thảo luận Cộng đồng sử dụng Pfsense
- Người tạo chủ đề chienbinhso13
- Ngày bắt đầu
johndo100
Senior Member
Tra danh sách này nè bạn
FreeBSD 14.0 Hardware Notes
FreeBSD is an operating system used to power modern servers, desktops, and embedded platforms.
chienbinhso13
Đã tốn tiền
82599 ok nhé
nhưng cái link bạn gởi toàn hàng tàu nó làm cũng rén đấy
thanhsonvn
Senior Member
Cảm ơn 2 bác, mình mua đc rồi. Nhưng mà vì mua hàng cũ nên cái FE chỉ có loại dài cho máy bàn và không có FE loại nhỏ cho SFF. Mấy bán biết chỗ nào bán không nhỉ? Cảm ơi nhiều
sweetlove_sunny
Đã tốn tiền
Con hàng này không hỗ trợ MAP-E với MAP-T nhỉ chán thật 
nevergiveup1123
Senior Member
Em có build cho máy ở nhà mô hình mirotik - pfsense - client ( Em đang xài IP Động)
Em Nat port forward remote desktop từ client 10.0.20.5:3389 đi ra Internet .
- Hiện tại đừng đằng sau con Mik thì thấy client đứng sau pfsense. Cụ thể remote desktop được 10.0.20.5:3389
Mà ở External Internet không Remote desktop được, mặc dù trên mirotik thấy traffic rồi
Trên mirotik
General:
Chain : dstnat
Dst.Address list : DDNS ( DNS Cloud của Mirotik)
Protocol : tcp
Dst Port : 3389
Action:
Action: dst-nat
To Addresses : 172.160.10.254
To Ports:: 3389
Nat Portforward trên Pfsense
Em Nat port forward remote desktop từ client 10.0.20.5:3389 đi ra Internet .
- Hiện tại đừng đằng sau con Mik thì thấy client đứng sau pfsense. Cụ thể remote desktop được 10.0.20.5:3389
Mà ở External Internet không Remote desktop được, mặc dù trên mirotik thấy traffic rồi
Trên mirotik
General:
Chain : dstnat
Dst.Address list : DDNS ( DNS Cloud của Mirotik)
Protocol : tcp
Dst Port : 3389
Action:
Action: dst-nat
To Addresses : 172.160.10.254
To Ports:: 3389
Nat Portforward trên Pfsense
Tệp đính kèm
Sửa lần cuối:
chienbinhso13
Đã tốn tiền
netgate nó sắp bỏ rơi pfsense cmnr :vCon hàng này không hỗ trợ MAP-E với MAP-T nhỉ chán thật
thấy redmine 3 năm trước mà giờ chưa thấy động thái gì. cũng may ở VN thì chưa phải sờ vào MAP-E
Double NAT à fen
mô hình đang là như nào nhỉ
con pfsense là transparent FW hay nat FW. đứng ở sau con mik có thấy client sau pfsense không
sigel
Đã tốn tiền
tui thấy nó bỏ rơi từ hơn cả năm nay rồi, vẫn cay cái vụ quay xe bản quyền homelab.netgate nó sắp bỏ rơi pfsense cmnr :v
thấy redmine 3 năm trước mà giờ chưa thấy động thái gì. cũng may ở VN thì chưa phải sờ vào MAP-E
Double NAT à fen
mô hình đang là như nào nhỉ
con pfsense là transparent FW hay nat FW. đứng ở sau con mik có thấy client sau pfsense không
nevergiveup1123
Senior Member
Double Nat bácnetgate nó sắp bỏ rơi pfsense cmnr :v
thấy redmine 3 năm trước mà giờ chưa thấy động thái gì. cũng may ở VN thì chưa phải sờ vào MAP-E
Double NAT à fen
mô hình đang là như nào nhỉ
con pfsense là transparent FW hay nat FW. đứng ở sau con mik có thấy client sau pfsense không
mô hình em có sửa ở trên rồi , em đang xài nat FW.
hiện tại đứng đằng sau con Mik thì thấy client đứng sau pfsense. Cụ thể remote desktop được 10.0.20.5:3389
chienbinhso13
Đã tốn tiền
thế thì xem lại phần con mik thôi thím
dump xem gói tin nó tắc ở đâu
em ko chuyên mik nên cũng k biết debug như nào
CGGX_ANNX
Senior Member
Theo sơ đồ thì lúc dstnat trên router Mikrotik bác phải để dst-address là địa chỉ "WAN" của con Pfsense (192.168.40.253 thì phải). Còn cái địa chỉ 172.16.10.254 nó không có route cụ thể trong bảng route nên con MikroTik sẽ cho đi qua default gateway ra ngoài internet bác ạ (nếu tường lửa cấu hình chặt thì nó còn chặn trước khi cho ra ngoài internet).
