pfSense: как маршрутизировать трафик через порт WAN?

Экспертная версия

я хочу создать маршрут в pfSense, который будет отправлять трафик через физический порт WAN, а не через порт WAN PPPoE . я хочу общаться с веб-сервером на моем модеме DSL; позвольте мне увидеть текущую частоту синхронизации и поля SnR. Модем не видит пакеты, предназначенные для него, потому что они отправляются через туннель PPPoE .

Длинная версия

Мой маршрутизатор pfSense отвечает за настройку соединения PPPoE через DSL с моим провайдером. Когда машина в локальной сети хочет отправить пакеты в Интернет, маршрут по умолчанию отправляет пакеты через соединение PPPoE . Эти пакеты, завернутые в заголовок PPPoE, отправляются по кабелю Ethernet на мой модем DSL. Оттуда их отправляют интернет-провайдеры и интернет в целом.

+----------------------+ +----------------------+  |IPv4 header (20 bytes)| +--------+ |PPPoE header (8 bytes)| +-----+ {‾‾‾‾‾‾‾‾} | |===>|pfSense |===>|IPv4 header (20 bytes)|===>|Modem|===> | | +--------+ | | +-----+  | | | | +----------------------+ +----------------------+ 

Мне нужен способ отправки пакета через сам порт WAN, а не через порт WAN PPPoE.

Мой модем сидит там, с интерфейсом http, где я могу контролировать

• скорость соединения
• сигнал-шум
• пропускная способность
• время соединения

Всякий раз, когда я пытаюсь установить маршрут для пункта назначения 192.168.2.1(IP, который модем будет прослушивать для HTTP-запросов) для выхода через порт WAN, они вместо этого заканчивают тем, что выходят из порта PPPoE .

Разница в том, что они заключены в пакет протокола PPPoE, и модем не отправляет пакет, а доставляет его провайдеру.

Учитывая, что pfSense не имеет возможности направлять трафик через физический порт WAN: как я могу направить трафик через физический порт WAN в pfSense?

Вот тот же вопрос, который я задал 3 года назад на форуме pfSense :

У моего модема есть веб-интерфейс. Это удобно, потому что я могу видеть, действительно ли он подключен или нет, шум в линии, уровень ошибок и т. Д.

Если я подключу модем к своему компьютеру, работающему с удаленным рабочим столом (а не к компьютеру pfSense), я смогу нормально пропинговать и просматривать веб-интерфейс модема. IP-адрес модема - 192.168.0.254, и он прослушивает порт 8080. Я также могу отследить активность пакета с моего компьютера:

Пинг модем

ARP REQ Phalanx => Broadcast 192.168.0.98 -?- 192.168.0.254 ARP RESP Phalanx <= Ovislink_LAN 192.168.0.254 -!- 192.168.0.98 IP/ICMP Phalanx => Ovislink_LAN 192.168.0.98 => 192.168.0.254 ECHO IP/ICMP Phalanx <= Ovislink_LAN 192.168.0.98 <= 192.168.0.254 ECHOREPLY 

Вы можете видеть, как моя машина выполняет трансляцию ARP, запрашивая MAC-адрес модема (Ovislink). Модем отвечает своим IP, эхо гаснет, и я получаю ответ. Подобные детали можно увидеть при подключении к веб-порту модема:

Подключение к веб-порту 8080

ARP REQ Phalanx => Broadcast 192.168.0.98 -?- 192.168.0.254 ARP RESP Phalanx <= Ovislink_LAN 192.168.0.254 -!- 192.168.0.98 IP/TCP Phalanx => Ovislink_LAN 192.168.0.98:50001 => 192.168.0.254:8080 SYN IP/TCP Plalanx <= Ovislink_LAN 192.168.0.98:50001 <= 192.168.0.254:8080 SYNACK IP/TCP Phalanx => Ovislink_LAN 192.168.0.98:50001 => 192.168.0.254:8080 ACK 

После запроса ARP устанавливается TCP-соединение с обычным процессом SYN, SYN ACK, ACK. И все хорошо.

Теперь вместо того, чтобы подключать модем к настольному ПК, я подключаю его к ПК, на котором запущен pfSense.

Примечание. Ранее я изменил IP-адрес локальной сети pfSense 192.168.1.1/16, а не на 192.168.1.1/24. Это потому что моя сеть уже была 192.168.0.0/16.

Первое, что я сделать, это отключить «Блокировать частные сети» функция под Interfaces->WAN, так как интерфейс LAN моего модема работает как 192.168.0.254. Это удаляет первую запись брандмауэра, под Firewall->Rulesкоторой блокируется весь трафик RFC1918. Затем я добавил правило брандмауэра:

Действие: Pass
Интерфейс: WAN
Протокол: TCP
Источник: один хост или псевдоним, 192.168.0.254
Место назначения: подсеть LAN
Диапазон портов назначения: любой
Пакеты журналов: Да
Описание: ADSL-модем

После сохранения и применения моих изменений я попытался использовать эту Diagnostics->Pingфункцию для проверки связи 192.168.0.254на стороне WAN. Это, конечно, не сработало.

Я подумал об этом, и мне кажется, что я не могу просто разрешить входящие TCP-пакеты в WAN 192.168.0.254, мне также нужно разрешить пакеты ответа ARP (как иначе pfSense может найти MAC-адрес оборудования, которое пытается отправить IP-пакет для?). Мне также пришло в голову, что я не могу назвать LAN в качестве пункта назначения, потому что на самом деле пингует интерфейс WAN. Поэтому я обновил правило брандмауэра:

Действие: Pass
Интерфейс: WAN
Протокол: любой
Источник: один хост или псевдоним, 192.168.0.254
Пункт назначения: любой
Диапазон порта назначения: любой
Пакеты журналов: Да
Описание: Модем ADSL

Теперь, когда я пингую это ... не работает. Там нет ничего удивительного. Поэтому я решил запустить трассировку пакета:

Интерфейс: WAN
Host Address: 192.168.0.254 Количество
: 1
Уровень детализации: Полный

Я начал трассировку, сделал пинг Diagnostics->Pingи получил ... ничего. Нет ответа на пинг и нет пакетов в трассировке.

Так что теперь мне приходит в голову, что только потому, что:

• pfSense находится в 192.168.1.1/16сети
• мой рабочий стол находится в 192.168.0.98/16подсети
• мой сервер находится в 192.168.0.10/16подсети

возможно модем не в /16подсети. Я подключаю модем обратно к своему рабочему столу, подключаюсь к веб-интерфейсу и вижу, что он установлен 192.168.0.254/24. Поэтому я перенастроить модем для 192.168.1.254/24. Затем я перенастроить

• мой рабочий стол 192.168.1.98,
• сервер, который будет 192.168.1.10,
• и теперь модем 192.168.1.254
• в дополнение к существованию pfSense 192.168.1.1.

я переподключаю модем к коробке pfSense, пытаюсь пинговать его, и я получаю ... без ответа. я делаю трассировку пакетов для пакетов, 192.168.1.254и я вижу ... нет.

Так что теперь я в тупике и прошу помощи.