Программный маршрутизатор pfsense

[Amigo]

Использую для своей сети маршрутизатор на базе pfsense, если интересно - могу подсказать по настройкам, и опыте эксплуатации.
Также есть небольшая статья на сайте по общим настройкам - pfsense - шлюз за пять минут

[Denisle]

Здравствуйте!
В такого рода настройках я новичок, поэтому не судите строго. У меня роутер Qotom с 4-мя гигабитными портами и WiFi-адаптером. Один естественно WAN, второй LAN. Оставшиеся 2 порта и WiFi я хочу объединить с LAN, т.е. чтобы они были в одной сети. Как это лучше сделать.
Пока у меня сделано следующим образом: каждый порт образует свою сеть и далее я объединил их мостом. Схема эта рабочая, но мне кажется, что не очень правильная, т.к. LAN — 192.168.1.1; LAN2 — 192.168.2.1; LAN3 — 192.168.3.1; WiFI — 192.168.4.1
Буду очень признателен, если поможете разобраться с этим вопросом.

[Amigo]

Denisle, А какая у вас маска подсети? Если у вас 192.168.1.1/24 то все 4 порта у вас получаются в разных подсетях.
По идее LAN и WI-FI у вас должны быть в одной подсети. Тогда DHCP будет раздавать IP адреса из одного диапазона для домашней сети WI-FI и LAN. Ну а между WAN и LAN с WI-FI будет просто работать маршрутизация между интерфейсами.

[Amigo]

Denisle, Хотя в вашей конфигурации вероятно режим моста это то что нужно. Обычно LAN порты работают в режиме коммутатора. У вас должен быть назначен IP адрес только на один LAN порт. Остальные порты должны входить в этот мост без назначения IP адресов.

[Denisle]

Огромное спасибо. Действительно, ваш совет помог. Я и до этого так делал, но видимо забывал прописать правила в фаерволе и сеть не работала.

Делал настройки Suricata по вашей статье и тоже столкнулся с проблемой — абсолютное большинство сайтов блокируется (к примеру: Яндекс открывается, а Гугл нет). В логах пишет "UDPV4 Invalid Checksum". Вы можете что-нибудь посоветовать?

[Amigo]

Источник цитаты В логах пишет "UDPV4 Invalid Checksum". Вы можете что-нибудь посоветовать?

Это странно, потому что соединение с веб-сервером устанавливается по TCP. По UDP работает DNS. Посмотрите, что у вас на вкладке alerts, какие порты блокируются.

Screenshot_25.png

Также можете попробовать отключить аппаратную разгрузку контрольной суммы в system - advanced - networking

В UDP пакете есть поле FCS, контрольная сумма пакета (хеш) если она не совпадает, значит пакет битый и отбрасывается. Возможно оборудование не корректно обрабатывает FCS на аппаратном уровне. Отключение создаст дополнительную нагрузку на процессор.

Screenshot_26.png

Потребуется перезагрузка.

Или можете просто отключить данное правило. Хотя если пакеты действительно бьются по дороге, по идее они не должны приниматься, а на интерфейсе должен расти счетчик ошибок.

Screenshot_27.png

[Denisle]

Источник цитаты Также можете попробовать отключить аппаратную разгрузку контрольной суммы в system - advanced - networking

Спасибо! Это помогло.

[Denisle]

Ещё раз здравствуйте!
После настройки Squid и Suricata заметил, что правила для пользователей очень строгие: то блокируется Яндекс Алиса, то отключается WiFi для других устройств. Есть ли способы смягчить эти правила?

[Amigo]

Ещё раз здравствуйте!
После настройки Squid и Suricata заметил, что правила для пользователей очень строгие: то блокируется Яндекс Алиса, то отключается WiFi для других устройств. Есть ли способы смягчить эти правила?

Да, можете поэксперементировать с этими настройками:

[img]

Screenshot_24.png

[/img]

[Denisle]

Источник цитаты Да, можете поэксперементировать с этими настройками:

Первый пункт у меня в настройках стоит по-умолчанию. Хочу попробовать отключить в настройках "Use IPS Poliсy" и вручную поставить категории правил. Подскажите, какие на ваш взгляд правила нужно включить обязательно?
Ссылка доступна только зарегистрированным пользователям.