web-dev-qa-db-ja.com

pfSense：トラフィックをWANポートからルーティングする方法は？

エキスパートバージョン

pfSenseで、トラフィックを物理WANポートから送信するルートを作成したいのですが、 PPPoE WANポート。 DSLモデムでWebサーバーと通信したい。現在の同期速度とSnRマージンを確認できます。モデムは、PPPoEトンネルを介して送信されているため、宛先のパケットを認識しません。

ロングバージョン

私のpfSenseルーターは、DSLを介したISPへのPPPoE接続のセットアップを担当します。LAN上のマシンがインターネットにパケットを送信する場合、デフォルトのルートはPPPoE接続。PPPoEヘッダーでラップされたこれらのパケットは、私のDSLモデムへのルーターネットケーブル。そこからISPとインターネット全体が送信されます。

+----------------------+                  +----------------------+    
|IPv4 header (20 bytes)|    +--------+    |PPPoE header (8 bytes)|    +-----+    {‾‾‾‾‾‾‾‾}
|                      |===>|pfSense |===>|IPv4 header (20 bytes)|===>|Modem|===>{Internet}
|                      |    +--------+    |                      |    +-----+    {________}
|                      |                  |                      |
+----------------------+                  +----------------------+

WANポート自体-PPPoE WANポートではなく、パケットを送信する方法が必要です。

私のモデムはそこにあり、監視できるhttpインターフェイスを備えています

  • 接続速度
  • 信号対雑音比
  • 帯域幅
  • 接続時間

宛先のルートを192.168.2.1（モデムがHTTP要求をリッスンするIP）に設定しようとすると、[〜＃〜] wan [〜＃〜]ポート、代わりにPPPoEポートから出て行きます。

違いは、それらがPPPoEプロトコルパケットにラップされており、モデムがパケットを送信しておらず、ISPに配信されていることです。

PfSenseに物理的なWANポート）からトラフィックを転送する機能がない場合、pfSenseの物理的なWANポートからトラフィックを転送するにはどうすればよいですか？

これが私が尋ねたのとまったく同じ質問です 年前のpfSenseフォーラムで ：

私のモデムにはWebインターフェイスがあります。実際に接続されているかどうか、ラインノイズ、エラー率などを確認できるので便利です。

モデムを（pfSense PCではなく）デストップPCに接続すると、モデムのWebインターフェイスにpingを実行して正常に参照できます。モデムのIPは192.168.0.254で、ポート8080でリッスンします。PCからアクティビティをパケットトレースすることもできます。

pingモデム

ARP REQ    Phalanx => Broadcast     192.168.0.98  -?- 192.168.0.254
ARP RESP   Phalanx <= Ovislink_LAN  192.168.0.254 -!- 192.168.0.98
IP/ICMP    Phalanx => Ovislink_LAN  192.168.0.98  =>  192.168.0.254 ECHO
IP/ICMP    Phalanx <= Ovislink_LAN  192.168.0.98  <=  192.168.0.254 ECHOREPLY

モデム（Ovislink）のMACアドレスを要求するARPブロードキャストを実行している私のマシンを見ることができます。モデムはそのIPで応答し、エコーが消え、応答があります。モデムのWebポートに接続すると、同様の詳細が表示されます。

Webポート8080に接続しています

ARP REQ     Phalanx => Broadcast    192.168.0.98       -?- 192.168.0.254
ARP RESP    Phalanx <= Ovislink_LAN 192.168.0.254      -!- 192.168.0.98
IP/TCP      Phalanx => Ovislink_LAN 192.168.0.98:50001 =>  192.168.0.254:8080 SYN
IP/TCP      Plalanx <= Ovislink_LAN 192.168.0.98:50001 <=  192.168.0.254:8080 SYNACK
IP/TCP      Phalanx => Ovislink_LAN 192.168.0.98:50001 =>  192.168.0.254:8080 ACK

ARP要求の後、TCP接続は通常のSYN、SYN ACK、ACKプロセスで確立されます。そしてすべてが順調です。

これで、モデムをデスクトップPCに接続するのではなく、pfSenseを実行しているPCに接続します。

注：以前は、pfSenseのLANIPアドレスを192.168.1.1/16ではなく192.168.1.1/24に変更していました。これは、私のネットワークがすでに192.168.0.0/16だったためです。

私が最初に行うことは、モデムのLANインターフェイスがInterfaces->WANとして実行されているため、192.168.0.254の下の "プライベートネットワークのブロック"機能を無効にすることです。これにより、すべてのRFC1918トラフィックをブロックしていたFirewall->Rulesの下の最初のファイアウォールエントリが削除されます。次に、ファイアウォールルールを追加しました。

アクション：合格
インターフェース：WAN
プロトコル：TCP
出典：単一のホストまたはエイリアス、192.168.0.254
宛先：LANサブネット
宛先ポート範囲：任意
ログパケット：はい
説明：ADSLモデム

変更を保存して適用した後、Diagnostics->Ping機能を使用してWAN側で192.168.0.254にpingを実行しようとしました。もちろん、機能しませんでした。

私はそれについて考えました、そして私はTCPパケットを192.168.0.254からWANに入れるだけでは許可できないようです、私もARPを許可する必要があります応答パケット（pfSenseがIPパケットを送信しようとしているハードウェアのMACアドレスを他にどのように見つけることができますか？）また、実際にはWANインターフェイスなので、ファイアウォールルールを次のように更新しました。

