Servidor DNS PfSense

Hola,

En lo que respecta a la máquina que tiene un problema de red, ¿qué devuelven los siguientes comandos?

ip route cat /etc/resolv.conf ping -c2 www.google.fr

Buena suerte

Hola,

De hecho, creo que en este momento no hay que razonar respecto a si usamos pfSense o no. El Linux que se encuentra ahí "no le importa" y, o bien la configuración de red es correcta en absoluto, o no lo es. Si no lo es, entonces habrá que preguntarse si pfSense puede explicar por qué no es correcta.

ip route

A primera vista, la tabla de rutas reportada en el mensaje #3 me parece correcta.

En relación con los mensajes #4 y #5, creo que en realidad hay un malentendido.

• En el enrutamiento IP, se mira la IP de destino y se elige la ruta cuyo prefijo es el más específico y contiene la dirección de destino.
  • La interfaz utilizada (real, virtual, ethernet, wifi, VPN) no tiene ninguna importancia, el razonamiento nunca cambia. No es necesario plantear preguntas existenciales y hablar de WAN o LAN.
  • El razonamiento sigue siendo cierto independientemente de la forma en que se haya configurado o aprendido la ruta. No es necesario preguntarse si la ruta es aprendida por DHCP, configurada manualmente, o aprendida por un protocolo de enrutamiento.
• En tu caso, tu tabla de rutas muestra que hay dos situaciones:
  • Si la IP comienza con 192.168.1.* y por lo tanto pertenece a la red 192.168.1.0/24. Como este prefijo es el más específico en la tabla de rutas, es la ruta correspondiente la que se utiliza. Las IP en este prefijo son directamente alcanzables (sin puerta de enlace, de ahí el 0.0.0.0) a través de ens18, ya que forman parte de el mismo prefijo (192.168.1.0/24)
  • De lo contrario, la IP pertenece al prefijo 0.0.0.0/0 (predeterminado) y por lo tanto se activa la ruta por defecto. Esta debe implicar una puerta de enlace (gateway) enrutante. En este caso, la puerta de enlace es 192.168.1.1 y es enrutante gracias a la otra ruta, por lo tanto, en principio todo está correcto. Solo queda saber si 192.168.1.1 existe y es capaz de funcionar como puerta de enlace.

ping (puerta de enlace)

¿Puedes hacer ping a tu puerta de enlace?

• Si sí, pasa a la siguiente prueba
• Si no, hay muchas probabilidades de que todo lo demás no funcione, porque si no puedes alcanzar la puerta de enlace, no podrás alcanzar el resto.
  • Verifica que puedes hacer ping a tu propia máquina. Si no es así, puede que tengas un problema de firewall en tu propia máquina (que bloquea el envío o la recepción de paquetes ICMP utilizados por ping).
  • Verifica que la dirección IP de la puerta de enlace es correcta. Si no lo es, es probable que necesites revisar la forma en que se ha configurado (configuración local o configuración en el servidor DHCP)

ping (DNS)

¿Puedes hacer ping al servidor DNS?

ping -c2 172.0.0.53

• Si sí, pasa a la siguiente prueba
• Si no, ¿te parece correcta la IP del DNS?
  • Ten en cuenta que ping no es una prueba perfecta para saber si el enrutamiento es correcto (si no responde, puede ser porque un firewall bloquea el ping. En este caso, haz la prueba con nmap). Si el ping funciona, entonces el enrutamiento es correcto.

nmap

Es posible que el servidor DNS normalmente alojado en 172.0.0.53 no responda, puede que la consulta DNS sea filtrada por un firewall, ya sea en la máquina que estás configurando, en 172.0.0.53, o en una máquina intermedia localizada entre ambas (por ejemplo, la puerta de enlace 192.168.1.1).

Para verificar si el puerto DNS (53) es visible desde la máquina que estás configurando, instala nmap y ejecuta:

nmap -p 53 127.0.0.53

A modo de referencia, aquí tienes lo que nmap devuelve para mi propio servidor DNS (en mi caso, 192.168.0.254):

 (mando@silk) (~) $ nmap -p 53 192.168.0.254 Starting Nmap 7.92 ( https://nmap.org ) at 2022-09-13 19:32 CEST Nmap scan report for 192.168.0.254 Host is up (0.0031s latency). PORT STATE SERVICE 53/tcp open domain Nmap done: 1 IP address (1 host up) scanned in 0.06 seconds

En tu caso, ¿tu máquina ve el puerto 53 para 172.0.0.53?

• Si sí, entonces el problema probablemente no esté relacionado con el enrutamiento, ni con un firewall, ni con el lanzamiento del servidor DNS. Entonces habría que verificar en los logs del servidor DNS qué está fallando.
• Si no, verifica que el servidor DNS 172.0.0.53 esté en funcionamiento.
• Si está en funcionamiento, verifica qué sucede si configuras otro servidor DNS.

Prueba con otro DNS

No importa la forma en que se obtenga tu configuración DNS (por DHCP o manualmente), puedes reemplazar temporalmente tu servidor DNS en /etc/resolv.conf de manera que tengas:

 nameserver 8.8.8.8

Esto corresponde a la dirección anycast de los DNS de Google.

¿Funciona?

• Si sí, el problema probablemente se deba al servidor DNS 172.0.0.53 en sí. Habría que controlar sus registros.
• Si no, es posible que una máquina (ya sea la que estás configurando, el servidor DNS, o una máquina entre ambas) esté filtrando la consulta con su firewall.

Buena suerte

Hola,

> una LAN con dirección 192.168.1.1/24 (puerta de enlace: 192.168.1.254)

No debe configurarse ninguna puerta de enlace en la interfaz LAN de pfSense.
Y para las máquinas conectadas a esta LAN, la puerta de enlace y el DNS son el router pfSense, es decir, 192.168.1.1

Asegúrate también de que la información configurada en el servidor DHCP sea coherente con esto.