Pfsense Probleme mit WAN Interface
Hallo,
ich hoffe ich poste in den richtigen Bereich.
Ich habe ein Problem mit pfsense.
Das LAN Interface funktioniert Tadellos. Das WAN Interface (DLink Netzwerkkarte PCI) funktioniert gar nicht. Ich habe den Verdacht, das das Patchkabel welches an dem WAN Port angeschlossen ist, einen defekt hat, da es mit Windows Rechnern auch nur mit 10 MBit funktioniert.
Bei Linux kann ich die Interface Geschwindigkeit mit ethtool einstellen, dieses ist allerdings bei pfsense (FreeBSD) nicht installiert. Gibt es noch eine andere Möglichkeit ausser ethtool nach zu installieren?
ich hoffe ich poste in den richtigen Bereich.
Ich habe ein Problem mit pfsense.
Das LAN Interface funktioniert Tadellos. Das WAN Interface (DLink Netzwerkkarte PCI) funktioniert gar nicht. Ich habe den Verdacht, das das Patchkabel welches an dem WAN Port angeschlossen ist, einen defekt hat, da es mit Windows Rechnern auch nur mit 10 MBit funktioniert.
Bei Linux kann ich die Interface Geschwindigkeit mit ethtool einstellen, dieses ist allerdings bei pfsense (FreeBSD) nicht installiert. Gibt es noch eine andere Möglichkeit ausser ethtool nach zu installieren?
Please also mark the comments that contributed to the solution of the article
Content-ID: 134129
Url: https://administrator.de/contentid/134129
Printed on: September 1, 2024 at 00:09 o'clock
18 Comments
Latest comment
![45877](/images/members/profile_male_48x48.png)
Äh, warum nimmst du nicht ein anderes Patchkabel?
ansonsten google ist dein freund
http://forum.pfsense.org/index.php?topic=4673.msg28419
ansonsten google ist dein freund
http://forum.pfsense.org/index.php?topic=4673.msg28419
Hi Roth-de,
wäre jetzt auch meine Frage gewesen die Dinger kosten ja nun nicht wirklich die Welt. Ansonsten schau mal hier vorbei vieleicht hilft dir das.
http://www.cyberciti.biz/faq/howto-configure-freebsd-full-half-duplex-s ...
wäre jetzt auch meine Frage gewesen die Dinger kosten ja nun nicht wirklich die Welt. Ansonsten schau mal hier vorbei vieleicht hilft dir das.
http://www.cyberciti.biz/faq/howto-configure-freebsd-full-half-duplex-s ...
Was ebenfalls gut möglich ist, ist das der Chipsatz auf der D-Link Karte unter FreeBSD gar nicht supportet ist. Dann nützt weder neues Kabel noch die Umstellung auf 10 Mbit !
Um das zu beurteilen müsstest du einmal deinen Output der Pfsense Bootmessage posten.
Die einfachste Lösung:
Du gehst in den Blödmarkt oder um die Ecke zum PC Händler deines Vertrauens, investierst 3 popelige Euro für eine einfache Eternit Karte mit einem Realtek Chipsatz wie DIESE_hier (Den Realtek Chip erkennt man an dem Krebs Symbol und der ist sicher supportet !!) und baust das Teil ein und hast deine Ruhe. Als WAN Interface reicht das allemal und mit einer halbkaputten Karte sollte man eh nicht arbeiten !!
Um das zu beurteilen müsstest du einmal deinen Output der Pfsense Bootmessage posten.
Die einfachste Lösung:
Du gehst in den Blödmarkt oder um die Ecke zum PC Händler deines Vertrauens, investierst 3 popelige Euro für eine einfache Eternit Karte mit einem Realtek Chipsatz wie DIESE_hier (Den Realtek Chip erkennt man an dem Krebs Symbol und der ist sicher supportet !!) und baust das Teil ein und hast deine Ruhe. Als WAN Interface reicht das allemal und mit einer halbkaputten Karte sollte man eh nicht arbeiten !!
Es sollte auch völlig problemlos zum laufen kommen.....!!
Die Bootmessage kannst du sehen wenn du über die Konsole den Shell Zugriff aufrufst und das Kommando "demsg" eingibst. Wenn ein Ping aber funktionierte, dann kannst du auch sicher sein das es klappt.
Um sicherheitshalber die Power LAN Strecke auszuschliessen, solltest du diese unbedingt mal weglassen und das LAN Interface dann über einen Switch oder ein Crossover Kabel mal direkt mit einem Laptop oder PC verbinden.
Dann dem WAN Interface eine feste IP verpassen z.B. 1.1.1.1 255.255.255.0 und dem PC/Laptop dann fest die 1.1.1.2 255.255.255.0 und versuchen ob ein Ping funktioniert !
VORSICHT: Durch die Accessliste auf dem WAN Interface des Pfsense kannst du vom Laptop den Pfsense WAN Port nicht pingen, da dort ICMP generell geblockt ist. Du kannst aber in den Firewall Regeln diese ACL zum Testen mal aufheben, dann ist ein ping in beide Richtungen möglich.