アクション：合格
インターフェース：WAN
プロトコル：任意
出典：単一のホストまたはエイリアス、192.168.0.254
宛先：任意
宛先ポート範囲：任意
ログパケット：はい
説明：ADSLモデム

今私がそれをpingするとき...動作しません。そこには本当の驚きはありません。だから私はパケットトレースを実行することにしました：

インターフェース：WAN
ホストアドレス：192.168.0.254
カウント：1
詳細レベル：フル

トレースを開始し、Diagnostics->Pingからpingを実行しましたが、何も取得しませんでした。 ping応答はなく、トレースにパケットもありません。

だから今、それは私に起こります：理由だけで：

  • pfSenseは192.168.1.1/16subetにあります
  • 私のデスクトップは192.168.0.98/16サブネット上にあります
  • 私のサーバーは192.168.0.10/16サブネット上にあります

モデムが/16サブネット上にない可能性があります。モデムをデスクトップに接続し直し、Webインターフェイスに接続して、192.168.0.254/24に設定されていることを確認します。だから私は192.168.1.254/24用にモデムを再構成します。その後、再構成します

  • 私のデスクトップは192.168.1.98になります、
  • サーバーは192.168.1.10であり、
  • そして今、モデムは192.168.1.254です
  • pfSenseが192.168.1.1であることに加えて。

モデムをpfSenseボックスに再接続し、pingを実行しようとすると、応答がありません。 192.168.1.254からのパケットのパケットトレースを実行しましたが、表示されません...なし。

だから今私は困惑していて、助けを求めています。

dsl-modempppoepfsense
5
Ian Boyd

私はあなたが要求したことをなんとかやったと思います。モデムのIP範囲について、トラフィックをそのゲートウェイにルーティングするためのインターフェイス、ゲートウェイ、およびルールを追加する必要があります。

だから私のセットアップ：電話ケーブルに接続された10億台のルーター-ブリッジモードに設定されています。 LANケーブルを介して10億台のルーターに接続されたpfsenseルーター。 pfsenseバージョン2.1.5

pfsenseは3つのインターフェースを持つように設定されています：

  • WAN-PPPOE over re0（セットアップウィザードの一部としてセットアップ）
  • LAN-192.168.1.128と192.168.1.192の間でIPを割り当てるdhcpを使用したem0上のdhcpホスト（セットアップウィザードの一部としてセットアップ）
  • MODEMACCESS-re0を介したdhcpクライアント（セットアップ後に手動で追加する必要がありました）

ゲートウェイ：

  • GW_WAN-インターフェース=WAN;ゲートウェイIPアドレス=動的;デフォルトゲートウェイ
  • MODEMACCESS_DHCP-インターフェイス= MODEMACCESS;ゲートウェイIPアドレス= dhcp;デフォルトゲートウェイではありません

ルール：

  • WAN私は通常の2つのブロックを持ち、すべてをパスします、gatway = default
  • LANの下では、192.168.1.1/24の送信元と192.168.1.1/24の宛先ロックアウトルールと、192.168.1.xから！192.168.1.xまでのいくつかのキュー割り当てルールがあります。ゲートウェイ=デフォルト
  • MODEMACCESSソース192.168.1.1/24から宛先10.0.0.2/24、ゲートウェイMODEMACCESS_DHCP

デバイスのIP：

  • 億ルーターIP10.0.0.2
  • pfsense LAN ip：192.168.1.1
  • pfsense WAN PPPOEによって決定されたパブリックIP
  • pfsense MODEMACCESSIPは10億のDHCPサーバーによって決定されます

LANネットワーク上の任意のPC上の任意のブラウザーに10.0.0.2（またはホスト名）を入力することで、10億台のルーターのWebGUIにアクセスできます。 LANネットワークに接続されている任意のデバイスでインターネットにアクセスできます（pfsenseのPPPOE接続を介して）。

2
Walter Aldum

DSLでそれが可能かどうかわからない... WANパラメータのみでファイアウォールルールを作成できますか？つまり、ファイアウォール>ルール> WANおよびそこでルールを作成します。トラフィックがPPPoEを含まないように制限してください。つまり、LAN> WANです。

2
nicorellius

私の答えは、他の何人かが投稿したものと似ているかもしれません。しかし、私はこれ（ https://doc.pfsense.org/index.php/Accessing_modem_from_inside_firewall ）があなたの質問に答えると思います

1
getack

モデムルーターがブリッジモードであり、pfSenseルーターがPPPoEクライアントIDを使用してISPからパブリックIPを直接受信するように設定されているように聞こえます。ルーターがにないことを確認してくださいブリッジモードであり、dhcpサーバーとして設定されていること。次に、pfSenseにそのWAN IP byDHCPを取得するように指示します。

それは本当に単なる推測です...

1
seagullarity

これを設定するには、モデムを接続するためのスイッチが必要になります。 PFSenseファイアウォールは、2つのポートでそのスイッチに接続します。 1つのポートは最初はOPTポートとして表示されますが、名前を変更できます。ファイアウォールはPPPoE接続をWANインターフェースとして使用しますが、optインターフェースを介してモデムにルーティングできます。

0
user311628