Juve merci pour votre réponse, j'avais effectivement un lifetime moins important sur le boitier distant. Le probleme semble etre résolu je vais continuer a suivre cela. Merci encore

Merci pour la réponse,

Mais est ce normal que mon fichier squid.conf ne prenne pas en compte les modifications que j'ai effectue lorsque je redémarre pfsense ? pourtant j'ai bien appuyer sur "save"
Sinon ne faut t 'il pas rentrer les configurations depuis l'interface graphique dans l'onglet "upstream proxy" ? ne problème vient du fait qu'il me demande un "ICP port" et je ne sais pas trop quoi mettre

Bonjour, juste pour info, avec quel outils a tu fait des grazphiques ;)

@myux:

Bonjour,

Ancien utilisateur IPCOP, je cherche un FW plus performant pour monter ultérieurement 2 FWS en Failover
Loadbalancing ; j'ai découvert PFSENSE 1.2.2 et je pense qu'il répond très clairement à mes attentes ; J'ai
monté une maquette à 5 pattes (WAN,LAN,DMZ,WIFI) avec un accès freebox v5 en mode routeur ; J'ai réussit l'installation ; à faire fonctionner la sortie du LAN vers le WAN ; mais impossible d'atteindre ma DMZ ; de dedans ou de l'extérieur. Après de multiples essais, je n'ai jamais réussit ; j'ai cherché des tutos et des
discussions mais rien ne convient à ma config ; Je n'ai pas de repère et je pense que je ne perçois pas toutes les subtilités du produit ; Alors Que faut-il vraiment faire sous PFsense !

Je sais que je demande peut-être encore et encore quelque chose qui a été certainement demandé mais je ne trouve pas chaussure à mon pied !

Voici mon schéma pour vous aider !

Voici ce que je pensais configurer !

Tout est bloqué au départ (je suppose)
J'autorise le LAN à sortir sur WAN
J'autorise la DMZ à sortir sur WAN
J'autorise la WIFI à sortir sur WAN
J'autorise le LAN vers DMZ (port 80,22,21 peut-être seulement)
J'autorise le WIFI vers DMZ (port 80,22,21 peut-être seulement)
Je NAT les ports 80,21 de WAN vers le serveur WEB de ma DMZ.

J'ai peut-être oublié quelque chose !!!
Est-ce que quelqu'un peu m'aider en indiquant les étapes pas à pas !

ENCORE…
MERCI.

myux

oui j'y ai pas penssé ca serais une solution mais apres ca deviens le bordel car tout le monde vas venir me voir pour me dire que msn passe plus ou que bidule-machin-reseau ne passe plus et qu'il peut plus bosser.

en fait j'ai activer le support upnp pour les windaubiens et ne pas passer mon temp a faire du NAT et bloquer les ports courant utilisé par la mule and co mais ca n'est pas sufieseant.

Ah ben voilà qui est beaucoup plus clair dans mon esprit, merci à tous les deux  ;)
la DMZ n'est qu'un cloisonnement des services qu'on veut proposer à l'extérieur pour éviter de les avoir sur le LAN, ben c'est pas du tout ce que j'avais compris quand on m'a expliqué la théorie, ou alors ce sont les personnes qui m'ont expliqué qui n'avaient pas la chose bien claire.

J'ai déjà 3 interfaces sur le routeur pfsense, j'avais prévu le coup quand j'ai acheté une Alix2c3 il y a quelques mois mais je n'avais pas encore eu le courage de me pencher sur la DMZ.
Bien, reste plus qu'à ouvrir ces ports et créer les règles. Je n'y arrive pas encore aussi facilement que je le voudrais mais j'apprends bien plus de choses avec Pfsense qu'avec les routeurs commerciaux "trop simples"

Merci encore

Merci
pour l'aide

tout fonctionne comme je veux ou presque mais ca va aller

J'apprécie beaucoup ce type de forum ou débutant et expert peuvent échanger très simplement

Continuer

moi je continue à  vous lire

+1

Merci pour votre réponse, j'ai préféré acheter une autre carte réseau reconnu par pfsense.

cdt.

J'ai vu que je n'étais pas le seul à avoir ce problème dans les forums.
Ca serait génial si tu pouvais faire un test car sur le serveur de prod, je ne peux me le permettre.
Merci

Merci bien !

@thonik:

ClarkConnect Community est bon comme antispam et antivirus de mail mais je ne vois pas dans les "features" (http://www.clarkconnect.com/info/compare.php) qu'il gère aussi antivirus web.

Je n'ai jamais dit qu'il fallait l'utiliser pour cela ! Par contre Squid peut le faire en effet. Mais pas seul.

