Ce n'est pas par hasard que j'écris cela, c'est en application d'une évidence (une fois écrite, pour certains)

Vous avez supprimé du post initial les images avec ipsec.
Il serait bon que vous indiquiez où vous en êtes : si client L2TP alors serveur L2TP

Après un gros nettoyage des règles et alias ça fonctionne de nouveau. Je prends tout de même les contacts pour d'éventuels besoins futurs.

Merci beaucoup,

oui bien entendu je me suis empressée de mettre à jour les schémas avec les chemin d'accès et les mots de passe, et de tout archiver dans l'intranet !
J’essaierai de me pencher sur l'optimisation de tout ça assez rapidement, comme par exemple le doublage des règles comme vous me proposez.  :)

Salut salut.

N'étant pas un professionnel dans le domaine (désolé pour moi c'est les bêtises intellectuelles) mais néanmoins j'abonde avec les réponses de jdh / cnet / baalserv .

Je trouve et vous (posterS originauX en général) ne réalisez pas assez de recherche et de documentation sur les sujets dans le forum. aider OK assister KO.

vous avec a votre disposition le site de la distribution avec un partie FAQ et une documentation en ligne certes toutes deux en anglais mais quand même compréhensible.

De plus il existe aussi d'autre site ou vous trouverez aussi des fiches technique ou des tutoriaux ou l'on vous mache le travail, et vous donne défois des explications du pourquoi avoir opéré de telle ou telle façon.

Autre piste anglophone ou francophone la littérature papier qui est disponible sur la plupart des sujets.

Si après tout ceci vous n'arrivez pas à mettre en place votre solution x y z virtualiser ou pas, venez poster votre question mais de façon explicite et intelligible pour tout le monde pour un  débutant comme l'expert.

Et pensez ajouter un schéma le plus simple possible.

Cela ne sert strictement à rien de prendre la mouche quand vous vous faites rabrouer comme vous l'avez été et vous le serez si vous en changez pas de manière de faire et de voir l'aide que peux vous apporter un forum surtout quand vous avez des professionnels qui prennent sur leur temps personnel pour vous vous répondre et je puis comprendre voir suis comme ces personnes qui ne veulent plus perdre du temps pour donner une solution toute faite sans travail préalable.

En résumé :

RTFM
site dédié et FAQ
littérature
votre moteur de recherche préféré
relationnel personnel ou professionnel
test virtualiser ou physique suivant possibilité
après et seulement après la question sur le forum

cordialement.

Bonjour,

S'il s'agissait seulement d'un pb pfsense … alors CCNET vous à donner la meilleure des réponses : RTFM

D'un point de vu beaucoup plus général concernant l'administration réseau, sécurités, ... alors JDH vous a donner la bonne réponse : se prendre par la main ^^

Mon avis (donc strictement personnel) :
Vous abordez votre futur métier avec une démarche intellectuelle totalement opposer aux strictes nécessitées de ce métier !
Pour être à même de l'exercé avec un minimum d'efficacité vous n’aurez d'autres solutions qu'un investissement personnel très fort en ce qui concerne l'apprentissage et l'auto-formation !

Pour conclure, 2 possibilités s'offre à vous : 
1/ changer votre états d'esprit et investissez-vous !
2/ choisissez un autre métier

cordialement

EDIT : voici quand même la réponse à votre question : https://doc.pfsense.org/index.php/Firewall_Rule_Basics

Oui … et ensuite par mp une définition du périmètre d'audit.

Bonjour à tous,

désolé de ma réponse tardive, ar j'étais absent.

Oui, c'est bien cela, c'est mon router Netgear que j'ai passé en bridge afin d'être sur le même réseau que le LAN du PSFense.

c'est donc résolut.

merci à tout ceux qui m'ont répondu. ;)

Je préfère que cela reste transparent pour les utilisateurs. Donc pas de connection.
Et mon proxy est configuré en transparent.

Ce qui est contraire à la réglementation en vigueur dès lors qu'une entité met à disposition un accès à Internet.

C'est, hélas, le schéma traditionnel proposé par Orange (Sfr, et d'autres …) !
On voit qu'il n'y a presqu'aucune sécurité dans un tel schéma mais ils ne voient le problème ...
Et quand on leur demande une redirection, ce n'est guère possible ...

