subnet hebt

Trouwens haal ajb die horizonbox er tussenuit, dat is een drama ding wat betreft netwerk/switching, haal voor pakweg 2 tientjes even een gewone switch.

Vermoedelijk moet je je pc even afkoppelen in je netwerk, deze een vast IP-adres geven in de 192.168.200.xxx range, dan rechtstreeks je AP aankoppelen op je pc, hierin de settings veranderen dat deze OF op DHCP staat OF een vast adres geven in de 192.168.100.xxx range geven.
Daarna je PC weer in DHCP stand zetten en aankoppelen in je netwerk, als het goed is kan je nu je AP bereiken.

[ Voor 37% gewijzigd door Annuk op 08-08-2017 19:06 ]

[Vorkie]

Gewoon die LAN en OPT1 bridgen, tenzij je een reden hebt dat je ze gescheiden wilt houden:


https://www.infotechwerx....g-a-Simple-pfSense-Bridge

[R3MC02010]

Annuk schreef op dinsdag 8 augustus 2017 @ 19:04:
Je zit in 2 verschillende subnetten.. 192.168.100.xxx & 192.168.200.xxx
Dat gaat zonder firewall rules nooit bij elkaar komen omdat je een /24 subnet hebt

Trouwens haal ajb die horizonbox er tussenuit, dat is een drama ding wat betreft netwerk/switching, haal voor pakweg 2 tientjes even een gewone switch.

Vermoedelijk moet je je pc even afkoppelen in je netwerk, deze een vast IP-adres geven in de 192.168.200.xxx range, dan rechtstreeks je AP aankoppelen op je pc, hierin de settings veranderen dat deze OF op DHCP staat OF een vast adres geven in de 192.168.100.xxx range geven.
Daarna je PC weer in DHCP stand zetten en aankoppelen in je netwerk, als het goed is kan je nu je AP bereiken.

ik sluit mijn AP niet aan op mijn switch of via dezelfde lan port
dus hij valt niet in de dhcp range van 192.169.100.xxx

ik sluit hem aan als aparte interface zoals je op het plaatje kan zien.

Vorkie schreef op dinsdag 8 augustus 2017 @ 19:10:
Gewoon die LAN en OPT1 bridgen, tenzij je een reden hebt dat je ze gescheiden wilt houden:


https://www.infotechwerx....g-a-Simple-pfSense-Bridge

ik heb je optie geprobeerd,
wat leidde tot het opnieuw moette installeren van pfsense
ik kon er niet meer in komen

[mati1983]

de opt1 if van je pfsense doos heeft toch gewoon een 192.168.200.0/24 adres, net zoals je wireless devices? Wanneer je verkeer op die if naar de web interface toestaat vanaf 192.0.168.200.0/24 ben je er toch gewoon? Of mis ik nu iets..?

[Kabouterplop01]

Als je je ap kunt pingen (ik kon niet eerder reageren) dan betekent dat dat L3 connectivity hebt en dat je routering goed staat.
Met ping en trace kun je dat checken; met ping test je de end to end connection en met trace de routering.
(in dit geval betekent dat: weet het routeringsmechanisme in de firewall waar welk netwerk zit én weet het de weg terug, in dit geval een makkie; directly connected.)
Als je je nou aanleert dat je logging op je regels aanzet; als iets niet werkt kun je zien waarom het niet werkt
Het is exact wat mati zegt: verleen toestemming aan lan richting opt1 op poort 80 of 443 en verleen een tcp established op opt1 richting lan (ik weet niet of je stateful of stateless wilt firewallen)
Of als je het specifieker wilt maken van het specifieke ip adres
verleen toestemming van 192.168.100.15 naar 192.168.200.1 naar poort 80 of 443 (en die tcp established)
(je hebt je ip adres niet handig gekozen, maak er 192.168.200.1 van; als dit een /24 subnet heeft dan heb je het netwerkadres gekozen, moet je niet doen.)
Volgens mij dat dan werken.... tenzij een of andere RFC1918 regel roet in het eten gooit.
(ik ken pfsense niet goed genoeg om te weten of je de regel die hierboven staat bóven deze RFC1918 regel te kunnen zetten.)

