[Thread ufficiale] pfSense Firewall

[pegasolabs]

E ti è convenuto?

[Njon]

Ragazzi ho bisogno di una mano:
Ho installato pfsense su virtualbox e creato due schede di rete in bridge. Bene dopo qualche ora di corretto funzionamento (il mio router è settato in bridge), la wan smette di funzionare e la connessione internet defunge. Nei log leggo "multiple interfaces match the same subnet.
Ma perchè esattamente dopo qualche ora smette di funzionare??

Aiuto

[alfonsor]

hai sbagliato da qualche parte la configurazione della WAN o della LAN, qualche host della LAN ha preso lo stesso indirizzo della LAN o cosa similare

se ti connetti con una WAN ppoe via il router il full bridge, la WAN deve essere ovviamente settata come ppoe

controlla un pò la configurazione di LAN e WAN

[malatodihardware]

Originariamente inviato da pegasolabs

E ti è convenuto?

Scusa ma mi era sfuggito il post, comunque direi di si, per 100 euro ho una appliance con 8 porte gigabit e buone performance generali (in routing puro è sui 650 MB/s)

@njon: già la situazione in bridge puro su hardware fisico va configurata bene, su virtuale potrebbe dare diversi grattacapi.. La scheda di rete fisica che è in bridge ha un ip? Puoi provare con hardware fisico almeno vediamo se è tutto ok come configurazione?

[Njon]

Allora la configurazione è la seguente:
1 router : ip 192.168.0.2
pfsense virtualizzato : WAN PPoE - LAN 192.168.0.1
eventuali client.
Il tutto è montato così

ROUTER ----------- SWITCH ------------- PFSENSE
\
-------------Altri PC
E fin qui non dovrebbe esserci nulla di male. Il problema è che io vorrei poter usare il wifi del router, quindi probabilmente è per quello che pfsense non capisce più nulla, in quanto vede su quella che è la linea WAN una sottorete uguale alla LAN.
Quello che mi sembra strano è: perchè se ne rende conto dopo un certo periodo di tempo? non dovrebbe non funzionare da subito?

[malatodihardware]

Può darsi che se ne accorge solo quando un device sotto la lan prende l'ip 0.2, comunque è una configurazione completamente sbagliata, senza le vlan (e quindi un firmware modificato sul modem/router) non ce la farai mai..

Inviato dal mio MB525

[alfonsor]

basta che dai al router/modem un ip differente dalla rete LAN, per dire 192.168.2.1 e poi segui la guida pfsense modem behind router, cercala su google; devi creare un'interfaccia virtuale sulla wan con indirizzo nella rete che hai dato al modem, aggiungere un nat masquerade e tutto andrà a posto

[Njon]

grazie mille delle risposte.
Per ora ho spuntato l'opzione "Block private networks" e pare che la situazione sia stabile. Però appunto non mi sembra un'ottima soluzione. Appena ho un pò di tempo provo a vedere la guida che mi dici (PS: la trovo direttamente sul sito di pfsense?)

domani vi sarò sapere se il sistema supera la notte

grazie ancora

[alfonsor]

ricapitolo, altrimenti non mi è chiaro

hai un modem (o un router modem in full bridge) con LAN 192.168.2.0/24

hai pfsense (virtualizzato o no non fa niente) con un wan pppoe connessa al modem sopra e una lan 192.168.0.0/24

segui questa guida
http://doc.pfsense.org/index.php/Acc...nside_firewall

[malatodihardware]

Sì ma il suo problema non è accedere al modem, vorrebbe usare il wifi del modem/router ma con pfsense di mezzo..

Inviato dal mio MB525

[Njon]

Ha superato la notte
Per ora pare funzionare comunque.
Allora il fatto è che il router è nella stessa sottorete della lan perchè voglio poter usare l'access point wifi del router.
Quindi il router ha indirizzo ip 192.168.0.2 e la lan di pfsense 192.168.0.1.
So che se cambiassi sottorete sarei apposto, ma a quel punto renderei inutilizzabile il wifi del router!
Comunque ora provo a leggere la tua guida, molte grazie

EDIT: appunto

Note: Your modem's management IP must be on a different IP subnet than your internal network. If it is not, your attempts to connect to it will never go to the firewall to be routed out to the modem, as hosts on your internal network would try to connect to it on the local network and fail.