Or IpCop, même si j'ai bien compris qu'il n'étais pas à la base prévu pour ce que je veux faire, comprend un addon assez intéressant "CopFilter" qui comprend notamment SpamAssassin, ClamAV, + havp comme proxy antivirus… En bref, il comprend ce que j'ai besoin... et je ne pense pas que ClarckConnect comprenne tout ça...

Moi non plus. Si tel était le cas je l'aurais dit. Le moteur SMTP de Copfilter est beaucoup trop faible. Copfilter s'appuie essentiellement sur Spamassassin pour détecter le spam. Or la réalité montre qu'un énorme volume de spams est détectable sans utiliser spamassassin mais avec un bon relais smtp (Postfix). Celui ci est capable de faire un certain nombre de vérifications portant sur l'émetteur du mail, son respect des rfc dans la conduite d'une session smtp et par ailleurs il possède des capacités de filtrage beaucoup plus efficace (mémoire , CPU). Spamassassin est utile mais après tout ces tests, dès lors qu'il s'agit d'analyser le contenu du mail. Mais beaucoup d'autres facteurs que Spamassassin ne gère pas entrent en ligne de compte. Spamassassin est en fait la dernière étape du filtrage lorsque la mail a passé tous les autres tests. La vérification d'un MX correct pour un expéditeur est un test fiable à 100% alors que Spamassassin évalue la probabilité de spam. Fondamentalement différent. Il est indispensable de rejeter, dans la transaction smtp, les mails qui sont manifestement des spams. De nombreux spammeurs n'y reviennent pas lorsque leur connexion smtp est rejetée. Avec Spamassassin la connexion doit être accepté et le mail reçu avant de pouvoir commencer l'évaluation. Les spammeurs reviendront puisque vous acceptez leurs mails !
Je ne développe pas plus, il faut revoir votre conception du filtrage antispam. En fait la solution ne peux reposer sur Spamassassin seul. Pour l'avoir testé en maquette, en vraie grandeur, je sais les problèmes que cela pose.
Mais il y a aussi des problèmes plus complexes en suspend. Quelle politique face aux expéditeurs dont les enregistrements DNS (PTR en particulier) ne sont pas corrects ? Spammeurs ? Légitimes ? Que décidez vous ? Il y a les deux !

Si IpCop n'est pas la distribution "ideale", je ne pense pas que ClarckConnect non plus vu qu'il ne possède pas toutes les fonctionnalités dont j'ai besoin. Alors quel choix me reste-il?

Concevoir une architecture correct. Voilà le choix. Il n'y a pas de distribution idéale.
Les différents services dont vous avez besoin Proxy, AS-AV messagerie, reverse Proxy (comme beaucoup de monde d'ailleurs) ne doivent pas être sur la même machine physique et ne doivent pas être dans la même zone du réseau. Et par ailleurs ces machines ne doivent pas pouvoir communiquer entre elles.
Vous continuez à raisonner à l'envers en recherchant des logiciels ou des distributions. La sécurité c'est, avant de choisir des logiciel ou des produits, une question d'architecture. C'est encore autre chose avant l'architecture mais bref … L'architecture doit être par construction, par nature, résistante. Cela passe, entre autre, par une segmentation stricte des flux, le cloisonnement des services, l'ajustement des accès possibles au minimum nécessaire.

Les deux cartes LAN et OPT1 sont directement connectées sur un switch (non administrable) D-Link.

Configuration qui rend inutile la présence de OPT1 et supprime pratiquement toute sécurité.

La solution serait que vous regardiez et compreniez comment fonctionne DHCP et que vous optiez pour une connectivité normale.

A priori vous n'avez pas bien compris comment fonctionne un proxy et ce qu'il fait. On en bloque pas de ports sur un proxy. Regardez le site de Squid : www.squid-cache.org

@jdh:

C'est normal de ne pas trouver : syslog N'EST PAS fait pour cela !

OK, dommage.

@jdh:

(Il serait bien de répondre en ayant trouvé pourquoi !)

J'ai pas compris cette phrase  ???

@jdh:

Squid stocke ses logs dans …/access.log
Il faut agir au niveau de la rotation des logs.

Logrotate sait parfaitement transférer un fichier de log (par ssh) à ce moment.
J'ignore si logrotate est dispo sous pfSense ...

OK je regarde la rotation des logs et leur durée de conservation.

Nusa

=> Décret du 23 Janvier 2006. Loi 2006-64 de mémoire. Lutte contre le terrorisme.

Premièrement ssh c'est 22/tcp, alors pas de udp !

