pfsense, virtualbox, 2 LAN-a

unapred se izvinjavam na duzini pitanja.
dakle: na virtualboxu jedan server 2008 i win7 kao klient u istoj mrezi. ip su staticne, na serveru ide samo dns i rad sa active directory. server ip: 192.168.10.10, gateway 192.168.10.1. u virtualboxu su na internom adapteru - lan1. na drugoj mrezi je samo win7 kao client isto na internom adapteru - lan2.
pfsense 2.2.5 ako se ne varam, instaliran kao posebna masina sa 2 adaptera. 1. interni lan1 i drugi nat. potrebno je da preko pfsensa lan1 ima pristup internetu. instalirao sam ga ali nisam u stanju da ga konfigurisem tako da ima net. lan adapter ima ip 192.168.10.1. sada sam se zakucao i ne mogu dalje. boli me glava i vise uopste ne znam da li ta ip mora da bude ista.

vise nemam pojma sta treba i kako treba i da li je to uopste tako kako sam postavio moguce. zahvalan za svaku vrstu pomoci. u drugom koraku bi iz druge mreze preko vpn client trebao da ima pristup serveru iz prve mreze. i tu je ideja sa drugom pfsene masinom, ali nisam dotle dosao. pingovi u prvoj mrezi funkcionisu osim neta.

Po meni bi trebalo da podesis NAT da imas izlaz na internet, da radis na VMWare mogao bi ti pomoci, ovako nagadjam, al ipak mislim da ti treba NAT

Ne mora NAT, ima i bridge, direktno korišćenje fizičkog mrežnog adaptera. Ja koristim VB svakodnevno, imam mali milion različitih kombinacija, ali da me ubiješ ako razumem šta je @sstesslan uradio, da li pominje VB lan adapter, fizički na hostu, ili nešto deseto.

@sstesslan

Može malo opširnije kako su povezani ti virtuelni, a još lakše daj slikicu neku

Potpis

Kako se dele racunarski programi?
Na bagovite (sa greskama) i ispravne (bez gresaka). Ovi drugi su hipoteticki.
***GPL-ovano by @Shadowed

"Ja za email koristim outlook express u virtualnoj mašini, tako da s te strane nijedan linux nije
dorastao XP-u." - pisac

Spominjem NAT jer mislim da je pravio zasebnu mrezu. Al kad okaci sliku uz neki kom znacemo vise :)

mislim na vb adaptere. lokalne mreze su na interna mreza adapteru. preko njih nema pristup internetu. pfsense ja sa dva adaptera. prvi je intena mreza - ista kao lan1. drugi je vb NAT (postoji i nat mreza, bridge itd..). nat mi je standardna postavka jer sa njim imam pristup netu preko vb. bridge izbegavam.
lan1 - 1 vb adapter (interna mreza) = 1 clienr, 1 server staticne ip - ide dns i ad bez dhcp.
pfsense - 2 adaptera na vb = 1. interna mreza (isti kao i lan 1), 2. NAT

pfsense bi bio router i firewall preko koga bi client iz lan1 imao pristup internetu.

posto sam se prvo bavio serverom i ad u lan1, bilo mi je potrebno da radim sa staticnim ip. tako da dhcp ne ide nigde ni na pfsense.
pfsense dobije (od mene) ip za lan koja je ista kao i default gateway na clientu.
ip na NAT adapteru je od vb sa 10.x.x.x i nju ne menjam.

moja nesigurnost je dvojaka:
1. nisam siguran da li je instalcija pfsense dobra
2. nisam siguran kako da ga konfigurisem

jer ako sam princip na vb i ip adresama i pfsense instalaciji nije korektan onda mi ni konfiguracija nisa ne znaci.
dakle moram prvo da budem siguran da je princip i instalacija dobra da bih mogao da se latim konfiguracije.

nadam se da je sada malo jasnije, sto se slikica tice, prvo moram da provalim kako se na forumu kace slike a i da se dokopam laptopa posto je vb na njemu.

ps lokalna mreza ne sme da ima pristup na net, samo preko pfsense i na njemu konfiguracija ko kako i zasto. ali je prvi korak da net (preko pfsense uopste funkcionise).