Il fatto è che virtualizzando il tutto è come se le due interfacce di pfsense fossero collegate direttamente allo switch come due cavi separati: quindi il router è in LAN ed è accessibile attraverso la LAN e non la WAN (quindi no problema)

EDIT2 : ohhh! dite che funzionerebbe?

Instead, under Interfaces > (assign), create a new OPT interface, and assign it to the physical network card that is on WAN. For example, if your WAN on the assignment page is "PPPOE0(fxp0)", choose fxp0, and Save your changes.
Go to Interfaces > (your new OPT interface), and enable the interface. Give it an IP address in the same subnet as your modem, such as 192.168.1.5/24 (For example, the same IP address suggested in for the alias in the previous instructions). Do not set a gateway. If you like, you can rename the interface to something like ModemAccess.
Add an Outbound NAT rule as described above but do NOT choose the WAN interface, choose your new OPT interface.
You should then be able to access the modem from LAN.

Dunque attraverso questa procedura avrei il router (e quindi il Wifi) in un'altra sottorete ma al contempo potrei accedere lo stesso ad internet ed al resto della LAN?

EDIT3: però il dhcp di pfsense non funzionerebbe più ovviamente. Dovrei quindi impostare il dhcp sul router (con altra sottorete ovviamente) e impostare il DNS sulla nuova OPT...mhm ci vorrebbe una sorta di Redirect sul router, ma essendo un cavolo di Belkin senza impostazioni ovviamente non c'è...

[malatodihardware]

Lo ripeto ancora: tutto quello che hai trovato è soltanto per accedere ad un modem in bridge, non c'è modo (se non forse usando le vlan) per poter riutilizzare il wifi del router!

Inviato dal mio MB525

[alfonsor]

eccerto se vuoi usare la wifi del modem devi avere le vlan sul modem

siccome non ci sono, non si può fare e quello che vuoi fare non è possibile, perseverando con quella configurazione avrai sempre problemi

[Njon]

maledizione
ma nemmeno usando la configurazione dell'EDIT3? io avrei 3 client wifi, basterebbe impostare il NAT per tradurre quei 4 indirizzi (incluso il router) in LAN...

[malatodihardware]

No, purtroppo non è possibile, non è una questione di NAT ma di suddivisione delle reti e routing..
In ogni caso un access point WiFi ormai lo trovi a poco prezzo, oppure potresti comperare un modem puro e riutilizzare il tuo solo come access-point

[Njon]

ho capito, peccato! Grazie comunque del supporto .
Ora sto provando a far funzionare una chiavetta usb WiFi ma, pur essendo l'hardware teoricamente supportato, ho qualche problema a farla funzionare. Voi avete qualche esperienza in merito?

[malatodihardware]

Purtroppo no, per esigenze di copertura e performance ho sempre preferito access point separati..

Inviato dal mio MB525

[random566]

purtroppo non conosco bene pfsense, ma qualche tempo fa ho usato un modem/router netgear dgn2200v1 con monowall, utilizzando il 2200 come modem e access point wifi.
lo avevo impostato come modem (quindi router e dhcp inattivi), con un indirizzo lan nella stessa subnet dell'interfaccia ethernet di monowall, e su monowall stesso, per effettuare la connessione adsl avevo usato una connessione pppoe.
magari funzionava solo per fortuna o per grazia ricevuta, comunque funzionava

[Njon]

La mia configurazione è praticamente la stessa, e dopo aver tolto l'opzione "Block private networks" funziona tutto senza problemi da circa 3 giorni. Mah!

[Homer314]

Ciao ragazzi, mi accingo ad installare pfsenso 2.1 su un Fujitsu Futro S500, una macchina dotata di CPU AMD 1Ghz, 512Mb di RAM, una eth Gbit ed una aggiuntiva pci 100Mb.
Per le mie esigenze ( abbinarla ad un DrayTek Vigor 120 ed utilizzarlo come router casalingo e server vpn) credo sia perfetto, ma andando a leggere il forum di pfsense la mia configurazione sembra avere un difetto: la CF!

Difatti la macchina non ha storage meccanico, ma una compact flash (una kingston 8Gb nuova). Non avevo mai pensato al problema del ciclo di vita della flash (ho un sistema gemello con Centos installato da mesi e va un amore).

Secondo voi posso procedere e dormire tranquillo per due/tre anni oppure è meglio rivolgermi verso un'altra soluzione hardware ?

Grazie