Dans l'Open source oui.
Mais dans l'entreprise les équipements sont prêt (pour la plupart).
Exemple :
Serveurs :
Windows 2008
Linux (depuis longtemp)

client : vista

Réseau : Cisco : prêt depuis longtemps
Firewal : Checkpoint, juniper : Prêt également.

Imprimantes : Brother : Prêt pour IPv6

Et dans la pratique on ne bascule pas ipv4 vers ipv6, on fait du dual stack. Les équipements qui ne sont pas encore prêt pour IPv6 reste en IPv4 (exemple serveurs d'impression qu'on branche sur port parallèle des imprimantes) et rien ne nous empêche de communiquer avec ces équipements en IPv4.
L'important en IPv6 c'est tout ce qui va communiquer avec l'extérieur (serveurs web, messagerie, proxy internet, firewall…), en interne rien ne nous empêche de communiquer en IPv4.

Dans ma boite, le seul truc limitant c'est le FAI qui ne permet pas encore de connexion IPv6. Et pour info si on déploie IPv6 ça nous coûte rien, le cœur de réseau est déjà compatible et pour le firewall notre licence inclue le support d'IPv6, il nous reste juste une case à cocher, total coût zero (à part peut être de la formation). On attend juste pour passer à la version supérieure qui corrigerait des bugs sur le multicast en IPv6

Je n'ai jamais testé ce setup avec openVPN mais je serais vous je réaliserais un troubleshooting plus précis:

test en TCP au lieu d"UDP capture wireshark sur le client capture sur pfsense ecoute des logs pfsense à la connexion (tcpduymp -i pflog0 -ttt -n port 1194)

non aucun soucis.

Pour les problèmes de type: Header checksum: 0x0000 [incorrect, should be 0x1ca1], ne vous inquiétez pas il sagit de votre carte réseau qui réalise du TCP Checksum Offloading.

Visiblement votre connexion WAN a subi des problèmes passagers…

OK j'y vois un peu plus clair. Comme souvent, on trouve d'un côté de la balance "simplicité" de l'autre "sécurité" !!!

merci juve pour l'info j'avais déja essayer mais sans succès, cependant en rajoutant "pfsense" dans ma recherche soit "block msn squid pfsense" ont tombe sur une doc de pfsense qui explique parfaitement la manip, pour les plus faignant la voici directement.

En 2 étapes  :

il faut bloquer 3 liens :

webmessenger.msn.com
messenger.hotmail.com
gateway.messenger.hotmail.com

il faut bloquer les port suivant dans le firewall coté LAN bien entendue

port 901 ; 1863 et 6891-6900

et la….waoo msn ne passe plus, évoquant une vague erreur de serveur indisponible.

cdlt

Bonjour à tous

j'ai envi de dire MAZELTOV !!! j'ai recommencer l'instal de pfsense sur une autre machine, installé les package squid et squidgard et la….je bloque parfaitement deezer !!

un petit pas pour la communauté , un énorme pas pour bibi

encore merci de votre aide.

Cordialement, Fabien

PS: je vais crée un autre poste afin de recensé la liste URL a bloquer pour stopé la messagerie msn....

La version 1.2.3 supporte cette fonctionnalité.
Les snapshots sont validés pour une production stable.

128 Mo de RAM c'est trop peu. 1,4ghz ca suffit pour 50 postes.

Je rappel que les base de données BDB de squidguard sont montées en RAM afin de pouvoir réaliser une recherche très rapide. Avec si peu de mémoire…je doute que celà fonctionne correctement....

Filaire, pas filière.

Désactivez le portail captif pour mettre au point la connectivité de la borne. Vous avec à l'évidence un problème avec le paramétrage de votre borne.

