Евгений

Надо заменить содержимое файла /usr/local/sbin/tolog.sh на следующее: (где net="192.168.0" задает нужный шаблон внутренней сети, также потребуется установить в систему dig, новый резолвер не умеет отдавать короткий формат, для этого выполнить pkg install bind-tools)

#!/bin/sh
rez2=""
#REZ="q"
iptoname ()
{
rez2=$1
REZ=$(/usr/local/bin/dig @172.16.185.1 -x $1 +short)
# dig @ use your DNS server
# echo "REZ - $REZ - $1"
if [ -z $REZ]
then
{
# echo
}
else
{
rez2=$REZ
}
fi
}

net="192.168.185"
#net = your local net
ttime=`/usr/bin/rsh localhost sh ip acco | /usr/bin/grep 'Accounting data saved' | /usr/bin/awk '{print ($4)}'`
/usr/bin/rsh localhost clear ip accounting
/usr/bin/rsh localhost show ip accounting checkpoint | /usr/bin/grep $net > /root/tolog.txt

while read p1 p2 p3 p4 p5 p6 p7 p8
do
#
if [ "$p5" != "0" ]
then
rez2=""
iptoname "$p1"
echo "$ttime.000" 1 $p2 "TCP_MISS/200" $p4 "CONNECT" $rez2:"$p5 "-" "DIRECT/"$p1" -"" >>/var/squid/logs/access.log
# echo "$vtime.000" 1 $p2 "TCP_MISS/200" $p4 "CONNECT" $rez2:"$p5 "-" "DIRECT/"$p1" -"" >>/var/squid/logs/access.log
else
fi
done < /root/tolog.txt
chown proxy:proxy /var/squid/logs/access.log

exit 0

В итоге проблема оказалась совсем в другом месте. Давным давно, мои предшественники настроили на dhcp сервере время выдачи адресов в 10 минут (много вай-фай клиентов, маленьких пул адресов). Это годами работало и особых проблем не было. Но с моим приходом стали менять архитектуру, добавили dhcp relay и пошли проблемы с RDP реконнектами. Журналы на терминальных серверах показали, что реконнекты у особенно несчастных пользователей происходят каждые 10 минут, четко (но не всех).

Оказалось, добавление relay увеличило время в пути для пакетов и стали проявляться случаи, когда у хоста уже истек лиз, и новый он ещё не получил (точнее старый адрес, но заново). Именно в эти доли секунды и происходили реконнекты, где-то чаще, где-то редко.

Ещё один фактор, который изначально мешал диагностике - проблема проявлялась только на станциях с Win7, машины с Win XP на соседних портах коммутаторов проблем не испытывали совсем.

Сейчас время лиза установил в 8 дней, проблема устранена.

У меня работает с одним физическим интерфейсом, но в самом pfsense их все-таки два, с помощью VLANов трафик для WAN и LAN интерфейсов разделяется. При этом сам pfSense за NATом, держит IPSec. Провайдер приходит в Mikrotik RB750, уж больно плохо у него с шифрованием, CPU грузит по полной, пришлось шифрование на pfSense переводить.