Firewall / router

Class

Hi-Fi freak
Ble medlem
11.03.2009
Innlegg
2.763
Antall liker
497
Sted
Vestfold
Torget vurderinger
7
marsboer skrev:
Og dersom du mener skikkelig DNS er tøys så aner du ikke hva du snakker om.
Det var posten din i denne sammenhengen jeg mente var tøys, ikke en skikkelig DNS.

OP gjør det klart at han ikke har så store kunnskaper på dette området og ber om anbefalinger til en router og du mener han bør kjøre BIND, ikke videre rasjonelt etter min mening.

For ordens skyld kan jeg nevne at jeg har jobbet noen år med IT drift hos norges største telco og har holdt på med UNIX og Linux siden det ble sluppet, jeg mener selv at jeg vet hva jeg snakker om.
 

Class

Hi-Fi freak
Ble medlem
11.03.2009
Innlegg
2.763
Antall liker
497
Sted
Vestfold
Torget vurderinger
7
marsboer skrev:
Jeg vil imidlertid fraråde CF-løsningen på det sterkeste. Kort sagt er CF-kortet read only og all dynamisk aktivitet skjer mot RAM-disk. Dette inkluderer at logger ikke skrives til disk og at grafer og annen langtidsstatistikk ikke lagres mellom reboots.
Jeg bruker som nevnt m0n0wall (som PFsense bygger på) og der er ikke CF kortet read only, tviler på at det er det i PFsense også.
Logger eksporteres, kjøres til en tilkoblet minnepinne eller logges direkte til loghost.

marsboer skrev:
En annen svært irriterende ting med CF-card løsningen er at man ikke kan oppgradere den uten å skrive kortet på nytt (som også er tungvint).
Å laste ned en liten fil til lokal maskin for så å laste den opp til routeren er "tungvint"? Hele prosedyren inkludert reboot etterpå tar under 5 minutter og skjer typisk 3-5 ganger i året. Ikke noe jeg ville kalle "tungvint".

marsboer skrev:
CF-løsningen gir bare ulemper og ingen fordeler.
Aha, vel, når du sier det så ...
 

marsboer

Hi-Fi freak
Ble medlem
04.04.2010
Innlegg
4.378
Antall liker
1.764
Sted
Phobos
Class skrev:
marsboer skrev:
Jeg vil imidlertid fraråde CF-løsningen på det sterkeste. Kort sagt er CF-kortet read only og all dynamisk aktivitet skjer mot RAM-disk. Dette inkluderer at logger ikke skrives til disk og at grafer og annen langtidsstatistikk ikke lagres mellom reboots.
Jeg bruker som nevnt m0n0wall (som PFsense bygger på) og der er ikke CF kortet read only, tviler på at det er det i PFsense også.
Logger eksporteres, kjøres til en tilkoblet minnepinne eller logges direkte til loghost.

marsboer skrev:
En annen svært irriterende ting med CF-card løsningen er at man ikke kan oppgradere den uten å skrive kortet på nytt (som også er tungvint).
Å laste ned en liten fil til lokal maskin for så å laste den opp til routeren er "tungvint"? Hele prosedyren inkludert reboot etterpå tar under 5 minutter og skjer typisk 3-5 ganger i året. Ikke noe jeg ville kalle "tungvint".

marsboer skrev:
CF-løsningen gir bare ulemper og ingen fordeler.
Aha, vel, når du sier det så ...
Jeg har faktisk benyttet denne løsningen i lengre tid så det er slik det fungerer uavhengig av din personlige overbevisning om hva som er bra eller dårlig eller lettvint/tungvint.

Det virker som om du er på krigsstien mot meg så du kan jo lese det med egne øyne om du vil: http://www.pfsense.org/index.php?option=com_content&task=view&id=43&Itemid=44

Les under embedded...
Jeg sluttet ikke med CF-løsningen for morro skyld for å si det slik. Jeg hadde faktisk investert penger i å få løsningen over på CF.

EDIT: Jeg fjernet delen om USB/diskett. Når jeg tenker meg om mener jeg å huske at dette ikke var aktuelt på embedded versjonen av pfsense, men derimot på CD-ROM-versjonen som jeg også testet en stund.
 

Class

Hi-Fi freak
Ble medlem
11.03.2009
Innlegg
2.763
Antall liker
497
Sted
Vestfold
Torget vurderinger
7
marsboer skrev:
Jeg har faktisk benyttet denne løsningen i lengre tid så det er slik det fungerer uavhengig av din personlige overbevisning om hva som er bra eller dårlig eller lettvint/tungvint.
Det virker som du ikke er i stand til å innse at ting du ser på som ulemper faktisk er fordeler og "features" for mange andre.

marsboer skrev:
Det virker som om du er på krigsstien mot meg så du kan jo lese det med egne øyne om du vil: [...]
Neida, jeg svarer på noe jeg anser som tullprat, noen krigssti er det ikke snakk om.

marsboer skrev:
Og ja, det stemmer som du sier at man trenger en USB-stikk eller diskett! som man lagrer konfigurasjonen på! Jeg hadde faktisk fortrengt dette. Det gjør CF-løsningen enda verre.
Det stemmer ikke, hvor skriver jeg det?
Du har "benyttet denne løsningen i lengre tid" uten å vite at config lagres på CF kortet? Det er godt gjort.
Etter det jeg husker bruker CD versjonen diskett eller minnepinne til å lagre konfig på da CD-en jo er skrivebeskyttet.