[R3MC02010]

mati1983 schreef op woensdag 9 augustus 2017 @ 11:28:
de opt1 if van je pfsense doos heeft toch gewoon een 192.168.200.0/24 adres, net zoals je wireless devices? Wanneer je verkeer op die if naar de web interface toestaat vanaf 192.0.168.200.0/24 ben je er toch gewoon? Of mis ik nu iets..?

opt1 (wlan) 192.168.200.1
Lan 192.168.100.1

ik wil met mijn pc die op de lan if zit de webgui bereiken van de wlan 192.168.200.2

dus ze zitten niet in dezelfde ip range @mati1983

[Brahiewahiewa]

R3MC02010 schreef op dinsdag 8 augustus 2017 @ 18:34:
[...]ik kan me AP pingen vanaf mijn pc...

Dit is geen routeringsprobleem; dit is pebcak
Wat zegt je browser als je surft naar http://192.168.200.2 ?

[Kabouterplop01]

R3MC02010 schreef op donderdag 10 augustus 2017 @ 18:18:
[...]

opt1 (wlan) 192.168.200.1
Lan 192.168.100.1

ik wil met mijn pc die op de lan if zit de webgui bereiken van de wlan 192.168.200.2

dus ze zitten niet in dezelfde ip range @mati1983

Ahh check (ik moet eigenlijk nu mn reactie aanpassen)

[R3MC02010]

Brahiewahiewa schreef op donderdag 10 augustus 2017 @ 21:20:
[...]

Dit is geen routeringsprobleem; dit is pebcak
Wat zegt je browser als je surft naar http://192.168.200.2 ?

wel netjes gevonden 'PEBCAK'

maar daarom vraag ik het hier

[Brahiewahiewa]

Weet je op welke poort je AP luistert? Is dat 80, 443, 8008, 8080 of 1234 om maar eens een paar veelgebruikte te noemen

[Vorkie]

R3MC02010 schreef op vrijdag 11 augustus 2017 @ 08:21:
[...]


[afbeelding]

wel netjes gevonden 'PEBCAK'

maar daarom vraag ik het hier

Ik zie alsnog 192.168.100.2 staan ipv 192.168.200.2

En van welk merk is het access point?

[ Voor 6% gewijzigd door Vorkie op 11-08-2017 08:47 ]

[R3MC02010]

Vorkie schreef op vrijdag 11 augustus 2017 @ 08:47:
[...]


Ik zie alsnog 192.168.100.2 staan ipv 192.168.200.2

En van welk merk is het access point?

klopt heb pfsense opnieuw moeten installeren na het proberen van het bridge van 2 interfaces,
dus heb gekozen voor ip adressen die niet zo op elkaar lijken.

access piont is een netgear wndr 4000

Brahiewahiewa schreef op vrijdag 11 augustus 2017 @ 08:36:
Weet je op welke poort je AP luistert? Is dat 80, 443, 8008, 8080 of 1234 om maar eens een paar veelgebruikte te noemen

heb geen idee!
heb geen poort op hoeven geven toen ik mijn router in ap modus zetten

als ik via wifi op mijn gsm 192.168.100.2
kom ik rechtstreeks op de webgui van de AP,
zonder achtervoeging van port nummer

[Vorkie]

R3MC02010 schreef op vrijdag 11 augustus 2017 @ 08:58:
[...]


klopt heb pfsense opnieuw moeten installeren na het proberen van het bridge van 2 interfaces,
dus heb gekozen voor ip adressen die niet zo op elkaar lijken.

access piont is een netgear wndr 4000


[...]


heb geen idee!
heb geen poort op hoeven geven toen ik mijn router in ap modus zetten

als ik via wifi op mijn gsm 192.168.100.2
kom ik rechtstreeks op de webgui van de AP,
zonder achtervoeging van port nummer

Ga naar Firewall > Rules
Klik hier eerst op LAN, controleer of er een regel tussen staat die als volgt eruit ziet:
Groen vinkje, IPv4/IPv6, LAN net * * * * Default allow LAN to any rule
Is deze er niet, maak je deze aan.

Daarna controleer je OPT 1, kan je daar eens een printscreen van plaatsen

[R3MC02010]

Vorkie schreef op vrijdag 11 augustus 2017 @ 09:02:
[...]


Ga naar Firewall > Rules
Klik hier eerst op LAN, controleer of er een regel tussen staat die als volgt eruit ziet:
Groen vinkje, IPv4/IPv6, LAN net * * * * Default allow LAN to any rule
Is deze er niet, maak je deze aan.

Daarna controleer je OPT 1, kan je daar eens een printscreen van plaatsen

sorry voor de late reactie
(dagje weg met vrouw en kinderen)



heb bij allebei de interfaces de allow any rule staan

[Vorkie]

@R3MC02010 Ik zou toch een klein beetje meer beveiliging inbouwen

Even een voorbeeld; source is belangrijk, die blocking rules is gedaan zodat op gastenWIFI er niet naar de PFSense gebrowsed kan worden, maar wel de Captive portal.



