@parser81

pfsence marshrutizator
(к нему есть доступ) (к нему нет доступа)

-|tun0 (192.168.3.1) | | Wan2 (x.x.x.x) |---gateway провайдера 2
| lan2 (192.168.2.222)|---|lan2_vihod (192.168.2.1) |
gateway провайдера 1---|wan (5.5.5.5) | | |

Решаемая задача: нужно чтобы пакеты соединения https из удаленной локалки (находится со стороны "gateway провайдера 1") приходили по OpenVPN каналу на интерфейс tun0 (192.168.3.1), а затем отправлялись в сеть 172.12.x.x (что соответствует "gateway провайдера 2" - см. чертеж), а ответ приходил обратно в удаленную локалку.

Считаем
1) Что на пути от локалки до tun0 (192.168.3.1) через wan (5.5.5.5) все доходит
2) О DNS беспокоится не надо - на клиенте в локальной сети все пописано в файле hosts
3) marshrutizator знает, что делать с пакетом, направляющимся в сеть 172.12.x.x, разбирается с этим без нашего участия. А значит наше дело - пакет отправить только к lan2_vihod (192.168.2.1)

Сомнения: как правильно прописать правила маршрутизации

Конкретика: пусть пакет {от192.168.3.5,до172.12.х.х} приходит на интерфейс tun0 (192.168.3.1). 192.168.3.5 - динамический адрес VPN клиента на компьютере в удаленной локалке. Было предложено этот пакет {от192.168.3.5,до172.12.х.х} Natить на интерфейс lan2 (192.168.2.222) с последующей пересылкой на 192.168.2.1.
Если не использовать Nat, то ответ от интерфейса lan2_vihod (192.168.2.1) на запрос из сети, скажем 192.168.3.1 (tun0), в эту сеть 192.168.3.1 не вернется. Ведь о ней lan2_vihod (192.168.2.1) ничего не знает, и будет отсылать такой ответ на шлюз по умолчанию (gateway на стороне провайдера 2).

Вопрос: достаточно ли будет прописать на pfsence
1) route 172.12.x.x 255.255.y.0 192.168.2.1 (посылать пакет в сеть 172.12.x.x через интерфейс 192.168.2.1: без этого указания пакет в неизвестную для pfsence сеть pfsence будет отсылать на gateway провайдера 1)
2) nat pass on tun0 from 192.168.3.0/24 to 172.12.x.x port {80, 443} -> 192.168.2.222 (в pf)

Или достаточно только сказать "nat pass on tun0 from 192.168.3.0/24 to 172.12.x.x port {80, 443} -> 192.168.2.1" - а дальше сам разберется?

Правильно ли делать nat на исходящем интерфейсе lan2 (192.168.2.222), а не на tun0 - ваше мнение?

Вся путанница идет от этой картинки (см. прикрепленное изображение ), на которой показан алгоритм обработки пакета фильтром pf.

Где на ней этап маршрутизации средством route?

Маршрутизация pf routing и обычная route - одно и то же, или нет; Какой из них использовать грамотней?

Не порекомендуете ли для решения проблемы использовать rdr, как более грамотный вариант (как rdr меняет заголовок пакета при пересылке)?

Прошу помочь начинающему. Не судите строго. Кто сколько может. По чуть-чуть. Ну пожалуйста!!! ) Голова уже кругом идет: полторы недели на английском и на русском все читаю, читаю... Понятно, что судьба у нас такая... Но все же, будьте милосепрдны к студентику. Может кто встречался с подобной ситуевиной?

Миниатюры

 

0

@parser81

Извините, сразу не получилось.
Схему сети выкладываю снова

Миниатюры

 

0