Til OP, beklager all off-topic ::)
 

marsboer

Hi-Fi freak
Ble medlem
04.04.2010
Innlegg
4.378
Antall liker
1.764
Sted
Phobos
Class skrev:
marsboer skrev:
Jeg har faktisk benyttet denne løsningen i lengre tid så det er slik det fungerer uavhengig av din personlige overbevisning om hva som er bra eller dårlig eller lettvint/tungvint.
Det virker som du ikke er i stand til å innse at ting du ser på som ulemper faktisk er fordeler og "features" for mange andre.

marsboer skrev:
Det virker som om du er på krigsstien mot meg så du kan jo lese det med egne øyne om du vil: [...]
Neida, jeg svarer på noe jeg anser som tullprat, noen krigssti er det ikke snakk om.

marsboer skrev:
Og ja, det stemmer som du sier at man trenger en USB-stikk eller diskett! som man lagrer konfigurasjonen på! Jeg hadde faktisk fortrengt dette. Det gjør CF-løsningen enda verre.
Det stemmer ikke, hvor skriver jeg det?
Du har "benyttet denne løsningen i lengre tid" uten å vite at config lagres på CF kortet? Det er godt gjort.
Etter det jeg husker bruker CD versjonen diskett eller minnepinne til å lagre konfig på da CD-en jo er skrivebeskyttet.

Til OP, beklager all off-topic ::)
Jeg endret posten min fordi jeg kom på at USB/diskett ikke trengtes på CF-løsningen før du postet posten din (jeg blandet sammen med CD-ROM versjonen jeg også har benyttet)...

Ehh, så nå er mer tungvin oppgradering (man må faktisk manuelt laste ned ny versjon og fysisk gå og ta ut CF-kortet og skrive det på nytt, kontra ett knappetrykk i en webleser fra kontorstolen), mangel på langtidsstatistikk og logging samt ikke mulighet for å installere alle de fantastiske plugins som er tilgjengelig for pfSense blitt features. Dette begynner å bli barnslig.

Config lagres på CF-kortet ja, og den kan skrives til fordi config.xml er mountet slik at den kan skrives til ved behov. Hele det øvrige systemet er skrivebeskyttet.

Diskusjonen ville blitt mer fruktbar om du kunne fortalt oss om fordelene med å kjøre CF kontra en billig harddisk eller alternativt SSD på en PC-basert pfSense installasjon. Jeg ser nemlig ingen. Og definitivt ingenting som oppveier for en eneste av ulempene.
 

marsboer

Hi-Fi freak
Ble medlem
04.04.2010
Innlegg
4.378
Antall liker
1.764
Sted
Phobos
En ting til. Jeg mener jeg måtte bruke en modifisert versjon av embedded fordi embedded kommer uten VGA og tastaturstøtte. Det vil si at man må konfigurere serveren initielt via COM-porten. Om det er slik fremdeles er uvisst. Jeg mener det var mange CF-brukere som klaget på dette.
Tanken er at ekte embedded-enheter ikke har skjerm og tastatur.
 

Class

Hi-Fi freak
Ble medlem
11.03.2009
Innlegg
2.763
Antall liker
497
Sted
Vestfold
Torget vurderinger
7
@marsboer

Herlig ;D
Mangler du grunnleggende leseforståelse eller gjør du deg vanskelig med vilje?

Jeg prøver å skjønne hvorfor du insisterer på å lenke til PFsense manualen, jeg har brukt m0n0wall på embedded Alix maskinvare i flere år som sagt og kjenner begrensningene til PFsense på embedded plattform.

Ta ut kortet fysisk for å skrive til det? Hvor har du det fra?
Last ned ny versjon, last opp via web-grensesnittet, klikk "upgrade", reboot, ferdig.

Fordeler?
Strømforbruk <8W
Lydløs
Ekstremt kompakt
CF kortet skrives kun til ved oppgradering og endring i konfigurasjon, dette gir minimal "slitasje" på kortet og ingen bevegelige deler som ryker.
CF kort er billige, veier ingenting, nevnte jeg kompakt?

Google "embedded".

Jeg har sett ganske store installasjoner av embedded m0n0wall og pfsense og alle logger til felles server. De må være ganske teite som ikke har valgt å bruke vanlig HD eller SSD, eller hva?

Jeg kan jo si det igjen i tilfelle du ikke fikk det med deg de andre gangene; det du ser på som ulemper er det mange andre som ser som fordeler, men det er vel ikke mulig i din verden?