Braucht man aber eigentlich nicht, denn wenn du vom WAN Interface immer und problemlos den per Crosskabel oder Switch angeschlossenen PC/Laptop pingen kannst, dann funktioniert es in der Regel generell.
Ist das der Fall hast du ein problem mit der Power LAN Verbindung was du dann zuerst fixen solltest.
Generell macht es auch keinen Sinn auf 10 Mbit Half Duplex zu gehen denn auch die Power LAN Verbindung supportet 100 Mbit FullDuplex. Wenn die Karte sich darauf nicht einstellt solltest du besser die Karte wechseln oder noch einfacher....
Einfach simpel im Konsolen setup von Pfsense den LAN Adapter aufs WAN definieren und WAN Adapter aufs LAN.
Dann beuntzt du die D-Link Karte fürs LAN was ja klappen sollte und nimmst die besser funktionierende LAN Karte fürs WAN...ganz einfach !!
Die Bootmessage kannst du sehen wenn du über die Konsole den Shell Zugriff aufrufst und das Kommando "demsg" eingibst. Wenn ein Ping aber funktionierte, dann kannst du auch sicher sein das es klappt.
Um sicherheitshalber die Power LAN Strecke auszuschliessen, solltest du diese unbedingt mal weglassen und das LAN Interface dann über einen Switch oder ein Crossover Kabel mal direkt mit einem Laptop oder PC verbinden.
Dann dem WAN Interface eine feste IP verpassen z.B. 1.1.1.1 255.255.255.0 und dem PC/Laptop dann fest die 1.1.1.2 255.255.255.0 und versuchen ob ein Ping funktioniert !
VORSICHT: Durch die Accessliste auf dem WAN Interface des Pfsense kannst du vom Laptop den Pfsense WAN Port nicht pingen, da dort ICMP generell geblockt ist. Du kannst aber in den Firewall Regeln diese ACL zum Testen mal aufheben, dann ist ein ping in beide Richtungen möglich.
Braucht man aber eigentlich nicht, denn wenn du vom WAN Interface immer und problemlos den per Crosskabel oder Switch angeschlossenen PC/Laptop pingen kannst, dann funktioniert es in der Regel generell.
Ist das der Fall hast du ein problem mit der Power LAN Verbindung was du dann zuerst fixen solltest.
Generell macht es auch keinen Sinn auf 10 Mbit Half Duplex zu gehen denn auch die Power LAN Verbindung supportet 100 Mbit FullDuplex. Wenn die Karte sich darauf nicht einstellt solltest du besser die Karte wechseln oder noch einfacher....
Einfach simpel im Konsolen setup von Pfsense den LAN Adapter aufs WAN definieren und WAN Adapter aufs LAN.
Dann beuntzt du die D-Link Karte fürs LAN was ja klappen sollte und nimmst die besser funktionierende LAN Karte fürs WAN...ganz einfach !!
Er erkennt 3 Netzwerkkarten in deinem Rechner und bringt auch die Treiber dafür mit...:
rlphy0: <RealTek internal media interface> PHY 0 on miibus0
rlphy0: 10baseT, 10baseT-FDX, 100baseTX, 100baseTX-FDX, auto
rl0: Ethernet address: 00:30:f1:28:ae:11
fxp0: <Intel 82801BA/CAM (ICH2/3) Pro/100 Ethernet> port 0x3400-0x343f mem 0xf5000000-0xf5000fff irq 20 at device 8.0 on pci2
fxp0: Ethernet address: 00:30:05:2a:d9:ac
rl1: <D-Link DFE-530TX+ 10/100BaseTX> port 0x3800-0x38ff mem 0xf5001400-0xf50014ff irq 21 at device 11.0 on pci2
rlphy1: 10baseT, 10baseT-FDX, 100baseTX, 100baseTX-FDX, auto
rl1: Ethernet address: 00:24:01:30:b8:eb
Eine Realtek Karte, eine Intel Pro 100 Karte und die D-Link Karte.
Die IO Zuweisungen usw. überschneiden sich auch nicht. So gesehen sieht das erstmal ganz gut aus. Es mag aber sein das die einen Interrupt sharen mit der D-Link Karte.
Gfgf. solltest du die D-Link Karte einfach einmal in einen anderen freien PCI Slot stecken.
Wenn du 3 Karten hast warum machst du die Port Zuweisung über die Konsole dann nicht einmal anders, das du z.B. dem WAN Port die Intel oder Realtek Karte zuweist ??
Oben schreibst du auch das du nur WAN und LAN Port benötigst. Warum ziehst du die D-Link Karte denn nicht raus und benutzt einfach nur die Intel Karte und die Realtek Karte ???
