网络工程 - 帮助 Cisco 路由器将路径信息转发到 pfSense，反之亦然 - 吾爱随笔录

帮助 Cisco 路由器将路径信息转发到 pfSense，反之亦然

网络工程思科路由路由器防火墙

2021-07-12 21:28:26

网络社区，我遇到了一个障碍，希望得到建议或建议：

我无法让路由器 2 在防火墙 WAN 端口（互联网）和路由器 1 之间传输流量，反之亦然，我不知道该怎么做。

防火墙 (pfSense) 在 LAN 侧配置了 3 个 VLAN。（VLAN11、VLAN12、VLAN13）。我已经为 Switch1 配置了适当的中继/访问端口，以允许所有设备相互通信和 WAN（互联网访问）。

pfSense 的 VLAN 寻址方案为：192.168.11.X (VLAN11)、12.X (VLAN12) 等。
路由器 1：配置为连接到 G0/1 的所有设备的 DHCP 服务器
启用并配置了 NAT
OSPF 已配置并启用（用于学习目的）

以下是我尝试过的各种配置，感觉很接近，但是遗漏了一件小事：

配置 1： 路由器 2：使用手动 G0/1 配置

路由器 2：G0/1：ip = 192.168.13.30 255.255.255.0

路由器 2 的路由表中包含来自路由器 1 的所有信息
路由器 1 的路由表中包含来自路由器 2 的所有信息
路由器 2 可以 ping 路由器 1 后面的所有内容（关闭 G0/1）
路由器 2 CAN ping 服务器 1 和 2（驻留在 VLAN13 上）
路由器 2 无法在 pfSense 上 ping WAN 地址
路由器 1 无法 ping 驻留在 VLAN 13 或 pfSense WAN 地址上的服务器

来自 Config_1 的配置摘录

路由器 2：配置摘录：

interface GigabitEthernet0/0
 description PrimaryWANDesc_
 ip address 192.168.200.5 255.255.255.252
 ip nat inside
 ip virtual-reassembly in
 duplex auto
 speed auto
!
interface GigabitEthernet0/1
 ip address 192.168.13.15 255.255.255.0
 ip nat outside
 ip virtual-reassembly in
 duplex auto
 speed auto
!
router ospf 10
 network 192.168.13.0 0.0.0.255 area 0
 network 192.168.200.4 0.0.0.3 area 0
 default-information originate
!
ip forward-protocol nd
!
ip http server
no ip http secure-server
!
ip nat inside source list 1 interface GigabitEthernet0/1 overload
!
!
!
access-list 1 permit 192.168.0.0 0.0.0.255

路由器 1：配置摘录：

interface GigabitEthernet0/0
ip address 192.168.200.6 255.255.255.252
ip address 192.168.200.6 255.255.255.252
ip nat outside
ip virtual-reassembly in

duplex auto
speed auto

!
interface GigabitEthernet0/1
ip address 192.168.2.254 255.255.255.0
ip nat inside
ip virtual-reassembly in
duplex auto
speed auto
!
router ospf 10
network 192.168.200.4 0.0.0.3 area 0
network 192.168.2.0 0.0.0.255 area 0
default-information originate
!
ip forward-protocol nd
!
no ip http server
no ip http secure-server
!
ip nat inside source list 1 interface GigabitEthernet0/0 overload
!
!         
!         
access-list 1 permit 192.168.0.0 0.0.0.255

配置 2： 我最近也尝试了以下但无济于事：在路由器 2，G0/1 上：“ip address dhcp”（允许 pfSense 动态分配 IP）-路由器 2 在其路由表中包含来自路由器 1 的所有信息- 路由器 1 在其路由表中包含来自路由器 2 的所有信息 - 路由器 2 CAN ping 服务器 1 和 2（驻留在 VLAN13 上） - 路由器 2 可以 ping pfSense 上的 WAN 地址 - 路由器 2 可以 ping 路由器 1 后面的所有内容（关闭 G0/1) - 路由器 1 无法 ping 驻留在 VLAN 13 上的服务器 - 路由器 1 无法 ping pfSense 上的 WAN 地址 - pfSense 无法 ping Router2 eth0/0 ip 地址

目前正在尝试：返回并配置 Router2、G0/1 连接到的交换机上的端口，以“中继”模式。然后我将再次在路由器上手动重新配置 G0/1 端口..

再次感谢您的任何帮助或建议。请让我知道我是否可以提供更多详细信息以提供帮助。

更新：删除 NAT 和 OSPF 后“默认信息来源”

Router2 配置

interface Loopback0
 ip address 192.168.31.254 255.255.255.0
!
interface Embedded-Service-Engine0/0
 no ip address
 shutdown
!
interface GigabitEthernet0/0
 description PrimaryWANDesc_
 ip address 192.168.200.5 255.255.255.252
 ip virtual-reassembly in
 duplex auto
 speed auto
!
interface GigabitEthernet0/1
 ip address 192.168.13.15 255.255.255.0
 ip address dhcp
 duplex auto
 speed auto
!
router ospf 10
 network 192.168.13.0 0.0.0.255 area 0
 network 192.168.200.4 0.0.0.3 area 0
!
ip forward-protocol nd
!
ip http server
no ip http secure-server