/thread for min del, så kan du poste videre og påvise at jeg "tar feil" i fred og ro.
 

marsboer

Hi-Fi freak
Ble medlem
04.04.2010
Innlegg
4.378
Antall liker
1.764
Sted
Phobos
Jeg skal innrømme én feil. Det er minst to og et halvt år siden jeg kjørte pfSense på CF. Etter den dårlige erfaringen med dette har jeg kun installert på disk. I følge denne:

http://doc.pfsense.org/index.php/Upgrade_Guide#Embedded

ble det mulig å oppgradere embedded versjonen uten å skrive kortet på nytt i SISTE stabile pfSense versjon. Med andre ord har du helt rett i at i den nåværende embedded løsningen støtter oppgradering uten å skrive kortet på nytt. Dette fjernet heldigvis en av de største ulempene.

I en enterprise situasjon er det en selvfølge at man installerer egne logg-servere ikke bare for pfSense men for all logging. Men er det ikke litt søkt at en privatperson skal sette opp en annen maskin for logging kun for å kjøre CF når han kan få alt dette og mer til med en ordinær harddisk. Jeg vil påstå at strømregnskapet ser ganske så annerledes ut om man tar en pfSense med embedded og legger til en loggserver.

Dette er alternativene slik jeg ser det på en PC-basert installasjon som jo er forutsetningen her (ekte embedded installasjoner er jo ikke noe som er spesielt aktuelt for en privatperson i de fleste tilfeller)

Alternativ 1:
- Installere pfSense på harddisk og få full funksjonalitet.
Strøm: En moderne harddisk, grønn eller ikke grønn, krever vel omlag 3-7W idle og fra 7-11W ved full aktivitet.

Alternativ 2:
- Installere pfSense på CF med følgende reduksjon i funksjonalitet:
1. Ingen plugins
2. Begrenset logging over tid
3. Ingen VGA eller tastaturstøtte, det vil si at man bruker COM-porten
Strøm: Uvisst. Det spørs på måten CF-kortet implementeres i PCen. Hvis man må ha et ekstra kort eller benytte USB-bussen så er nok strømforbruket omtrent tilnærmet en idle harddisk. Uansett så kan man på det beste håpe på en besparelse på et par W.

Alternativ 3.
- Samme som ovenfor, men med en loggserver med tilhørende analyseverktøy for å eliminere punkt 2.
Strøm: + en server

Jeg er som sagt veldig interessert i fordelene ved å kjøre CF som privatperson. En fordel er typisk definert slik at den må gi en merverdi kontra alternativet. Den eneste merverdien jeg kan se er at man i beste fall sparer rundt 2W på strøm. Om du regner om dette til et helt år, eller 10 år, så er dette ca ingenting. Når man også tar med at den ekstremt lille overskuddsvarmen går til oppvarming av hjemmet så blir det ca null.

Jeg er fullstendig klar over at ekte embedded system har sin plass i enterprise sammenheng, og i 99% av tilfellene faktisk er en stor fordel siden man kan utvikle hele boksen for lavere strømforbruk, forenkle installasjon av hardware kraftig samt standardisere all hardware for enklere support. DETTE er fordeler som virkelig gir merverdi som klart overgår ulempene, som uansett kan omgås på andre måter bare behovet er stort nok.
Men en kar med en gammel PC får ingen av fordelene man først ser i større installasjoner.

Strømforbruk <8W
Lydløs
Ekstremt kompakt
CF kortet skrives kun til ved oppgradering og endring i konfigurasjon, dette gir minimal "slitasje" på kortet og ingen bevegelige deler som ryker.
CF kort er billige, veier ingenting, nevnte jeg kompakt?
Dette er ikke fordeler som gjelder "gammel PC"-baserte systemer. Dette er fordeler som gjelder i systemer som er bygget som embedded systemer fra grunnen av for enterprise bruk. Det håper jeg selv du skjønner. 8W regner jeg med at gjelder for hele systemet, ikke bare CF disken, for en grønn disk bruker halvparten av dette når den idler, noe den kommer til å gjøre hele tiden, og omlag 8W når den går for fullt litt avhengig av disk.

Støynivået på en enkelt normal harddisk alene er så lavt at det er et ikke-tema i en normal PC med CPU, PSU og kabinettvifter.

Kompakt. I en vanlig PC? PCen blir da ikke noe større av å putte inn en harddisk kontra CF? Hvor fikk du denne fra? Og vekt? Seriøst?
Billige? Jeg er ganske sikker på at du enten allerede har, eller kan skaffe, en harddisk minst like billig som et CF-kort pluss en form for overgang til IDE/S-ATA.