En voor LAN; deze mag , net zoals GuestWiFi, alles inclusief een anti lockout rule voor het geval je een foutje maakt...


Op de WAN interface zouden er, los van mogelijk een NAT regel, geen verdere rules moeten staan.

Verder ben ik benieuwd hoe de NAT configuratie staat bij jouw.

[R3MC02010]

@ThaNetRunner

hierbij de nat instellingen en mappings
heb me rules aangepast na jou voorbeeld bedankt voor de tips.

maar nog steeds geen acces tot me webgui van de wifi ap.
heb tevens me horizonbox vervangen als switch voor een tp-link tl-sg108.





heb op de wan interface 2 regels staan.
block private networks,
block bogon networks,
maar die zijn allebei niet in geschakeld
tevens ook niet door mijn toegevoegd

[ Voor 19% gewijzigd door R3MC02010 op 11-08-2017 21:32 . Reden: toevoeging ]

[Vorkie]

R3MC02010 schreef op vrijdag 11 augustus 2017 @ 21:26:
@ThaNetRunner

hierbij de nat instellingen en mappings
heb me rules aangepast na jou voorbeeld bedankt voor de tips.

maar nog steeds geen acces tot me webgui van de wifi ap.
heb tevens me horizonbox vervangen als switch voor een tp-link tl-sg108.

[afbeelding]

[afbeelding]

heb op de wan interface regels staan
block private networks
block bogon networks
aar die zijn allebei niet in geschakeld
tevens ook niet door mijn toegeoegd

Nee die regels zijn goed

Even helemaal anders, op welke poort zit die Netgear aangesloten? WAN of LAN? Dus op de netgear zelf.

[R3MC02010]

Vorkie schreef op vrijdag 11 augustus 2017 @ 21:34:
[...]

Nee die regels zijn goed

Even helemaal anders, op welke poort zit die Netgear aangesloten? WAN of LAN? Dus op de netgear zelf.

aparte if opt1 die ik wlan heb genoemd

[Vorkie]

R3MC02010 schreef op vrijdag 11 augustus 2017 @ 21:37:
[...]


aparte if opt1 die ik wlan heb genoemd

Nee, op de netgear, niet de pfsense. Dus waar gaat de kabel vanuit PFsense in de netgear.

[R3MC02010]

voorheen gewoon een lan poort, maar heb gisteravond laat om geswitcht na wan.

[Vorkie]

R3MC02010 schreef op vrijdag 11 augustus 2017 @ 21:41:
voorheen gewoon een lan poort, maar heb gisteravond laat om geswitcht na wan.

Ja dan kan je er zeker niet bij vanaf WAN.

Maak van die router een access point.
Volg onderstaand stappen;

https://kb.netgear.com/20...er-I-ve-already-run-setup

Zorg dat PFSense de DHCP aanbiedt.

[R3MC02010]

Vorkie schreef op vrijdag 11 augustus 2017 @ 22:16:
[...]

Ja dan kan je er zeker niet bij vanaf WAN.

Maak van die router een access point.
Volg onderstaand stappen;

https://kb.netgear.com/20...er-I-ve-already-run-setup

Zorg dat PFSense de DHCP aanbiedt.

Dan ga ik hem weer aansluiten via lan,

Mijn netgear staat al in de ap mode
En pfsense doet de dhcp.

[NowayIndustries]

Heb je al gekeken bij Status > System Logs > Firewall?

Als je dan ziet dat er verkeer naar je AP geblokkeerd wordt kun je met het + knopje meteen een easy rule aanmaken.

[R3MC02010]

NowayIndustries schreef op vrijdag 11 augustus 2017 @ 22:54:
Heb je al gekeken bij Status > System Logs > Firewall?

Als je dan ziet dat er verkeer naar je AP geblokkeerd wordt kun je met het + knopje meteen een easy rule aanmaken.

heb geprobeerd wat je zei,

maar kan nergens vinden dat ik met 10.0.0.31 >>> 192.168.100.2 wil bereiken.

nogmaals ping en tracert uitgevoerd maar deze resultaten lijken me toch goed.




heb het gevonden het systeem log zegt dat die het door laat

(klik plaatje voor vergroting)

[ Voor 17% gewijzigd door R3MC02010 op 12-08-2017 07:16 . Reden: Toevoeging ]

[NowayIndustries]

R3MC02010 schreef op zaterdag 12 augustus 2017 @ 06:53:
heb geprobeerd wat je zei,

maar kan nergens vinden dat ik met 10.0.0.31 >>> 192.168.100.2 wil bereiken.

