Não é possível acessar a rede interna através da porta WAN do PfSense

Question

Nossa filial não pode se conectar à nossa rede interna por algum motivo. No entanto, podemos nos conectar ao controlador de domínio da filial por trás do PfSense. O seguinte é a nossa configuração:

                    |Branch DC - 192.168.0.101
                    |
                    |Branch Firewall - 192.168.0.2
                    |
                    |(Internet)
                    |
                    |Local Firewall - 192.168.3.1
                    |
                    |PFSense WAN port - 192.168.3.100
                    |PFSense LAN port - 192.168.1.1
                    |
                    |
   DC1 - 192.168.1.2|DC2 - 192.168.1.4

• O Branch DC pode fazer ping e se conectar ao PFSense WebGUI na porta WAN com êxito (configuramos isso usando a documentação do PfSense).
• O DC1 e o DC2 podem se conectar de saída ao DC da filial.

Parece haver uma regra que impede o acesso interno na porta WAN. No entanto, nossas regras são definidas para permitir todo o tráfego nas portas LAN e WAN. Seria ideal apenas desativar o firewall, pois já temos um firewall, mas quando fazemos isso, o PfSense não permite nenhum tráfego interno. Estou ansioso por qualquer ajuda e agradeço antecipadamente.

    

Answer 1

Sem ver suas regras pfsense, minha inclinação é dizer "Trabalhando como Projetado" - a maioria dos firewalls é configurada para impedir que pessoas externas (porta WAN) acessem recursos internos (porta LAN).

Se você quiser permitir que pessoas de fora de você precisem fazer um furo no firewall (incluindo o redirecionamento NAT ou de porta 1: 1, se você estiver usando NAT) ou configurar uma VPN. Este último é uma solução melhor em quase todos os casos ...

    

Answer 2

Como a VPN site-to-site sugerida pelo voretaq7 é uma boa solução no seu caso.

Aqui é um excelente exemplo de vpn site-a-site entre Sonicwall e pfSense. Se você estiver usando qualquer outro firewall, quase as configurações serão mais ou menos iguais.

Caso você precise de mais ajuda para configurar o vpn site-a-site, não hesite em voltar.

    

Answer 3

Como você está usando o pfsense apenas para redes internas (sem conexão à Internet conectada diretamente a ele), desative a tradução de endereços de rede. O NAT interno é uma Idéia Ruim (tm).

Na WebUI pfsense: "Para desabilitar completamente o NAT de saída, alterne para o NAT de Saída Manual e, em seguida, exclua as regras de NAT que aparecem na lista." (pode ser encontrado em Firewall - > NAT - > Saída)

Além disso, você precisará garantir que a) Filial tem uma rota para 192.168.1.0/24 b) pfSense tem uma rota para 192.168.0.0/24 (Branch)