Pfsense на Xenserver между модемом и WIFI-роутером

Question

Я пытаюсь настроить pfsense дома. Я провел несколько часов, настраивая это, но это никуда не денется. вот чего я хочу добиться: у меня работает pfsense vm.

Интернет -> кабельный модем -> xenserver с запущенным pfsense vm -> wifi router(AP) для других устройств. В PFsense должен быть включен DHCP для всех общедоступных веб-сайтов / серверов vms.

На маршрутизаторе WIFI должен быть включен DHCP. Я не против, если маршрутизатор Wi-Fi не позади pfsense, если это не может быть достигнуто слишком

Я пытался соединить WAN с OPT1. Я не думаю, что это работает как нужно.

Я новичок в продвинутых сетях и pfsense. Я был бы очень признателен, если бы кто-то мог дать мне какое-то руководство. Более содержательным было бы лучше.

Вот мои имена интерфейса и конфиги / ассоциации:

WAN - это место, где подключен мой модем, где у меня динамический IP

WAN -> xn0 LAN -> xn1 OPT1 -> xn2 OPT2 -> xn3

Пожалуйста, дайте мне знать, как действовать!

Answer 1

Я не знаю, почему вы хотите режим моста. Если у вас один публичный IP, то я предлагаю вам использовать схему ниже.

В pfSense установите правила NAT (которые также автоматически создадут правила брандмауэра) для пересылки общедоступных портов в сеть OPT1, где ваши общедоступные службы работают в ВМ. Я не уверен, зачем вам нужен DHCP на OPT1, но это нормально, если вы используете статический DHCP, который склеивает MAC-адреса виртуальных машин с определенным IP-адресом. Таким образом, NAT всегда будет перенаправлять входящие соединения на конкретную виртуальную машину.

В правилах брандмауэра разрешить передачу всех протоколов из локальной сети в OPT1. Таким образом, внутренняя сеть ЛВС сможет получить доступ к службам ВМ, но она будет защищена от Интернета и OPT1 (поэтому в случае взлома какой-либо ВМ она не сможет получить доступ к ЛВС).

В pfSense DNS forwarder переопределяет общедоступные записи DNS для полного доменного имени виртуальных машин, поэтому при подключении от локальной сети к OPT1 он указывает на виртуальную машину, расположенную в сети OPT1.

Например, у вас есть общедоступная запись DNS для веб-сайта, которая разрешает вам общедоступный IP-адрес как my.www.example.com->1.2.3.4
В пересылке DNS переопределите общедоступный IP-адрес, установив my.www.example.com->10.1.10.50
Таким образом, если подключение к виртуальной машине происходит из Интернета, оно будет передаваться через NAT на виртуальную машину в сети OPT1, но если подключение идет из локальной сети, DNS-сервер пересылки pfSense будет указывать на виртуальную машину в OPT1 с использованием частных IP-адресов.

Что касается WiFi, - используйте его в качестве точки доступа (AP). Оставьте порт WAN отключенным и настройте ip локальной сети WiFi таким образом, чтобы он находился в диапазоне pfSense LAN, и отключите на нем DHCP. Таким образом, компьютеры, подключенные к порту WiFi LAN (он будет работать как обычный коммутатор) и клиенты WiFi будут получать IP-адреса от DHCP pfSense.