Pålitelighet? Jeg er nærmest 100% sikker på at en harddisk eller SSD uten latente produksjonsfeil leverer akkurat like høy pålitelighet som et CF-kort uten latente produksjonsfeil. Hvis vi sier det er realistisk å anta at en slik firewall skal stå i f.eks 5 år før den blir byttet ut så mener du altså at CF-kort er bedre enn normale disker eller SSD? I såfall tror jeg du må ta en titt på MTBF tall (som selvfølgelig alltid må tas med en klype salt). CF er ikke noe bedre enn SSD og SSD er fremdeles ikke akseptert som noe mer pålitelige enn ordinære harddisker.

Jeg ønsker å vite hvordan en kar med én stk gammel PC kan oppnå merverdi (enten økonomisk, ytelsesmessig eller brukermessig) ved å gå for CF til tross for ulempene.
Jeg skal være snill og gå med på at om man bruker penger på en PC som er helt fullstendig fri for støy (inklusive passiv PSU) og den skal stå et sted hvor dette er helt ekstremt kritisk (f.eks i lytterommet?) så kan det hende at man kan oppnå fullstendig stillhet litt billigere med CF+overgang enn en av de rimeligste SSD-diskene.
 

marsboer

Hi-Fi freak
Ble medlem
04.04.2010
Innlegg
4.378
Antall liker
1.764
Sted
Phobos
Jeg tror forøvrig at vi egentlig stort sett er enige, bare at du fokuserer på pfSense i bruk på ekte embedded i enterprise generelt, og jeg på at utgangspunktet er en enkelt person med en helt normal PC.
 

Nolfi

Hi-Fi entusiast
Ble medlem
25.07.2006
Innlegg
440
Antall liker
22
Torget vurderinger
4
Jeg har skaffet meg en super-low noise Fujitsu Siemens fra jobben. Skal installere pfSense på den nå og leke meg litt med den.
Den krever 2 individuelle NIC's, og ser ikke ut til at den finner mitt Intel Pro 100+ NIC. Kan det være riktig?
 

marsboer

Hi-Fi freak
Ble medlem
04.04.2010
Innlegg
4.378
Antall liker
1.764
Sted
Phobos
Nei, den skal støtte Intel nettverkskort. Det er faktisk Intel kort pfSense anbefaler. Har du sjekket at kortet sitter skikkelig i eller er aktivert i BIOS?
Uansett så får du en konge brannmur med den installsjonen der.
 

Nolfi

Hi-Fi entusiast
Ble medlem
25.07.2006
Innlegg
440
Antall liker
22
Torget vurderinger
4
Hmm.. Det funker nå. Har installert pfSense og prøver meg nå på helt basic setup, så jeg kan få den til å route istedenfor min Zyxel.
Vender tilbake med nytt :)
 

Nolfi

Hi-Fi entusiast
Ble medlem
25.07.2006
Innlegg
440
Antall liker
22
Torget vurderinger
4
Jeg har litt problemer med reglene.
Følgende oppsett burde ikke tillate ICMP-pakker fra LAN til any, allikevel pinger jeg fint hosts på nettet:


Reply from 194.239.134.83: bytes=32 time=16ms TTL=122
Reply from 194.239.134.83: bytes=32 time=17ms TTL=122

Hva er forskjellen på LAN address og LAN subnet? Jeg får ikke mulighet til å spesifisere en adresse når jeg velger LAN address. Kun hvis jeg velger Single host or alias.
 

Vedlegg

marsboer

Hi-Fi freak
Ble medlem
04.04.2010
Innlegg
4.378
Antall liker
1.764
Sted
Phobos
LAN address = LAN-nettverkskortets IP
LAN net = LAN subnettet ditt
 

marsboer

Hi-Fi freak
Ble medlem
04.04.2010
Innlegg
4.378
Antall liker
1.764
Sted
Phobos
Nolfi skrev:
Jeg har litt problemer med reglene.
Følgende oppsett burde ikke tillate ICMP-pakker fra LAN til any, allikevel pinger jeg fint hosts på nettet:


Reply from 194.239.134.83: bytes=32 time=16ms TTL=122
Reply from 194.239.134.83: bytes=32 time=17ms TTL=122

Hva er forskjellen på LAN address og LAN subnet? Jeg får ikke mulighet til å spesifisere en adresse når jeg velger LAN address. Kun hvis jeg velger Single host or alias.
Regelsettet ditt gir ingen mening. Grunnen til at ICMP slipper gjennom er at reglene du har satt opp for å blokkere trafikken blokkerer trafikken til selve IP-adressen til WAN-interfacet.
Det vil si at med mindre trafikken skal til IP-adressen på utsiden av brannmuren din så vil den ikke bli blokkert.
I tillegg ligger ICMP under UDP og TCP i protokollstacken så selv om du hadde blokkert begge disse så ville ICMP-trafikken fungert.
ICMP ligger på samme nivå som IP, men blokkerer du IP så blokkeres også ICMP.