Aha, sad je dosta jasnije. Bridge mrežu u VB ne bi trebalo da izbegavaš, jer na taj način zaobilaziš komplet VB NAT, a taj virtuelni lan adapter direktno dobija informacije od fizičkog rutera u tvojoj fizičkoj mreži. Ali dobro. PFsense odavno nisam koristio, ali logika je ovakva. Ako mu daš statičku IP, onda mora da uneseš bar GW, pa da imaš numerički ping, a onda da središ i DNS. E sad, GW je njemu VB ruter, pogledaj i podešavanjima VB aplikacije (ne VB mašine) koje su ti vrednosti za mrežu, pa ako i dalje ne ide, onda startuj neki Live, podesi dinamičku adresu, pa pogledaj ifconfig i route. Ako ti nije jasno nešto, pitaj. Imam neke obaveze do večeras, ali kasnije mogu detaljno da ti pojasnim...

Potpis

Kako se dele racunarski programi?
Na bagovite (sa greskama) i ispravne (bez gresaka). Ovi drugi su hipoteticki.
***GPL-ovano by @Shadowed

"Ja za email koristim outlook express u virtualnoj mašini, tako da s te strane nijedan linux nije
dorastao XP-u." - pisac

hvala.

pa bas zbog toga ga i izbegavam jer kad radim na vb ne zelime da se vezujem na moj fizicki ruter ako vec nat fino funkcionise, a obicno funkcionise. medjutm, to nije tako vazno, koristim i ja i bridge. ono sto je vazno je da ja nisam bas strucnjak za vb i pored toga sto ga relativno cesto koristim, ali uglavnom neke skromne i osnovne stvari.
posto sam vec ovde i ti poznajes odlicno vb, verovatno ima i drugih, da pitam za savet za najbolju konviguraciju na vb.

nekako razmisljam, ako mi test okolina nije dobro postavljena, onda je test apriori osudjen na propast.
dakle:

potrebne su dve lokalne mrze. u jednoj server i client u drugoj samo client. mreze ne smeju da imaju pristup internetu. u prvoj je potrebna konfiguracija servera i rad sa ad.
prva mreza dobija pristup netu preko pfsense.
iz druge mreze mora da se pristupi serveru preko vpn ipsec (pfsense) i mreznom disku clienta (jasno u prvoj mrezi).

moje razmisljanje je za test okolinu na vb:
kao sto sam u prethodnim postovima naisao - lan1 - interna mreza adapter(lan1).
lan2 - interna mreza adapter(lan2).
pfsense1 - adapter1 - lan1, adapter2 nat ili bridge, ako je bolje.
pfsense2 - adapter1 - lan2, adapter 2 - lan1.

ako nekom nije jasno, da naglasim kako ja imam problema ili dileme:
1 kako da najbolje i tacno napravim test konfiguraciju
2 da sprovedem u delo same zahteve.

sa ad i serverom nije bilo vecih problema - imam usera i clienta koji koji su konfigurisani sa ad. client je clan domaina i network drive napravljen.
pokusaj izlaska na net nije uspeo i do vpn i pristupa serveru iz druge mreze jos nisam dosao.

sta je tvoj predlog za najbolju test konfiguraciju u vb?

Ja i dalje imam problem da te razumem. U svakom slučaju, ako nešto ne funkcioniše prilkom pravljenja virtuelnih mašina i konekcija, spremi neki LiveLinux, čisto da možeš i njime da proveriš da li je sve ok ili stvarno neki kabl nije "uboden" gde i kako treba.

Ajde ovako, pfsense mora da ima minimum dve mrežne kartice, da bi bio ruter i firewall. Jedna prema Internetu, druga(e) prema mrežama koje on štiti. Ona prema internetu bi trebala da je WAN, ostale LAN. Označiću ih pfWAN i pfLAN0-1. To će da nam bude prva virtuelna mašina. Ovaj pfWAN možeš kroz podešavanja da podesiš da bude ili NAT ili bridge, nevažno, pfSense će kroz nju da izlazi na Internet. Sad klijenti i mreže. Ja ovo tvoje pisanije razumem ili kao jednu mrežu sa tri klijenta (jedan Win server i dva Win klijenta) ili kao dve mreže, od kojih jedna se sastoji od Win servera i jednog Win klijenta, a druga od samo jednog Win klijenta.

Prva solucija, pfWAN dobija adresu ili kroz VB NAT, pa mu je adresa u opsegu 10.0.2.1x, preko DHCP-a. Druga kartica pfLAN0, nakon instalacije, odeš na dodelu adresa, pa kažeš da npr. adresa bude 192.168.5.1 i odbiješ da dižeš DHCP. Treća kartica pfLAN1, isto to, samo joj dodeliš adresu 192.168.8.1, isto odbiješ DHCP. Sad u obe virtuelne mreže, svakom od klijenata dodeliš statičnu IP, zavisno od mreže na koju si ih nakačio prilikom pravljena virtuelnih mašina. Te mreže, ako im ne daš imena, zovu se "intnet(1,2...) . Probaš iz obe virtuelne mreže da se nakačiš na WEB konzolu pfSense, pa ako radi, onda počinješ sa VPN i ostalim. Ajde da prvo sredimo ovo.