Ensuite si 192.168.0.23 est autorisé, cela me semble normal que 192.168.44.1 soit bloqué ! Non ?

Merci pour vos commentaires !

Oui c'est certain, Serveur 2003 complet ce serait mieux mais bon vu le prix d'une licence tant que j'en ai pas un besoin imperatif je vais investir ailleurs. ;-)

La nécessite absolue c'est de ne pas avoir de client à installer car je ne veux pas et ne peux pas sur un PC pro.
Tout le reste, c'est du domaine personnelle donc absolument pas nécessaire mais bien pratique quand même.

L'accès aux données via HTTPS est une fonctionnalité de base de Home server, c'est donc ce que je fais actuellement le but étant de bloquer tout le reste.

Bon je vais méditer un peu et revenir donner des nouvelles déjà sur le montage et l'installation de mon Firewall.

n'etant pas 100 % le meilleur je peut au moin aider !!!

pour les test je t'invite a utiliser UDP comme protocol…..

TCP a un system pour empecher la perte de paquet... mais quand tu utilise TCP avec openVPN il fait

TCP (openVPN) sur TPC (ton internet)

donc il y a de la redondance....(si l'un des 2 TCP n'est pas bien recu, il se renvoie.... et ca continue comme ca !!!)

pour moi mes 3 dernier ligne sont

Fri Feb 06 11:19:59 2009 C:\WINDOWS\system32\route.exe ADD 10.2.0.0 MASK 255.255.255.0 10.2.1.5
Fri Feb 06 11:19:59 2009 C:\WINDOWS\system32\route.exe ADD 10.2.1.0 MASK 255.255.255.0 10.2.1.5
Fri Feb 06 11:20:00 2009 Initialization Sequence Completed

et toi ces

Thu Nov 06 13:49:58 2008 us=971945 route ADD 192.168.1.0 MASK 255.255.255.0 10.0.8.5
Thu Nov 06 13:49:59 2008 us=43240 route ADD 10.0.8.0 MASK 255.255.255.0 10.0.8.5
Thu Nov 06 13:49:59 2008 us=128495 Initialization Sequence Completed

la seul difference ces le c:\windows\system32\ que tu n'a pas.

a tu fait de srecherche ???

sinon pour le reste (fichier config)

float
dev tun
dev-node OpenVpn                    theoriquement ces juste pour dire quel nom ton NIC doit avoir
proto tcp-client
remote thomasbruyere.dyndns.org 443    tu a juste l'address internet avec                                    l                                          e port ??? a tu l'ip a place
ping 10
persist-tun
persist-key
tls-client
ca ca.crt
cert client1.crt
key client1.key
ns-cert-type server
#comp-lzo
pull
verb 4

le mien est

tls-client
client
dev tun
proto udp
tun-mtu 1500
remote 142.217.136.249 1194
#remote 10.0.3.254 1194
ca pmfca.crt
key arkys.key
cert arkys.crt
cipher AES-256-CBC
comp-lzo
verb 3
ns-cert-type server
float
route-method exe
route-delay 2
ping 10

il y a quelque difference. je crois pas que cela affecte completement ta connection (avis d'un pro si possible) mais cela sont des supposition. apres un 2ieme regard je crois que cela se situe au niveau de

route-method exe
route-delay 2

ces 2 commande que j'ai et toi non….. tu pourais les ajouter et tester svp !!!!

revien vite voir si ca marche

ces drole que je tombe la dessus j'ai effectivement la meme chose que toi a 1 point different : j'ai pris ton point 1

j'ai aussi 3 site…. A (ip dinamique qui change), B (ip fixe) et C (ip fixe)

A et B et C sont avec des PFSense.

mon point fort (ou j'ai la meilleur bande passante) ces le B

mon but. me connecter a 1 place (donc 1 OpenVPN et 1 certifica, pas 2) pour me connecter partout.

j'ai fait des connection IPSec (ou tu peut en faire OpenVPN) entre tes site A-B-C mais pas connecter en triangle, plutot comme suit

A se connecter a B
C se connecte a B

je place mon OpenVPN a B, je fait juste le NAT et firewall (redirection) et tout est configurer !!!!!

**** Ici B est "serveur", A et C "client" de B. Ensuite me suffit il de faire une règle de routage sur B pour que A puisse parler a C ? *****

a ta question je repond : oui

en centralisant ta connection (si elle supporte toute le trafic) ca t'evite de cree 2-3 certifica et de faire un triangle.

dison que ta solution 1 est la meme que j'ai utiliser et elle fonctionne a MERVEILLE !!!!!