Hvis du endrer Deny-reglene til en enkelt Deny IP LAN net * * * så skal du se det fungerer veldig mye bedre (hvor IP er protokollen IP i stedet for TCP og UDP)
Før du gjør dette må du sørge for at du har tillatt web-GUI trafikken til pfSense hosten (TCP port 80 (http) eller 443 (https) ) høyere opp i regelsettet (reglene leses i rekkefølge fra toppen og nedover)
 

marsboer

Hi-Fi freak
Ble medlem
04.04.2010
Innlegg
4.378
Antall liker
1.764
Sted
Phobos
Jeg fant et bilde her som viser protokollstacken med de relevante protokollers plassering i forhold til hverandre.

 

Nolfi

Hi-Fi entusiast
Ble medlem
25.07.2006
Innlegg
440
Antall liker
22
Torget vurderinger
4
marsboer skrev:
LAN address = LAN-nettverkskortets IP
LAN net = LAN subnettet ditt
AHA!
Og WAN address er adressen på WAN-nettverkskortet og ikke en hvilken som helst WAN-adresse.. Glimrende.
Men hvordan blokkeres traffikk fra LAN til WAN så? Fra LAN subnet til... Any? (Som du skriver i neste post(Deny IP LAN net * * *)). Men Any (*) er vel også LAN-subnettet / -subnettene i seg selv? Det kan ikke gjøres mere spesifikt?
 

Nolfi

Hi-Fi entusiast
Ble medlem
25.07.2006
Innlegg
440
Antall liker
22
Torget vurderinger
4
Jeg finner iøvrig ikke IP i listen over protokoller:

Med mindre IP i denne sammenhengen == TCP/UDP
 

Vedlegg

marsboer

Hi-Fi freak
Ble medlem
04.04.2010
Innlegg
4.378
Antall liker
1.764
Sted
Phobos
Nolfi skrev:
Jeg finner iøvrig ikke IP i listen over protokoller:

Med mindre IP i denne sammenhengen == TCP/UDP
any er "protokollen" du skal benytte for å dekke alle protokoller slik du vil i pfSense. Jeg driver vanligvis med Cisco brannmurer og der spesifiserer man IP som protokoll når man ønsker å oppnå det samme.
 

marsboer

Hi-Fi freak
Ble medlem
04.04.2010
Innlegg
4.378
Antall liker
1.764
Sted
Phobos
Nolfi skrev:
marsboer skrev:
LAN address = LAN-nettverkskortets IP
LAN net = LAN subnettet ditt
AHA!
Og WAN address er adressen på WAN-nettverkskortet og ikke en hvilken som helst WAN-adresse.. Glimrende.
Men hvordan blokkeres traffikk fra LAN til WAN så? Fra LAN subnet til... Any? (Som du skriver i neste post(Deny IP LAN net * * *)). Men Any (*) er vel også LAN-subnettet / -subnettene i seg selv? Det kan ikke gjøres mere spesifikt?
Hvis du forteller meg hva du prøver å oppnå så er det enklere å komme med tips.

Det vanlige er å lage en regel som blokkerer absolutt alt nederst i regelsettet, for så å legge til alt man ønsker å tillate over denne regelen.
Regelsettet leses sekvensielt, dvs at hver pakke sjekkes mot hver regel fra toppen og nedover. Når den får "treff" på en regel så behandles pakken og vil ikke sjekkes mot reglene lengre ned i regelsettet.

Det å tillate trafikk inn mot brannmuren med LAN net som destinasjon gir ingen mening siden alle hostene internt i LANet uansett sender til hverandre direkte og ikke via brannmuren. Det eneste som kan være greit for enkelhetsskyld er å tillate trafikk til brannmuren selv. Dette gjøres vanligvis per port etter hva man trenger, men det kan være greit å bare tillate all trafikk i begynnelsen.

For å gjøre dette legger du til en regel som f.eks ser slik ut over "default deny" regelen:
Permit Any LAN net * LAN-address *
 

Nolfi

Hi-Fi entusiast
Ble medlem
25.07.2006
Innlegg
440
Antall liker
22
Torget vurderinger
4
Yes. Jeg har fått det til nå.
Det finnes både any på protokoll-siden og på interface-siden, derfor forvirringen.
53-UDP, 80-TCP, 443-TCP, 143-TCP, 110-TCP og 25-TCP er allowed fra LAN net til any.
TCP/UDP er blocked som default fra LAN net til any.

block-regelen står nederst jfr. regelsettet leses fra topp til bunn.

Takk for hjelpen så langt :)
 

Godmode

Hi-Fi entusiast
Ble medlem
07.01.2003
Innlegg
142
Antall liker
2
Torget vurderinger
1
Kult Nolfi.

fornøyd med pfSense så langt? Hva slags maskin er det egentlig du bruker, dvs omtrent hva slags speck? Hvis du har litt "headroom" på den så kan du jo f.eks installere Snort. Ellers vil jeg også varmt anbefale dyndns tjenesten. Skaff deg en gratis dyndns adresse og vips har du "statis" internett adresse via f.eks nolfi.dyndns.org (eller noe slikt). Kjekt hvis du vil sette opp vpn ol.
 