Ako je druga solucija, sa samo jednom mrežom sa tri klijenta, ne praviš pfLAN1, i svim klijentima dodeliš IP iz istog opsega, recimo 5.10, 5.20, 5.30.

Mada opet mi je nelogična priča, ti kažeš da nećeš da imaju Internet? Ako je stvarno tako, dovoljno je da pfWAN otkačiš kabl, i više niko nema internet. Ili on TREBA da ima? Još nisam načisto. Uzmi nacrtaj na papiru pa slikaj, ili naškrabaj u Paint-u, mnogo je konfuzno ovako.

PS

"...i ti poznajes odlicno vb", ovo nemoj da te čuo neko, smejaće se i tebi i meni. Daleko sam ja od odličnog !!!

Potpis

Kako se dele racunarski programi?
Na bagovite (sa greskama) i ispravne (bez gresaka). Ovi drugi su hipoteticki.
***GPL-ovano by @Shadowed

"Ja za email koristim outlook express u virtualnoj mašini, tako da s te strane nijedan linux nije
dorastao XP-u." - pisac

Ako ti WAN interfejs dobija adresu iz privatnog opsega, onda u podešavanjima za WAN interfejs treba da deštikliraš ovo kao na slici.

Potpis

... Vladimir Vučićević aka. Bachi
~~~ www.bachi.in.rs <<<<>>>> [email protected]
>>> It's nice to be important, but it's more important to be nice...

hvala na odgovorima.
malo sam knap sa vremenom, ali u principu sama konfiguracija vb za sada funkcionise, u nacelu.
bicu slobodan pa cu pitati nesto konkretnije ako se javi kao problem.
izvinjavam se ako mi izrazavanje nije bas dobro pa imate problema da me razumete, trudicu se da budem kraci i konkretniji, ali razumljiviji.

@bachi

Jesi siguran ti u ovo?!? Ja malopre imao pet minuta fore, pa skinuo v225, pa podigao live. Podesio WAN karticu pod VB NAT, pa posle pod bridge, isti đavo. Kad izaberem onu stavku "Ping host" ide mi normalno, gađam google, ili gentoo, tri puta normalno. Nisam ni stigao da mu priđem otpozadi iz njegovog LAN-a, pa da vidim i WEB interfejs.

Ne te podHebavam, i ne sumnjam u tvoje znanje, nego mi malo nelogično. Ili to samo kad radi i kao ruter? Pa blokira saobraćaj LAN-WAN-internet. Ako možeš pojasni. Gracias.

Potpis

Kako se dele racunarski programi?
Na bagovite (sa greskama) i ispravne (bez gresaka). Ovi drugi su hipoteticki.
***GPL-ovano by @Shadowed

"Ja za email koristim outlook express u virtualnoj mašini, tako da s te strane nijedan linux nije
dorastao XP-u." - pisac

Kada je uključen block private networks na WAN strani (a inicijalno podešavanje mislim da podrazumeva to, ili je bar podrazumevalo), to znači da će firewall da blokira sve dolazne konekcije koje dolaze na WAN strani sa IP adresa iz privatnog IP opsega.

Tako da ako je pfsense nakačen na ruter (dupli nat) i wan interfejs dobije ip iz privatnog opsega, sa uključenom ovom opcijom neće raditi net, kako inicijator teme piši ovo kroz vm, 100 posto je takav setup.

Kada je pfsense nakačen direktno na modem i dobija javni ip onda i jeste preporučljivo da se ova opcija uključi.

Potpis

... Vladimir Vučićević aka. Bachi
~~~ www.bachi.in.rs <<<<>>>> [email protected]
>>> It's nice to be important, but it's more important to be nice...