Dans une une situtation small office, il est courant de voir ce type de boitier sachant tout faire. Soyons honnête, dans ce genre de situation c'est la meilleurs solution en terme de prix/perf/fonctionnalités.
Mes propos sont à retenir sur des infrastructures de taille significative et sur les projets ou le budget alloué à la sécurité permet de mettre en place une solution issue d'une réflexion profonde sur les flux et leur contrôle..
Pour ma part j'intègre également des solutions Juniper…qui réalisent la fonction IDS/IPS sur la partie firewall, dans ce cas, je limite au stricte nécessaire les analyses requises.

Boujour Alexking,

Pour moi une règle de filtrage est présente stipulant que ton LAN peut faire du 80 vers l'extérieur. Vérifie si une telle règle existe, bloque les ports 80 et 443… Il faut créer une règle prioritaire permettant à ton LAN de faire du 8080 (EX de port proxy HTTP) sur l'interface de ton pfSense, soit ta LAN Address.
pfSense fera office de proxy pour ton LAN pour les requêtes Web et les restituera à tes postes clients. Si IE ou FF n'a pas de proxy renseigné et ton port 80 fermé ton LAN ne sortira pas, ce qui est bon signe et normal... Indique l'adresse de ton proxy (LAN Address pfSense) et là tu devrais avoir du Net... Le port UDP 53 (DNS) peut être utile pour tes machines du réseau interne il faut également le permettre vers l'extérieur...

Il faut simplement faire un pool failover. si la permiere ligne tombe alors utiliser la deuxieme…puis la troisieme etc.
L'option sticky fonctionne plus ou moins en fonction du protocole effectivement.

Bonjour,

Je en suis pas sûr que cela va avancer beaucoup de monde mais voici la petite histoire :

J'ai fait mes tests avec sur mon LAN une SME qui trainait là….. adresse de mon LAN : 192.168.1.0. Je me connectais en VPN via PFsense avec une adresse du type 192.168.2.0. Il faut déclarer ce second réseau sur la SME sinon le serveur ne réponds pas au client VPN. cdfd.

Pour info une SME n'est pas une maladie sexuellement transmissible mais une distrib Linux tout en un qui remplace un Windows SBS on va dire, pour faire court.

Adresse SME :

http://smeserver.fr/

Et voilà.

Nusa

Je profite de ce fil très clair :

la question est posée de façon complète (on sent que c'est bien préparé), la réponse est directe et simple.

L'alternative à un tunnel IPSEC est le tunnel OpenVPN (site-à-site). (cas de livebox non transformable en modem)

(J'exclu le tunnel PPTP largement obsolète et pas adapté à un site-à-site).

Qu'en est-il de l'affichage du statut du VPN (monté/tombé) ?
Qu'en est-il du maintien de la connexion ?
Qu'en est-il des fonctions de relance ?

Le mieux serait de décrire précisément le besoin.

Ce que je crois avoir compris : l'objectif est de donner un accès wifi de type portal à des nomades (des usagers de la mairie avec ordi portables ?).

Ce que je ne sais pas :

ont-il besoin d'accéder à des ressources internes à la mairie ? ne doivent-ils accéder QU'A ces ressources internes ?

Moi je verrais plutôt un accès distinct (avec son ADSL propre), un pfsense avec le portal activé, et une page automatique permettant d'accéder à des serveurs public en dmz.

Voire une "dmz" qui relirait au réseau physique de la mairie (avec des règles FORTES). (ATTENTION dans ce cas ne SURTOUT pas fournir le dns de la mairie !)

OK merci pour les infos.

Nusa

nb : Je me demande si tout compte fais je ne vais pas repartir sur du propre…..

Bonsoir;

Pour information : J'ai une carte alix 2D3 (500 Mhz et 256 Mo de RAM) une CF normale (ce qui n'est pas bien mais je fais juste des tests) et j'ai installé squid mais pas squidguard. Cela fonctionne parfaitement.

Petite question : où peut-on acheter des microdrives ? Je n'en trouve pas seulement des CF.

Parfait, merci beaucoup.

Nusa