Volgensmij staat standaard de logging uit op de Allow rules van je LAN, als je die aanzet (Firewall > Rules > LAN) op de bovenste (of alle) regels die hebben:
source: LAN net
protocol: IPv4*
Destination: *
dan zou je ze moeten zien in de log, want anders zie je alleen de geblokkeerde entries in de log (of andere regels die toestaan en loggen aan hebben staan).

R3MC02010 schreef op zaterdag 12 augustus 2017 @ 06:53:
[...]
nogmaals ping en tracert uitgevoerd maar deze resultaten lijken me toch goed.

[afbeelding]
[afbeelding]

Ok dus pfSense kan het AP pingen, dat is in ieder geval goed. Wat krijg je voor resultaten als je dit vanaf je desktop/laptop deze commando's uitvoert? (traceroute/tracepath + ping op linux; tracert + ping op windows)

R3MC02010 schreef op zaterdag 12 augustus 2017 @ 06:53:
heb het gevonden het systeem log zegt dat die het door laat

(klik plaatje voor vergroting)
[afbeelding]

Dat ziet er dan ook goed uit, maar de TCP:S type betekent(zie ook het blauwe I icoon onderaan de pagina) dat dit de SYN package is.


Ik heb jouw situatie even na gedaan; ik heb mijn oude router op AP mode ingesteld, door te zeggen dat hij geen DHCP moest doen op LAN & zelf als DHCP client moest fungeren.

Bij mij heet de interface van pfSense die verbonden is met een van de lan poorten van de router-die-nu-AP-is 'DMZ'. In pfSense heb ik bij de instellingen van die interface: (Interfaces > DMZ)


Bij Services > DHCP Server > DMZ heb ik:

De rest van de opties is leeg

Vervolgens restart ik mijn router-die-nu-AP-is en zie ik onder Status > DHCP Leases


En nu kan ik (waarschijnlijk dankzei de standaard allow LAN to any regel) gewoon naar 10.0.8.12 browsen en krijg ik de webinterface van de router te zien.
Overigens zie ik ook TCP:S firewall log entries, maar het werkt wel gewoon.

[R3MC02010]

NowayIndustries schreef op zaterdag 12 augustus 2017 @ 12:28:


Ok dus pfSense kan het AP pingen, dat is in ieder geval goed. Wat krijg je voor resultaten als je dit vanaf je desktop/laptop deze commando's uitvoert? (traceroute/tracepath + ping op linux; tracert + ping op windows)

Vervolgens restart ik mijn router-die-nu-AP-is en zie ik onder Status > DHCP Leases
[afbeelding]

zie alleen niet onder DHCP leases mijn ap

[NowayIndustries]

R3MC02010 schreef op zaterdag 12 augustus 2017 @ 17:46:
[...]


[afbeelding]

[afbeelding]


[...]


zie alleen niet onder DHCP leases mijn ap

Staat jouw AP wel ingesteld als DHCP client dan? Of heb je hem een statisch adres gegeven (in de instellingen van de Netgear zelf). Ik heb hem expres op DHCP client gezet, zodat ik de lease kon zien. Maar jouw tracert en ping zien er prima uit, weet je zeker dat het niet lukt via de browser?

Je zou ook eventueel de guide van Netgear kunnen volgen, maar volgens mij kun je dan alleen bij de webinterface van de netgear als je via de LAN poorten of WIFI verbonden bent.

[ Voor 20% gewijzigd door NowayIndustries op 12-08-2017 18:20 ]

[R3MC02010]

NowayIndustries schreef op zaterdag 12 augustus 2017 @ 18:15:
[...]


Staat jouw AP wel ingesteld als DHCP client dan? Of heb je hem een statisch adres gegeven (in de instellingen van de Netgear zelf). Ik heb hem expres op DHCP client gezet, zodat ik de lease kon zien. Maar jouw tracert en ping zien er prima uit, weet je zeker dat het niet lukt via de browser?

Je zou ook eventueel de guide van Netgear kunnen volgen, maar volgens mij kun je dan alleen bij de webinterface van de netgear als je via de LAN poorten of WIFI verbonden bent.

ik ga vananond als iedereen in bed ligt het wireless gedeelte helemaal opnieuw doen
(anders begint de vrouw weer te klagen )

maar tot nu bedankt voor alle info iedereen