Настройка двух сетевых интерфейсов или маршрутизатор для домашней сети

[jekis_]

Всем привет!
однажды у меня родилась мысль в голове: "а почему бы не фильтровать трафик в домашней сети от различного мусора и рекламы средствами adguard, да и в идеале не плохо было потом и vpn поднять, лишним не будет...", ну и после беглого осмотра мануала по настройке adguard приходит понимание, что необходима реализация входящего и исходящего трафика из данного джейла, а как это реализовать, если сеть нам раздает по DHCP роутер, в который приходит провайдер? правильно, необходимо перенаправить трафик в джейл, а из него в домашнюю сеть.
В итоге добавляю я еще одну сетевую карту в NAS и пытаюсь реализовать следующую схему подключения:
интерфейс re0 - в него подключаю провайдера, адрес получаю средствами DHCP из сети 100.124.0.0/16, при этом адрес может меняться после перезагрузки на другой, шлюз всегда 100.124.0.1
интерфейс re1 - на нем прописываю статику 10.10.0.10/24 и подключаю конец в WAN порт на роутере, и на нем прописываю адрес 10.10.0.11/24 со шлюзом 10.10.0.10/24.
Дефолтный маршрут у NAS`а делаю 100.124.0.1, при этом так же добавляю статический маршрут из сети 10.10.0.0/24 в 100.124.0.1, и в итоге получается следующая картина:

• WEB интерфейс доступен из сети 10.10.0.0/24, то есть при подключении через РТ
• из WEB-UI NAS`a интернет не доступен, проверил путем установки нового джейла, пакеты не скачиваются
• через консоль пингаем интернет с интерфейса re0, ответ положительный
• через консоль пингаем интернет с интерфейса re1, ответ отрицательный
• через консоль пингаем интернет без указания интерфейса, ответ отрицательный
• через консоль пингаем адрес 100.124.0.1 с интерфейса re1, ответ отрицательный
• при повторном добавлении маршрута 10.10.0.0/24 в 100.124.0.1 через консоль, система сообщает, что маршрут уже существует

Так-же пытался прописывать настройки в /etc/rc.conf, но после перезагрузки системы настройки пропадали.
Не совсем понял еще один момент: все джейлы, которые ранее были подняты, присвоили себе адрес который получил интерфейс re0, т.к. в предыдущей конфигурации NAS получал адрес по DHCP, и все джейлы убрал за NAT, пробросил лишь порты. При попытке изменить настройки джейла с указанием явного интерфейса и сети ни к чему не привели, адрес все рано оставался из сети re0, что не совсем правильно.

Господа, может быть у кого-то был подобный опыт настройки сети и реализации задуманной схемы?
Может данная схема вообще не имеет права на жизнь и все делается по другому?
Буду весьма признателен любой помощи и советам)

 

[mav@]

Я так понимаю, что вы пытаетесь из NAS сделать еще один роутер, поставив его между провайдером и основным роутером. Во первых, это начнет светить сервисы NAS в сеть провайдера, а то и интернет, что небезопасно. Во вторых, тут нигде не упоминается настройка NAT на NAS, а так как провайдер про новую сеть 10.10.0.0/24 не знает ничего, то попытка пойти в интернет из локальной сети закончится посылкой роутером трафика с адреса 10.10.0.11, ответа на который без еще одного NAT'а не последует. В третьих, TrueNAS никогда не предполагался на роль роутера, а это значит что настроить подобное через WebUI не выйдет, а правка конфигов вручную проживет либо до перезагрузки либо до обновления. Наверняка можно соорудить что-то что сохраниться, но без гарантий. При желании сделать полный роутер, наверное это можно сделать в отдельном jail в режиме VNET (с отдельным сетевым стеком), где независимо настроить FreeBSD с двумя напрямую проброшенными сетевыми интерфейсами, фаерволом, NAT и той фильтрацией что предполагается. При этом сам NAS на изначальной сетевой может остаться во внутренней сети. Наверное это все можно заставить работать, то может проще разделить, оставив NAS NAS'ом, а роутер сделать отдельно на базе какого-то pfsense в мелкой коробочке, который попутно заменит и имеющийся домашний роутер и будет фильтровать трафик (про последнее не знаю ничего, потому не скажу как)?

 

[jekis_]

@mav@
Благодарю за столь развернутый ответ!
Да, пожалуй вы правы, что то многого функционала я захотел от TrueNAS`a))
если данный функционал нельзя поднять из "коробки", зачем тогда лепить из него костыли)
пожалуй тогда оставлю в той конфигурации и функциональности как есть, буду тогда думать как можно поднять в jail`ах adguard и vpn и натравить это все дело на домашнюю сеть. В идеале вижу следующую схему:
провайдер > роутер > NAS (adguard & VPN) > роутер > домашняя сеть

 

[chs]

@mav@
В идеале вижу следующую схему:
провайдер > роутер > NAS (adguard & VPN) > роутер > домашняя сеть

Какая-то сложная структура получается ...
Вы хотите отделить NAS от домашней сети ? Поместить его в DMZ ?

В идеале схема такая -
[провайдер] -> [роутер с firewall & adguard & VPN ] -> [Домашняя сеть с NAS]

Или если роутер подключённый к провайдеру ничего не умеет всего этого, можно сделать следующую схему -
[провайдер] -> [глупый роутер] -> [роутер с firewall & adguard & VPN ] -> [Домашняя сеть с NAS]

Конечно можно соорудить программный роутер в виде VM на TrueNAS, но (IMHO) каждый должен заниматься своим делом.

 

[LevSHa]

Всем привет. Очень интересная задумка, так, как я начальный пользователь данной системы, я всё изучаю, прочитав данный пост, я никак не пойму, для реализации данной схемы нужно 2 роутера?

 

[chs]

Всем привет. Очень интересная задумка, так, как я начальный пользователь данной системы, я всё изучаю, прочитав данный пост, я никак не пойму, для реализации данной схемы нужно 2 роутера?

2 роутера нужно, если первый не поддерживает необходимые сервисы (например на него нельзя поставить openwrt).

 

[Voy50]

Если ещё актуально, в виртуалке запускаете пфсенс и горя не знаете. Я именно так и сделал. Если не нравится пфсенс, то любой другой роутер, который нравится, ипфаер, опенврт и т.д.

 

[IngvarIV]

Я просто поставил Mikrotik и сделал сеть на базе 4011 (голова и центр в том числе для CAPsMAN и ВПН) и сеть квадратов( hap ac2) в качестве точек доступа 2х диапазонного вайфая(размещенные с расчётом частоты и покрытия территории) и доп точки доступа гигабитной сети... В потенциале сегмент серверов и иже можно перевести на 2.5 Гб. Я прочитал по схеме наискось ... но ничего что нельзя сделать на Тиках не увидел.. Еще там большой инструментарий вплоть до того что можно пакеты определенные метить... и пускать только "нужным" устройствам... на транспортном уровне сети... так что можно и даже больше.. на мой взгляд задача для роутера а не для NAS хоть и с ВМ.