Pour aller dans le sens de ccnet, on sent que la solution précède le besoin … ce qui n'est jamais bon !

Un serveur de mail interne, c'est ok.
Mais il doit communiquer avec l'extérieur ... normalement ... donc sur le port 25 et pas par un VPN (et sans doute sûrement via le smtp du FAI).
Il peut aussi recevoir les mails de l'extérieur, et au moins ceux d'un logiciel de messagerie d'un utilisateur interne qui serait en déplacement.
Ce dernier cas recommande le port 587 avec l'authentification qui va bien ...

Quand on n'est pas spécialiste (et ce n'est pas une tare), on commence par exprimer un besoin (en français).
Il vient alors une réponse technique ...
Ca c'est la vie normale ...

Seul truc bizarre : On peut créer plusieurs portails captifs, mais on ne peut pas dire à squid l'intitulé du portail à utiliser…

Non ce n'est pas bizarre … si on connait/comprend les 2 notions :

un portail captif : c'est un 'interrupteur' de trafic : il autorise le trafic (=la traversée du firewall) si on s'identifie un proxy (http) (ici Squid) : c'est un intermédiaire entre le client et le serveur, pour le seul protocole prévu (http, https, ftp), avec contrôles possibles : authentification, date/heure, sites autorisés ou non, ...

Il y a authentification, certes oui, ... mais pas sur le même référentiel ! D'où non bizarre !

Bonsoir Chris et merci beaucoup pour ta contribution.

En effet, activer ou désactiver un règle est simple, mais ils y a trop de clics… ;-) Et il faut s'identifier sur la pfSense. Le plus rapide et le plus confortable est donc de le faire via un ordinateur.

Comme évoqué plus haut, je souhaitais le faire via un simple bouton sur une page maison utilisable depuis un iDevice ou un Mac/PC comme qui rigole...

En tous cas, je vous remercie beaucoup. Je vais quand même continué à chercher et vous tiendrai au jus.

A+

Cyril

Bonsoir,
Oui vous avez raison, je pensais qu'il y aurait pu avoir une configuration à faire spécifique sur OpenVpn, ou que ça aurait pu aussi arriver à quelqu’un d'autre !!!!

Merci

Laurent

@infopv:

Avez vous une idée d'où cela peut venir ?
Pourquoi Squid ne fait pas le basculement, surtout qu'il n'a rien à faire pour le coup selon moi… Le routage se fait après le Proxy.

Certes mais tu es dans une situation un peu particulière car le proxy tourne précisément sur la machine qui est en charge du fail-over.
Je pense, comme toi, que ça ne devrait pas avoir vraiment d'impact mais il faut probablement regarder de près (c'est à dire pas juste dans l'interface web) la configuration de Squid et ses logs pour comprendre la source de l'erreur.

J'ai une config assez similaire à la tienne avec 2 WAN en fail-over et un proxy Squid (mais sur une autre machine) et ça fonctionne tout à fait normalement.

Hello,

https://doc.pfsense.org/index.php/How_can_I_forward_ports_with_pfSense

Il faut regarder le champ "source" et ça devrait le faire.

@+

Rapport de bug effectué :
https://redmine.pfsense.org/issues/5136

Je suis bien d'accord, d'autant qu'il revient avec, plus ou  moins le même sujet, présenté un différemment mais tout aussi confus.

Merci à tous pour votre implication et les différentes pistes envisagées.

La modification du MTU comme évoqué par baalserv a semble-t il résolu le problème.  ;D

J'attends un retour utilisateurs mais depuis hier 14h, je pense qu'on m'aurait déjà dit que les PJ ne passaient pas.

Pour info, le FAI est Nordnet  :-\

Yepp I know man!!

Mais le truc c'est que maintenant c'est un labo perso…donc je fais avec les moyens du bord :)
Si jamais j'arrive à faire passer l'achat de 12-13 voire 15 FW pfsense, je vais prendre celui avec 4 ports...et là je peux commencer à profiter pleinement du produit :D

Ceci dit..je viens de finir la mise en place de ma mini infra sur ma vm!! et même mon LAN fonctionne parfaitement! lol..tout ce qu'il faut c'est de la patience!

Merci en tout cas pour votre aide....

Pour info, je reviendrai surement vous embeter encore!! :D :D

Je pense avoir trouvé une solution de contournement : https://forum.pfsense.org/index.php?topic=99013.0

@chris4916:

@ccnet:

Donc je redis et je maintiens que l'utilisation d'adresses ip appartenant à un même numéro de réseau n'est pas une réponse en terme de sécurité pour protéger et distinguer des contenus ou services privés par rapport à ceux qui ne le sont pas.

En étant un peu plus modéré  ;)  ce qui est inutile, dans ce cas, est de disposer des ces adresses IP sur des interfaces différentes.
Ce n'est jamais indispensable mais disposer de plusieurs IP publiques (et donc coté WAN) offre quand même beaucoup plus de souplesse (il n'y a pas que les aspects sécurité) pour les services annoncés sur internet. Tout régler à grands coups de NAT et/ou de proxy ou de vhost n'est pas toujours la meilleure solution.

Entièrement d'accord pour des aspects autres que sécurité. Il y a un tas d'aspects fonctionnels qui peuvent le justifier.

Bonjour,

après export et import de ma configuration pfsense vers une nouvelle vm pfsense tout fonctionne à merveille.

Je clôture ce sujet

Salut salut

Je dirais même plus à quoi bon mettre un pare-feu quel qu'il soit.
Autant ne rien mettre.
Apres ne pas venir pleurer quand vous vous serez fait cassé l'ensemble.

Cordialement.

Merci de modifier le titre de votre post avec [Résolu] ;) cela pourrai servir à d'autres :)

Salut salut.

Au boulot pour un soucis avec un application se trouvant derrière un pfsense qui subissait une attaque Ddos sur un port en particulier router par défaut.
Nous avons fait avec l'accord du donneur d'ordre fait une petit modification au niveau du port d'ecoute sur la patte wan du pfsense en decalant vers un port tel que le 16000 et 16001 par exemple.
Ensuite nous avons diffusé a 50% de nos utilisateurs que le port etait le 16000 et au 50% autres que le bon port etait le 16001.
Au bout de quelques jours nous avons remarqué que le Ddos se portait sur le 16001.
Nous avons réitéré l'opération sur le 16001 vers deux autres ports 16100 et 16101 en redécoupant le panel des users connaissant le 16001 en 2 groupes sur les 2 autres nouveau ports et fermant le 16001, jusqu'a trouver la sources.

Le travail avais pris une longue période mais pour nous permettre de trouver le service qui nous gênait pour appliquer les contres mesures, comme par exemple lancer une vague d'intervention sur les postes pour et désinfection virale et malware car plusieurs poste étaient farcis de c'est petits choses, dont des applications fantômes. Nous avions des ordinateurs zombis.

Je ne dis pas que cela est la bonne solution mais une option qui pourrait être étudier.

Cordialement.

Bonjour Chris,

Merci pour ces liens, je vais voir ce qu'il est possible de faire avec cela.
mais il semble en effet que le problème vienne de la couche OS, et pas du package pfSense!

Ça va pas trop fatigué par les recherches ?
A moins que ce soit la lecture de la doc ?
https://doc.pfsense.org/index.php/Static_Routes

Bon, je me répond à moi même.
Je viens de réussir à le faire fonctionner sous MacOs, il fallait choisir le bon protocole !!

J'étais certain de l'avoir tenté … à moins que ce ne soit le fait d'avoir installer avahi ?

Désolé