Товарищи, всем здравствуйте! Столкнулся с проблемой при разворачивании IT-инфраструктуры в офисе.
Имеем следующую конфигурацию:
HPE DL120 Gen9 в качестве гипервизора. На нем стоит Proxmox VE 9.0.3 на котором 3 ВМ:
- OPNsense 25.7 с последними обновлениями
- Debian 13 с Apache2
- Debian 13 c 1С-Предприятие
В Proxmox создано 3 Linux Bridge:
- vmbr0 (WAN, привязан к физ. eno1)
- vmbr1 (LAN, привязан к физ. eno2)
- vmbr2 (DMZ, ни к чему не привязан)
OPNsense владеет всеми тремя интерфейсами, ВМ c 1C-Предприятие только LAN, ВМ с Apache2 только DMZ.
Пытаюсь настроить NAT PortForward уже трое бессонных суток - сайт из DMZ ни в какую не хочет присылать ответ браузеру. Ради эксперимента в OPNsense на интерфейсе DMZ
разрешил IN от всех на всё, на интерфейсе WAN
разрешил IN от всех на всё.
Заглушка Apache из WAN-сети не открывается НИ В КАКУЮ!
tcpdump -i ens18 -n port 8080 показывает, что входящий трафик приходит, но через какое-то количество пакетов идет RST соединения.
Три дня я ставил и снимал галки, вглядывался в неудаляемые и неизменяемые Floating правила на всех интерфейсах, переустанавливал OPNsense, пересоздавал vmbr-ы в Proxmox, перечитал трижды
документацию по PF и NAT от OPNsens, просмотрел все ролики из индии на YouTube - НЕТ. Пока...
... пока не решил поставить pfSense...
Одно правило на WAN (отовсюда на всюду) и одно правило для NAT (8080 WAN на 8080 в DMZ) - тут же все завелось.
Прикладываю скриншоты (верхний - pf, нижний OPN) для сравнения.
Настройки интерфейса WAN:
Настройки интерфейса DMZ:
Привила FireWall (DMZ)
(на скриншоте из pf правило отключено на момент снимка, но доступ с сайту есть в обоих случаях)
Что происходит на 8080 порту в обоих случаях
Ощущение, что это баг в state table (многократная перезагрузка не помогла) или хитрые автоматические правила
в Floating, но я так и не смог заставить OPNsense работать.
Да, я пытался настроить SNAT и Apache получал ip-шлюза в заголовках входящих пакетов, но это все равно не сработало. Reflection включал\отключал чисто ради эксперимента (хотя знаю, что Reflection нужно для другого сценария).
Друзья, я правда просмотрел множество ресурсов в Интернете, прежде чем задавать такой вопрос сюда, поэтому прошу не сильно ругаться и отнестись снисходительно. Уверен, что проблема типовая.
Спасибо всем за отклик!
Средний