Nolfi

Hi-Fi entusiast
Ble medlem
25.07.2006
Innlegg
440
Antall liker
22
Torget vurderinger
4
pfSense er bra, det er jo helt enkelt å sette opp og konfigurere.
Maskinen er en Fujitsu Siemens Scenic. Usikker på modellen. 4 GHz P4, 512 MB minne, 80 GB disk. ULTRA-lydløs! :D
Jeg har faktisk 2, så den annen kjører Ubuntu Server 10.10 - leker meg litt med det nå.
Egentlig synes jeg det er overkill med 2 maskiner, så hvis jeg får Ubuntu til å kjøre ordentlig med IPTables, Apache Tomcat og MySQL, så dropper jeg pfSense. Men inntil videre, så er det pfSense på en dedikert maskin, og LAMP + Tomcat på en annen.
Veldig fornøyd så langt!
 

Nolfi

Hi-Fi entusiast
Ble medlem
25.07.2006
Innlegg
440
Antall liker
22
Torget vurderinger
4
Jeg har Apache kjørende på en host på LAN'et.
I tillegg har jeg et domene og en A-record som peker på WAN-adressen på pfSense-boksen.
Hvis jeg forsøker å gå på www.<domene>.dk så får jeg pfSense-webinterfacet.
Hvis andre som kommer fra WAN-siden forsøker å se nettsiden, så fungerer det fint.
NAT-reglen (WAN -> LAN: TCP-80) slår kun inn når man kommer inn via WAN-interfacet, derfor har jeg litt problemer når jeg kommer fra LAN-interfacet.
Hvordan gjøres dette enklest? Kjører en DNS på samme boks som Apache kjører på og laver intern resolving såvel som ekstern? Regner med at en simpel regel i pfSense er det som må til, men sliter litt med hvordan.
 

marsboer

Hi-Fi freak
Ble medlem
04.04.2010
Innlegg
4.378
Antall liker
1.764
Sted
Phobos
Nolfi skrev:
Jeg har Apache kjørende på en host på LAN'et.
I tillegg har jeg et domene og en A-record som peker på WAN-adressen på pfSense-boksen.
Hvis jeg forsøker å gå på www.<domene>.dk så får jeg pfSense-webinterfacet.
Hvis andre som kommer fra WAN-siden forsøker å se nettsiden, så fungerer det fint.
NAT-reglen (WAN -> LAN: TCP-80) slår kun inn når man kommer inn via WAN-interfacet, derfor har jeg litt problemer når jeg kommer fra LAN-interfacet.
Hvordan gjøres dette enklest? Kjører en DNS på samme boks som Apache kjører på og laver intern resolving såvel som ekstern? Regner med at en simpel regel i pfSense er det som må til, men sliter litt med hvordan.
Du har vanligvis to muligheter.

Basert på problembeskrivelsen din virker det som om pfsense-hosten er satt opp med samme domenenavn som internettdomenet ditt, slik at denne svarer på LAN-forespørsler angående dette domenet og at disse forespørslene derfor aldri går til den ekte domene-DNSen på internett. Dette eliminererer i praksis det ene alternativet.

For ordens skyld kan jeg ta dette alternativet (som forøvrig er en ordentlig hobbyløsning som bør unngås selv om det virker)
1. Du må endre domenenavnet på pfsense-hosten slik at LAN-domenet ditt er forskjellig fra internettdomenet ditt
2. Du må aktivere noe som kalles NAT-reflection (én enkelt hake i pfsense GUIet), som forøvrig kun virker på de første 500 portene. Hvis du ikke gjør dette tillates ikke LAN-forespørsler til den eksterne WAN-IPen å gå inn igjen samme vei som den kom.

Når en klient da spør etter www.domene.dk spørres DNS-serveren til domeneregistraren din i stedet for pfsense og klientene blir henvist til WAN-IPen på pfsense-hosten. Forutsatt at du har gjort punkt 2 slippes da forespørselen inn igjen selv om tilkoblingen kommer fra innsiden i utgangspunktet.


Den gode løsningen, som er den som benyttes i praksis, er å sette opp en egen DNS-server for LAN-delen av domenet ditt. I denne dns'en legger du til et CNAME (alias) www som peker på A-record (med det reelle hostname) til den lokale LAN-adressen til webserveren din.
I tillegg må du omkonfigurere DHCP-serveren du sannsynligvis har i pfsense i dag, slik at denne gir ut den lokale DNS-server adressen som DNS-server og ikke pfSense's LAN-adresse.
 

Nolfi

Hi-Fi entusiast
Ble medlem
25.07.2006
Innlegg
440
Antall liker
22
Torget vurderinger
4
Ja, jeg tenkte at alternativ 2 var bedste løsning.
Hvilken DNS er bedst? Squid?
 

marsboer

Hi-Fi freak
Ble medlem
04.04.2010
Innlegg
4.378
Antall liker
1.764
Sted
Phobos
Nolfi skrev:
Ja, jeg tenkte at alternativ 2 var bedste løsning.
Hvilken DNS er bedst? Squid?
Squid er ingen DNS, det er en proxy-server. Om du skal kjøre DNS på Linux er det bind9 som benyttes.
 

