Не могу зайти из локальной сети с шлюзом на FreeBSD 10.2 на TP-Link роутер по вебморде, почему?

Question

[AntohaRomaha]

Добрый день.
Поставил шлюз на FreeBSD 10.2 (192.168.1.1), раздает Инет в локалку. Есть роутер, на доп. объекте, у него айпи WAN 192.168.1.201 по DHCP от фряхи получает. Роутер раздает Инет в свою локалку, 172.1.2.0/24, все работает.
Но вот беда - не могу зайти из сети 192.168.1.0/24 на вебинтерфейс этого роутер. Пингуется отлично, а в вебморду не пускает.
Раньше, когда вместо фряхи, стоял обычный роутер-коробочка Зуксель, из локалки попадал на этот .201 роутер.
Что добавить в IPFW фряхи?

Конфиг IPFW:

exface="tun0"
inface="re0"
in_ip="192.168.1.1"

cmd="ipfw -q"
$cmd -f flush
$cmd table 1 flush
$cmd table 2 flush
$cmd -f queue flush
$cmd -f pipe flush

#PIPES
$cmd pipe 1 config bw 1Mbit/s
$cmd pipe 11 config bw 1Mbit/s
$cmd queue 1 config pipe 1 mask dst-ip 0xffffffff
$cmd queue 2 config pipe 11 mask src-ip 0xffffffff
$cmd add 50 queue 1 ip from any to 192.168.1.0/24{31,40,50,201} via re0
$cmd add 51 queue 2 ip from 192.168.1.0/24{31,40,50,201} to any via re0

$cmd add 100 allow ip from any to any via lo0
$cmd add 200 deny ip from any to 127.0.0.0/8
$cmd add 300 deny ip from 127.0.0.0/8 to any
$cmd add 400 allow all from any to any via $inface
$cmd nat 1 config log if $exface reset same_ports deny_in \
redirect_port tcp 192.168.1.101:20 20 \
redirect_port tcp 192.168.1.101:21 21
$cmd add 1030 nat 1 ip from any to any via $exface

А вообще задача стоит в том, чтобы пробросить порты из локалки этого .201 роутера на внешний белый айпишник Фряхи:
xx.xx.xx.xxx:1201 -> 172.1.2.101:1200
xx.xx.xx.xxx:1202 -> 172.1.2.102:1200
xx.xx.xx.xxx:1203 -> 172.1.2.103:1200
xx.xx.xx.xxx:1204 -> 172.1.2.104:1200

Answer 1

[Сергей]

1. и самое главное. не ясно нафига было втыкать порт от шлюза в wan порт. его легче было воткнуть было бы в lan порт. и было все все красивше и удобнее.

Answer 2

[AntohaRomaha]

Хм.... Ну просто так было сделано еще до появления фряхи, до меня.. через WAN. Но вообще - это не очень удачная мысль. Там доп.объект, куда приходят всякие "гости" 24на7, с халявным вайфаем. Автомойка там. Не хочется их в свою локаль пускать. Доступ к серваку и сетевым папкам и т.д... Все это резать заморачиваться...
А вообще у меня есть в локале в офисе пара роутеров для вайфая - так на них так и реализовывал. Сами роутеры - не роутеры, а банальные свичи вайфай, в LAN от фряхи получают инет и раздают вайфай. Клиенты этого вайфая в качестве DHCP и шлюза видят мою фряху. Но это внутри офиса. А тот объект ваще в открытом доступе для всех..

Answer 3

[res2001]

Возможно на роутере заблокирован доступ к веб интерфейсу через WAN.
На сколько понял ваша LAN 192.168.1.0\24, соответственно доступ к роутеру имеете напрямую из LAN, без участия FreeBSD, поэтому проблема с доступом к веб интерфейсу не во FreeBSD.
Для проброса портов - на роутере отключите NAT, на FreeBSD пропишите статические маршруты до сети за роутером и настройте проброс портов на NAT FreeBSD так как вам нужно.

Comments

[AntohaRomaha]

Спасибо, попробую. Но почему тогда раньше, когда вместо FreeBSD стоял Зуксель, все работало? На нем, вероятно, были статические маршруты прописаны?

[res2001]

На самом деле для полноты картины не хватает описание способа подключения WAN роутера, LAN FreeBSD и компов в LAN к сети. Я исходил из предположения, что все это хозяйство втыкается в один или несколько коммутаторов и находятся в одном широковещательном домене.
Почему работало раньше трудно сказать, не зная деталей прошлой конфигурации.

Answer 4

[athacker]

Товарищ, а при чём тут фряха, если вы тоже находитесь в сети 192.168.1.0, и таким образом ходите на 192.168.1.201 напрямую, минуя фряху? Так что если роутер вас не пускает -- надо разбираться с роутером. Согласен с коллегой выше -- вероятнее всего, там отключён вход в админуку через WAN-интерфейс. И наличие никаких зухелей или иных устройств тут помогать или мешать никак не могло.