路由器 1：配置

interface Loopback0
 ip address 192.168.225.254 255.255.255.0
!
interface Embedded-Service-Engine0/0
 no ip address
 shutdown
!
interface GigabitEthernet0/0
 ip address 192.168.200.6 255.255.255.252
 ip virtual-reassembly in
 duplex auto
 speed auto
!
interface GigabitEthernet0/1
 ip address 192.168.2.254 255.255.255.0
 ip virtual-reassembly in
 duplex auto
 speed auto
!
router ospf 10
 network 192.168.200.4 0.0.0.3 area 0
 network 192.168.2.0 0.0.0.255 area 0
!
ip forward-protocol nd
!
no ip http server
no ip http secure-server

更新

路由器2

interface GigabitEthernet0/0
 description PrimaryWANDesc_
 ip address 192.168.200.5 255.255.255.252
 ip virtual-reassembly in
 duplex auto
 speed auto
!
interface GigabitEthernet0/1
 ip address dhcp
 duplex auto
 speed auto
!
router ospf 10
 network 150.10.93.0 0.0.0.255 area 0
 network 192.168.30.0 0.0.0.255 area 0
 network 192.168.200.4 0.0.0.3 area 0
 default-information originate
!
ip forward-protocol nd
!
ip http server
no ip http secure-server
!
ip default-network 192.168.13.0
ip route 192.168.13.0 255.255.255.0 152.14.93.152 110

防火墙抓包信息

从路由器 1 和路由器 2 发送到防火墙广域网的 Ping：

18:15:26.000811 IP 192.168.200.6 > 150.10.93.152: ICMP echo request, id 117, seq 0, length 80
18:15:27.998919 IP 192.168.200.6 > 150.10.93.152: ICMP echo request, id 117, seq 1, length 80
18:15:29.998894 IP 192.168.200.6 > 150.10.93.152: ICMP echo request, id 117, seq 2, length 80
18:15:31.998897 IP 192.168.200.6 > 150.10.93.152: ICMP echo request, id 117, seq 3, length 80
18:15:33.998902 IP 192.168.200.6 > 150.10.93.152: ICMP echo request, id 117, seq 4, length 80
18:15:37.506098 IP 192.168.13.115 > 150.10.93.152: ICMP echo request, id 143, seq 0, length 80
18:15:37.506118 IP 150.10.93.152 > 192.168.13.115: ICMP echo reply, id 143, seq 0, length 80
18:15:37.506597 IP 192.168.13.115 > 150.10.93.152: ICMP echo request, id 143, seq 1, length 80
18:15:37.506602 IP 150.10.93.152 > 192.168.13.115: ICMP echo reply, id 143, seq 1, length 80
18:15:37.506971 IP 192.168.13.115 > 150.10.93.152: ICMP echo request, id 143, seq 2, length 80
18:15:37.506976 IP 150.10.93.152 > 192.168.13.115: ICMP echo reply, id 143, seq 2, length 80

路由器 2

Router2 eth0/1 现在从防火墙接收静态分配的地址
默认路由配置为 VLAN13 地址 (192.168.13.1)

接口 GigabitEthernet0/1 ip 地址 dhcp 双工自动速度自动

路由器 ospf 10 网络 150.10.93.0 0.0.0.255 区域 0 网络 192.168.13.0 0.0.0.255 区域 0 网络 192.168.200.4 0.0.0.3 区域 0 默认信息起源！ip 转发协议 nd ! ip http 服务器没有 ip http 安全服务器！ip 路由 0.0.0.0 0.0.0.0 GigabitEthernet0/1 192.168.13.1 110

pfSense 配置

VLAN 13 已禁用 DHCP
Server1、Server2 和 Router2 通过它们的 MAC 地址映射到静态分配的 IP 地址：（例如 Router2：192.168.13.115）
为 Router2 配置了 NAT: with If (upstream) | 协议 (TCP) | 斯克。地址：*（任何）| 源代码端口： * | 目的地。地址 * | 目的地。港口（其他）| NAT IP 192.168.13.115 | NAT 端口 (Http)

1个回答

由于路由器 1 位于路由器 2 的外部接口上，因此它无法向路由器 2 的内部发起流量。您已在路由器 2 上配置了内部源 NAT，这是单向的。地址从内部转换到外部。当流量来自内部时，NAT 创建一个表条目以转换响应流量，但它没有用于来自外部的流量的表条目。

在运行路由协议的链路上运行 NAT 是一个非常糟糕的主意。

根据您更新的信息进行编辑：

如果您需要或希望防火墙知道路由器 2 另一侧的路由，则需要以某种方式将路由放入防火墙的路由表中，否则未知网络的任何流量将被发送到默认路由防火墙，那应该是广域网。

路由器（包括防火墙的路由进程）需要在其路由表中为任何希望将流量转发到的网络提供路由。默认路由可用于包含所有网络，并且可以使用路由表中的任何更具体的路由。由于防火墙的路由表没有到路由器 2 另一侧网络的路由，因此它将使用其默认路由。

您可以将防火墙配置为与两个路由器一起参与 OSPF，这会将这些路由放入防火墙的路由表中。它还可以让您从防火墙向 OSPF 发起默认路由，然后您应该从其他路由器中删除它。

另一种不太理想的解决方案是在防火墙中为没有直接连接的网络手动配置静态路由。这不会扩展，当您添加、删除或更改这些网络时，您将需要手动更改防火墙中的静态路由。

其它你可能感兴趣的问题

上一篇为什么 TCP 快速重传能够检测“最多”3 个丢弃的数据包？下一篇为什么在 L2 交换机中每端口设计一个 MAC 来实现 STP 功能