Nolfi

Hi-Fi entusiast
Ble medlem
25.07.2006
Innlegg
440
Antall liker
22
Torget vurderinger
4
Ja, det så jeg nå.. Takk :)
 

marsboer

Hi-Fi freak
Ble medlem
04.04.2010
Innlegg
4.378
Antall liker
1.764
Sted
Phobos
Jeg mener forøvrig jeg fikk passet mitt påskrevet for å nevne at en DNS-server var noe man burde ha i et nett med mer avanserte behov enn rene surfeklienter tidligere i tråden.
Med andre ord kan det være lurt å dobbeltsjekke det jeg anbefaler opp mot andre bidragsytere her i tråden.

Jeg kan imidlertid hjelpe til med oppsett av bind om du skulle trenge det. Bind gir ikke gratis ved dørene for nybegynnere for å si det slik (om du ikke er nybegynner på bind så se bort fra min "fornærmelse")
 

xerxes

Æresmedlem
Ble medlem
08.01.2005
Innlegg
12.598
Antall liker
8.650
Sted
Holmestrand
Class skrev:
Jeg har en Alix med m0n0wall, litt kostbar kanskje men det er topp kvalitet.

Snedig liten boks!
Trenger noe slikt i annen sammenheng. Alix-kortene er ikke veldig heftige mhp RAM/CPU.
Finnes det en slik som klarer å kjører windows? Gjerne XP. Trenger ikke være raskest i byen.
 

Class

Hi-Fi freak
Ble medlem
11.03.2009
Innlegg
2.763
Antall liker
497
Sted
Vestfold
Torget vurderinger
7
xerxes skrev:
Snedig liten boks!
Trenger noe slikt i annen sammenheng. Alix-kortene er ikke veldig heftige mhp RAM/CPU.
Finnes det en slik som klarer å kjører windows? Gjerne XP. Trenger ikke være raskest i byen.
Den kan faktisk kjøre Windows (jeg har ikke forsøkt) men jeg tror nok jeg ville sett på en Atom/ION eller lignende isteden om du vil ha en brukbar UI opplevelse.
 

xerxes

Æresmedlem
Ble medlem
08.01.2005
Innlegg
12.598
Antall liker
8.650
Sted
Holmestrand
Class skrev:
xerxes skrev:
Snedig liten boks!
Trenger noe slikt i annen sammenheng. Alix-kortene er ikke veldig heftige mhp RAM/CPU.
Finnes det en slik som klarer å kjører windows? Gjerne XP. Trenger ikke være raskest i byen.
Den kan faktisk kjøre Windows (jeg har ikke forsøkt) men jeg tror nok jeg ville sett på en Atom/ION eller lignende isteden om du vil ha en brukbar UI opplevelse.
Men finnes det Atom/ION på denne størrelsen?
 

Nolfi

Hi-Fi entusiast
Ble medlem
25.07.2006
Innlegg
440
Antall liker
22
Torget vurderinger
4
marsboer skrev:
Jeg mener forøvrig jeg fikk passet mitt påskrevet for å nevne at en DNS-server var noe man burde ha i et nett med mer avanserte behov enn rene surfeklienter tidligere i tråden.
Med andre ord kan det være lurt å dobbeltsjekke det jeg anbefaler opp mot andre bidragsytere her i tråden.

Jeg kan imidlertid hjelpe til med oppsett av bind om du skulle trenge det. Bind gir ikke gratis ved dørene for nybegynnere for å si det slik (om du ikke er nybegynner på bind så se bort fra min "fornærmelse")
Jeg er nybegynner, så none taken! :)
Det virker forholdsvis komplisert å komme igang med bind. Jeg skal se litt på det og takker gjerne ja til en session, hvis jeg ikke får det til.
 

xerxes

Æresmedlem
Ble medlem
08.01.2005
Innlegg
12.598
Antall liker
8.650
Sted
Holmestrand
marsboer skrev:
Jeg mener forøvrig jeg fikk passet mitt påskrevet for å nevne at en DNS-server var noe man burde ha i et nett med mer avanserte behov enn rene surfeklienter tidligere i tråden.
Med andre ord kan det være lurt å dobbeltsjekke det jeg anbefaler opp mot andre bidragsytere her i tråden.

Jeg kan imidlertid hjelpe til med oppsett av bind om du skulle trenge det. Bind gir ikke gratis ved dørene for nybegynnere for å si det slik (om du ikke er nybegynner på bind så se bort fra min "fornærmelse")
:)
Denne tråden er kjempefin! Kom med den informasjonen dere synes er relevant, og grav ned øksene gutter!
 