Die funktionieren doch problemlos, oder ??
rlphy0: <RealTek internal media interface> PHY 0 on miibus0
rlphy0: 10baseT, 10baseT-FDX, 100baseTX, 100baseTX-FDX, auto
rl0: Ethernet address: 00:30:f1:28:ae:11
fxp0: <Intel 82801BA/CAM (ICH2/3) Pro/100 Ethernet> port 0x3400-0x343f mem 0xf5000000-0xf5000fff irq 20 at device 8.0 on pci2
fxp0: Ethernet address: 00:30:05:2a:d9:ac
rl1: <D-Link DFE-530TX+ 10/100BaseTX> port 0x3800-0x38ff mem 0xf5001400-0xf50014ff irq 21 at device 11.0 on pci2
rlphy1: 10baseT, 10baseT-FDX, 100baseTX, 100baseTX-FDX, auto
rl1: Ethernet address: 00:24:01:30:b8:eb
Eine Realtek Karte, eine Intel Pro 100 Karte und die D-Link Karte.
Die IO Zuweisungen usw. überschneiden sich auch nicht. So gesehen sieht das erstmal ganz gut aus. Es mag aber sein das die einen Interrupt sharen mit der D-Link Karte.
Gfgf. solltest du die D-Link Karte einfach einmal in einen anderen freien PCI Slot stecken.
Wenn du 3 Karten hast warum machst du die Port Zuweisung über die Konsole dann nicht einmal anders, das du z.B. dem WAN Port die Intel oder Realtek Karte zuweist ??
Oben schreibst du auch das du nur WAN und LAN Port benötigst. Warum ziehst du die D-Link Karte denn nicht raus und benutzt einfach nur die Intel Karte und die Realtek Karte ???
Die funktionieren doch problemlos, oder ??
Ist doch logisch das das nicht geht !!! Denk mal nach...
Siehste..... !!! Also schnell in die Firewall Rules und auf dem WAN Interface von any zur WAN IP ICMP erlauben wie hier zu sehen:
Zur Sicherheit solltest du nur immer soviel aufmachen wie du auch willst.. Wenn dir Ping reicht kannst du diese ICMP alles erlauben Rule auf die ICMP Typen ICMP echo und echo reply einschränken... (Das ist übrigens Ping !!)
- du hast eine Firewall...
- Da ist ein Zugang auf die heissen Interfaces immer verboten per default wie es sich bei FW ja auch gehört !
- Ping ist ein ICMP Paket...
- Ist ICMP am WAN Interface erlaubt ???
Siehste..... !!! Also schnell in die Firewall Rules und auf dem WAN Interface von any zur WAN IP ICMP erlauben wie hier zu sehen:
Zur Sicherheit solltest du nur immer soviel aufmachen wie du auch willst.. Wenn dir Ping reicht kannst du diese ICMP alles erlauben Rule auf die ICMP Typen ICMP echo und echo reply einschränken... (Das ist übrigens Ping !!)
Nur nochmal langsam Schritt für Schritt für dich zur Erklärung damit du es verstehst:
So oder so kannst du schon sehen das deine Behauptung von oben nicht richtig ist und DU scheinbar etwas falsch verstanden hast ! Sieh dir immer das Firewall Log an...das spricht eine deutlich Sprache was erlaubt ist und was nicht !
Noch anders sieht es aus wenn dein WAN Interface NICHT direkt im Internet ist sondern sich hinter einem NAT Router befindetet. Letztlch gilt dann aber die gleiche Regel die schon oben steht.
Ein schneller Laboraufbau eben und ein Test zeigt das das WAN Interface mit der o.a. ICMP Regel problemlos pingbar ist !!
- Du pingst mit dem Ping Utility im Webinterface VOM WAN Interface einen Zielrechner im WAN oder dahinter. Damit sendet deine Monowall ein ICMP Type 8 (Echo Request) Paket an den Zielrechner mit seiner WAN Adresse als IP Quell bzw. Absender IP Adresse
- Dieses Paket kommt nun am Ziel an und der Zeilrechner antwortet daraufhin mit einem ICMP Type 8 (Echo Reply) Paket an die WAN IP Adresse deiner Monowall (..klar die war ja Absender IP und auf die antwortet das angepingte Ziel immer!). Seine eigene IP ist die Quell IP Adresse des Pakets vom angepingten Ziel.
- Dieses Ping Antwort Paket kommt jetzt an der WAN IP Adresse deiner Monowall an ! Du pingst also somit sehr wohl ZUM WAN Interface mit einem Ping !! Was passiert....:
- Normal wird es geblockt, da die Firewall Regel am WAN Interface KEIN ICMP zulässt !!!
- So oder so wird es geblockt, da die Firewall am WAN immer ohne Regel Direktzugriffe die keinen NAT Tabelleneintrag aus dem internen LAN haben blockiert.
So oder so kannst du schon sehen das deine Behauptung von oben nicht richtig ist und DU scheinbar etwas falsch verstanden hast ! Sieh dir immer das Firewall Log an...das spricht eine deutlich Sprache was erlaubt ist und was nicht !
Noch anders sieht es aus wenn dein WAN Interface NICHT direkt im Internet ist sondern sich hinter einem NAT Router befindetet. Letztlch gilt dann aber die gleiche Regel die schon oben steht.
Ein schneller Laboraufbau eben und ein Test zeigt das das WAN Interface mit der o.a. ICMP Regel problemlos pingbar ist !!