Pour résoudre la question, je ne vois guère qu'abandonner pfSense et mettre en place un (vrai) proxy (avec un WPAD pour faciliter le déploiement).
(Activer le proxy sur le pfSense n'est pas la solution puisque la navigation commence par http et passe à https).

(Avec un bridge, concernant les sites, je commencerais directement en https plutôt qu'en http ...)

Compte tenu de la nature du problème, il me semble que la consultation d'un forum FreeBSD serait sans doute plus productive. Ou encore une recherche sur "GEOM_PART: integrity check failed (da0, MBR)" donne de nombreux résultats qui, peut être, pourraient vous aider.

Bonjour,

J'avais tester en maquette avec openvpn, le débit était bien moindre, je dépassai difficilement les 100Mb.

J'avais tester avec d'autre cryptage mais au finale c'était l'AES le plus performant car les instructions sont intégré au XEON

Je ne manquerai pas de faire un retour si je trouve le temps de tester avec d'autre chose.

Sébastien

La règle "par défaut" créé dans l'onglet LAN est très permissive : il serait très étonnant qu'une machine du LAN soit bloquée.

MAIS, il existe des cas où, malgré la règle, les connexions ne s'établissent pas : par exemple un mauvais MTU, et il y en a d'autres …

Un exemple vécu :

dans mon réseau, le serveur DHCP (sous Windows) fournissait une règle de route à ajouter (à cause d'un routeur mal placé), des smartphones (en wifi, bridgé dans le LAN) pouvaient ou non accéder à Internet, depuis que j'ai supprimé l'option DHCP, les smartphones (Samsung Galaxy Ace sous Android 2.3.6) qui n'accédait pas à Internet, le peuvent maintenant !!

Ne limitez pas votre vision qu'à un aspect !

C'est bon j'ai résolu mon problème, j'avais belle est bien un mauvais paramétrage au niveau du dns dans pfsense

Bonsoir,

J'ai un 2.1 de tests virtualiser et je n'ai pas ce problème

Hello,
merci pour ta réponse !
Avec un disque, ça va vachement mieux….
Il y a en effet des limitations drastiques sur les systèmes embedded.....
Merci encore !
JFG

Quel mélange !

Un portail captif est un système d'autorisation/interdiction de traversée de firewall.

L'historique des connexions à Internet est la liste des url visitées par un utilisateur (une adresse ip ?).
Et le seul logiciel capable de le faire est un proxy (tel Squid) qui … ne s'installe pas sur un firewall !

Bref 2 choses assez bien distinctes (que l'on ne saurait mélanger ... erreur très fréquente sur ce forum ...).

Suivez donc ce qu'écrit ccnet sur ce sujet au travers des nombreux fils sur le sujet ... Vous pouvez avoir confiance en lui.

la GW passe en offline puis en online alors que le réseau est stable

Bonne observation et bonne conclusion : il est probable que la virtualisation en VMplayer ne soit pas adapté.

Si vous voulez tester un firewall, il vaut mieux utiliser un vrai host de virtualisation comme ESXi ou Proxmox (avec KVM), ET, totalement essentiel, comprendre la vision réseau du moteur de virtualisation : dans VMware, on créé des vswitchs, …, dans KVM on créé des bridge, ...

Reste à comprendre pourquoi vous aviez une règle dans l'onglet WAN : vous NE DEVEZ PAS en avoir !

Bonjour,

Merci pour vos retours !

En effet, le must pour le contrôle des accès web reste le proxy dédié mais comme d'habitude avec ce genre de problème, le client n'a pas l'argent/le temps/l'envie de mettre en place une solution de proxy complète.

C'est pourquoi j'étais parti sur l'idée d'un Squid utilisé au minimum… (juste pour trois utilisateurs, permettant l'accès quelques domaines)

Pour l'instant, les 3 postes sont coupés d'Internet, mais cela pose des problèmes de sécurité (mises à jours Windows et Avast).

Autoriser au niveau du firewall des FQDN avec un wildward comme par exemple "*.windowsupdate.com" aurait été LA solution, mais ça ne semble pas marcher...

Il semble qu'à une époque, une build interne le permettait...
(cf : https://forum.pfsense.org/index.php/topic,44264.msg231443.html#msg231443)

Vous savez si il existe une méthode équivalente permettant de le faire ?