Nolfi

Hi-Fi entusiast
Ble medlem
25.07.2006
Innlegg
440
Antall liker
22
Torget vurderinger
4
marsboer skrev:
Jeg kan imidlertid hjelpe til med oppsett av bind om du skulle trenge det. Bind gir ikke gratis ved dørene for nybegynnere for å si det slik (om du ikke er nybegynner på bind så se bort fra min "fornærmelse")
Please... HALP!

???

En enkelt guide til hvordan sette opp / legge til en A record / CNAME i Bind, ville være fint å ha :)
De guides jeg har funnet til det på nettet er eldre end for Ubuntu Server 10.10 (Som jeg kjører) og jeg synes ikke de passer med oppsettet jeg har her. (Mismatch på sti, konf-filer osv.)
 

Robin

Hi-Fi entusiast
Ble medlem
10.02.2007
Innlegg
173
Antall liker
36
Torget vurderinger
3
Her hjemme og til diverse småting på jobb bruker jeg en MikroTik router. Synes disse er helt geniale. Linux-baserte med mer funksjoner enn de fleste Cisco'er til MANGE ganger prisen. De har også noen ganske unike funksjoner, som feks muligheten til å kjøre flere virtuelle routere på samme boks. I tillegg er alle interface fullt konfigurerbare som routet eller bridge. Brannmur-delen er baser på iptables, og støtter også pakke-tagging for feks. trafikkprioritering. Men jeg skal ikke liste opp alle funksjoner her...

I tillegg er de veldig modulære. Kjøp et kort (routerboard) som passer bruk/lommebok, kjøp ett eller flere wlan kort og antenner, sett sammen i en boks... Routerboard finnes til priser fra "gratis" til noen tusen for ganske så kraftige saker. Og alt oppsett og tilgjengelige funksjoner er likt uansett modell.

Akkurat som en cisco gjør de "ingenting" ut av boksen, og krever nok litt kjennskap til nettverk og/eller vilje til å lese litt dok. Men jeg syns de er MYE enklere å sette opp enn cisco.

Anbefaler alle som skal ha en litt ekstra avansert router å sjekke ut www.mikrotik.com

-Robin
 
N

nslookup

Gjest
marsboer skrev:
Nolfi skrev:
Jeg har Apache kjørende på en host på LAN'et.
I tillegg har jeg et domene og en A-record som peker på WAN-adressen på pfSense-boksen.
Hvis jeg forsøker å gå på www.<domene>.dk så får jeg pfSense-webinterfacet.
Hvis andre som kommer fra WAN-siden forsøker å se nettsiden, så fungerer det fint.
NAT-reglen (WAN -> LAN: TCP-80) slår kun inn når man kommer inn via WAN-interfacet, derfor har jeg litt problemer når jeg kommer fra LAN-interfacet.
Hvordan gjøres dette enklest? Kjører en DNS på samme boks som Apache kjører på og laver intern resolving såvel som ekstern? Regner med at en simpel regel i pfSense er det som må til, men sliter litt med hvordan.
Du har vanligvis to muligheter.

Basert på problembeskrivelsen din virker det som om pfsense-hosten er satt opp med samme domenenavn som internettdomenet ditt, slik at denne svarer på LAN-forespørsler angående dette domenet og at disse forespørslene derfor aldri går til den ekte domene-DNSen på internett. Dette eliminererer i praksis det ene alternativet.

For ordens skyld kan jeg ta dette alternativet (som forøvrig er en ordentlig hobbyløsning som bør unngås selv om det virker)
1. Du må endre domenenavnet på pfsense-hosten slik at LAN-domenet ditt er forskjellig fra internettdomenet ditt
2. Du må aktivere noe som kalles NAT-reflection (én enkelt hake i pfsense GUIet), som forøvrig kun virker på de første 500 portene. Hvis du ikke gjør dette tillates ikke LAN-forespørsler til den eksterne WAN-IPen å gå inn igjen samme vei som den kom.

Når en klient da spør etter www.domene.dk spørres DNS-serveren til domeneregistraren din i stedet for pfsense og klientene blir henvist til WAN-IPen på pfsense-hosten. Forutsatt at du har gjort punkt 2 slippes da forespørselen inn igjen selv om tilkoblingen kommer fra innsiden i utgangspunktet.


Den gode løsningen, som er den som benyttes i praksis, er å sette opp en egen DNS-server for LAN-delen av domenet ditt. I denne dns'en legger du til et CNAME (alias) www som peker på A-record (med det reelle hostname) til den lokale LAN-adressen til webserveren din.
I tillegg må du omkonfigurere DHCP-serveren du sannsynligvis har i pfsense i dag, slik at denne gir ut den lokale DNS-server adressen som DNS-server og ikke pfSense's LAN-adresse.
hvorfor ikke lage en statisk entry host/lmhost?
 

marsboer

Hi-Fi freak
Ble medlem
04.04.2010
Innlegg
4.378
Antall liker
1.764
Sted
Phobos
Det blir det samme som å pisse i buksa for å holde varmen :)
 
Topp Bunn