Virtueel WAN met PFSense

[jordje]

Ik heb een uitdaging die mij redelijk eenvoudig lijkt maar waar ik niet helemaal uitkom.

Ik heb een machine met meerdere fysieke interfaces. Één van deze interfaces komt in een normaal netwerk te hangen, met subnet 172.16.1.0/24.

Aan de andere 4 interfaces komt elk één device. Het probleem is dat al deze devices hetzelfde IP adres hebben (10.0.0.2). Ik zou deze op interface-niveau willen vertalen in PFSense naar een adres in de 192.168.2.0/24 range. Als je dus vanuit het 172.16.1.0 subnet pingt naar 192.168.2.2, deze bij het eerste device komt, en idem dito voor de andere 192.168.2.0/24 adressen.

Nu dacht ik dat ik in PFSense 4 interfaces kon maken met de adressen 192.168.2.2/32, 192.168.2.3/32, 192.168.2.4/32 en 192.168.2.5/32. Vervolgens met 1:1 NAT regels alle verkeer doorzetten naar 10.0.0.2 op deze interface. Dit werkt helaas niet, ook niet als ik aan de interfaces een virtueel ip 10.0.0.1 toevoeg.

In mijn hoofd moeten de 4 interfaces een soort eigen routertje worden, met LAN 10.0.0.1/30, en een WAN-adres in 192.168.2.0/24. Het is echter niet mogelijk om meerdere interfaces in PFSense hetzelfde IP-adres te geven.

Een laatste optie die ik heb is om tussen elke device en interface een fysiek routertje te hangen met het device aan de LAN kant, en een WAN-adres in de 192.168.2.0 range, en alle porten te forwarden naar 10.0.0.2. Vervolgens deze routertjes aan één interface van de PFSense box te hangen. Het liefst doe ik alles echter op 1 machine.

Ik hoor graag of dit mogelijk is en wat ik dan verkeerd doe.

Ik heb een schema gemaakt van wat ik zou willen bereiken:

[MasterL]

Oef ik weet niet of Pfsense dit kan maar dit is wat ik zou doen:
4 interfaces/VLANS o.i.d. in 4 verschillende VRF's hangen, dit kan op die manier dus wel 4x 10.0.0.1/30 worden bijvoorbeeld.
Als je vervolgens 4 "dummy" LAN IP's aanmaakt bijvoorbeeld:
172.16.1.3
172.16.1.4
172.16.1.5
172.16.1.6

Zou je met routing/mangle rules zoiets moeten doen:
IN interface: LAN, DST IP 172.16.1.3, lookup in table/VRF device1 (ofzo).
In de routing table kun je al het verkeer (0.0.0.0/0) routeren naar 10.0.0.2
Verder kun je een SRC nat instellen op de uitgaande interface (masquerade) zodat het verkeer wat binnenkomt op het "device" als SRC adres 10.0.0.1 heeft.

Wat je op deze manier doet is een interface (inc bijhorende IP) in een aparte routing table plaatsen waardoor deze niet conflicteert. Met een Mikrotik of gewoon in Linux is dit niet z'n probleem maar vrees toch dat dit een optie is niet in Pfsense zit.

[ Voor 39% gewijzigd door MasterL op 28-11-2024 15:08 ]