To sam i zaključio sa slike koju si okačio. Ja, baš na osnovu nje, rekoh daj na brzinu da proverim, dignem u VM samo live, bez instalacije, kad je u podešavanjima od Virtual Box-a za mrežnu postavljen NAT, onda VB glumi ruter, a karticama daje IP iz opsega 10.0.2.x, a kad u podešavanjima izabereš bridge, onda jeB-ov ruter ugašen, a tu virtualnu LAN karticu vezuje za fizičku na hostu, pa ona dobije od postojećeg rutera u fizičkoj mreži kojoj i host računar pripada. U tom slučaju moj ruter (fizički) joj dodeli IP 192.168.1.x. Znači kako god ga okreneš, ja upadam u onaj gore slučaj. Ali sad, bez da se konektujem na njegov WEB interfejs, kroz njegov LAN koji on treba da štiti, nego iz one njegove početne konzole, sa rednim brojevima, izaberem "Ping" i radi brate. Zato sam te pitao. Možda tek kad mu se aktivira i druga ethernet kartica, koju on smatra LAN, tad mu se i aktivira ova blokada. Nema veze, čisto onako pitam. Moraću da proverim ovih dana, kad dobijem malo slobodnog vremena. A te sitne "obaveze" se samo gomilaju, pffff

Potpis

Kako se dele racunarski programi?
Na bagovite (sa greskama) i ispravne (bez gresaka). Ovi drugi su hipoteticki.
***GPL-ovano by @Shadowed

"Ja za email koristim outlook express u virtualnoj mašini, tako da s te strane nijedan linux nije
dorastao XP-u." - pisac

E ne znam kako je samo sa jednom karticom, nisam probao. Znam da pfsense po defaultu u firewall stavlja antilockout rule koji omogućava da se pristupi webconfiguratoru.

Potpis

... Vladimir Vučićević aka. Bachi
~~~ www.bachi.in.rs <<<<>>>> [email protected]
>>> It's nice to be important, but it's more important to be nice...

Ma stavio sam ja njemu dve ethernet kartice, jedna ta za WAN, što se poveže na DHCP od VB ili mog rutera, a druga LAN na internu mrežu. I podesio IP opseg na LAN 192.168.5.x, nego nisam imao vremana da dižem ostale virtuelne mašine da mi glume taj interni LAN. I baš rekoh da probam ping, ono radi. Sigurno ima neki fazon, pošto ovako kako sam ga ja probao, nije ništa drugo nego LiveBSD. Nema veze, kad stignem, proverimo...

Gracias

Potpis

Kako se dele racunarski programi?
Na bagovite (sa greskama) i ispravne (bez gresaka). Ovi drugi su hipoteticki.
***GPL-ovano by @Shadowed

"Ja za email koristim outlook express u virtualnoj mašini, tako da s te strane nijedan linux nije
dorastao XP-u." - pisac

na ivici sam samoubistva.
instalirao pfsense, 2 interfejsa, wan i lan. sve sjajno.
izasao na net. odlicno.
instalirao i drugi i pokusao da napravim ipsec tunel.
malo se igrao ali mi nije uspevalo. sve to ovih dana.
rekoh sada da instaliram nov jer ko zna sta sam sve uradio igrajuci se.
medjutim, sta god da stavim u vb, ne prepoznaje lan.
dakle konfigurisem wan i to je ok, ali lan nije moguce da prihvati ip.
zasto sada odjednom?
potpuno ista postavka vb.




probao i stariju verziju pfsense
i vise put da je konfigurisem, kaze ok sada moze na brozeru sa tom ip,
ali ipak nista.

posle enter opet kao na 3. slici
sta radim pogresno, tim pre sto sam sa ovakvom postavkom vb vec vise puta bez problema instalirao.



edit: sa vmware bez ikakvih problema.
ili su gremlini ili sam ja lud, treceg nema.

edit2: ja se ivinjavam i zbog drugog edita, sada sam na putu da citavo test oktruzenje u vmware izgradim. ono sto mi nije uspelo je ipsec tunel izmedju dva lana koja su iza 2 pfsense. kvazi dve filijale, zatim iz filijale 1 preko tog tunela pristupiti network drajveru (serveru) u filijali 2 sa userom koji postoji u ad. ako neko ima dobar tutorial, bio bih zahvalan.
sve to simulirajuci publik ip naravno. da li je bolje sa 2 adaptera ili dodati treci koji bi sluzio samo za tunel?

Pa za tunel praviš valjda virtuelnu karticu, na postojeću, ne?!?

Ajde baci sliku sa vmware gde su ti izlistane lan i WAN

Pišem sa telefona, pa malo ....

A u VB ako imaš vremena probaj da na lan dodeliš IP iz opsega 5.x, ne 1.x

Potpis

Kako se dele racunarski programi?
Na bagovite (sa greskama) i ispravne (bez gresaka). Ovi drugi su hipoteticki.
***GPL-ovano by @Shadowed

"Ja za email koristim outlook express u virtualnoj mašini, tako da s te strane nijedan linux nije
dorastao XP-u." - pisac