Nhưng nói chung bác không nên forward cổng RDP thẳng ra ngoài internet như vậy. Thỉnh thoảng lại có lỗ hổng bảo mật chỗ cái Remote Desktop Services. Tốt nhất bác thiết lập VPN (WireGuard, SSTP, IKEv2, OpenVPN, ... trên MikroTik hai cái đầu setup dễ nhất), từ ngoài quay VPN về, rồi sau đó dùng RDP trong VPN.
Sửa lần cuối:
IT_culi
Senior Member
wait, sao action trên con mik là fwd port 3389 vào IP LAN của pfsense mà Port fwd trên Pfs lại là từ port Wan?
nevergiveup1123
Senior Member
em để nhầm qua IP Lan
em để qua IP WAN, thì bên ngoài Remote Desktop được rồi.
Lý do em public con port RDP ra mà không dùng VPN thì do chưa setup wireguard xong. Nên rảnh public port RDP của con DHCP , với AD lên test, rồi dùng kali test này nọ.
Sửa lần cuối:
hungnt612
Senior Member
bác cho em hỏi trogn mô hình này thì phía con pfsense sẽ cấp DHCP cho client đúng không bác nhỉ. Vậy làm thế nào để con mik thấy được client ạ ?
Em đang dùng con Sophos Home, nhưng bị giới hạn cấu hình. E đang tính setup theo mô hình của bác chỉ có thay con Mik bằng sophos thôi.
Với lại cấu hình như này thì có thể hiểu là con pf sẽ gánh tải cho con MIK đúng không bác
Sửa lần cuối:
nevergiveup1123
Senior Member
em dựng con AD cấp DHCP cho vlan.
muốn mik thấy client thì nó phải có route của client thì mới thấy được hoặc ở ngoài VPN vào thôi.
Cụ thể là set VPN ở pfsense, set rule pfsense , mirotik forward UDP VPN vào là xong
con mik em chỉ có nhiệm vụ là Nat và forward gói tin thôi
Sửa lần cuối:
hungnt612
Senior Member
Cảm ơn bác, em vẫn chưa hiểu ý của bác khi setup như này lắm, em nghĩ là con pf sẽ để giảm tải cho mik à bác.
CGGX_ANNX
Senior Member
Về lý thuyết thì bác có thể loại được double NAT mà vẫn giữ nguyên toàn bộ cấu hình địa chỉ cũng như thiết lập DHCP như hiện giờ. Trên router Mikrotik bác thêm route vào bảng main chỗ IP -> Routes
Mã:
/ip route
add dst-address=10.0.0.0/8 gateway=192.168.40.253
add dst-address=172.16.0.0/12 gateway=192.168.40.253Hoặc nếu muốn giới hạn chỉ những dải đang thực sự dùng thì
Mã:
/ip route
add dst-address=10.0.10.0/24 gateway=192.168.40.253
add dst-address=10.0.20.0/24 gateway=192.168.40.253
add dst-address=10.0.50.0/24 gateway=192.168.40.253
add dst-address=172.16.10.0/24 gateway=192.168.40.253Sau đó trên Pfsense có thể tắt được Outbound NAT (Firewall -> NAT -> Outbound -> Disable Outbound NAT). Như vậy chỉ còn 1 lớp NAT và con Pfsense không tốn CPU xử lý NAT nữa.
Lúc này nếu forward RDP như bên trên thì bác không cần rule forward trên Pfsense nữa, mà trên MikroTik có thể sửa rule dstnat port forward vào thẳng vào 10.0.20.5:3389 (tức là như ban đầu bác làm mà không chạy) được. Còn nếu dùng VPN thì vẫn giữ như hiện thời (MikroTik dstnat cổng UDP vào 192.168.40.253).
VuDucNguyen9x
Member
Các bác cho em hỏi hiện tại dùng bọn nào làm proxy cho openvpn trên Pfsense ngoài Squid vậy các bác.
chienbinhso13
Đã tốn tiền
Ủa sao vpn rồi còn chồng proxy vào cho nó chậm ra?