@Nusa:

Ensuite, je n'ai plus qu'à créer une rule pour indiquer que le traffic vers mon alias donc les IP contenu dans mon fichier texte doit passer par mon WAN2.

J'ai bon?

J'avoue ne pas avoir cliqué sur tous tes liens  :-[

Dans pfSense, tu peux directement définir un [url=https://doc.pfsense.org/index.php/Aliases]alias à partir d'un fqdn.
L'interface s'occupe de la résolution de nom pour convertir ça en IP afin que les règle de FW, qui définitivement ne connaissent que des IP, fonctionnent.

C'est cette partie du process qui est asynchrone et qui fait que tu peux avoir un désalignement entre ton fqdn et les vraies IP correspondant.

For Host and Network type aliases, a fully qualified domain name (FQDN) may be entered instead of an IP address.
The FQDN will be resolved by DNS every 5 minutes (300 seconds) and updated internally.
This can be useful for tracking dynamic DNS entries to identify sites or users that are unable to use a static IP.

Si ce mode de fonctionnement te convient, alors tu n'as même pas besoin de gérer un fichier externe  ;)

Merci pour vos retours d'expériences.

@Baalsrv Ton retour est intéressant me donne pas mal de vue sur les capacité de cette carte thanks, ce qui me dérange dans les Alix c'est pas tellement leurs capacité mais plutôt le prix par rapport a ça capacité. Pour info ça conviendrais pil poil a mon besoin mais bon comme dis avant il y presque au même prix les APU (+20 à 50€) pour un puissance de feu bien supérieur.
Je me tournerais vers les Alix a contre cœur si jamais je trouve pas se qu'il me faut.

Je ferais un peut de filtrage, et au moins un serveur VPN dessus.

@sagem2004 Merci pour ton feedback effectivement ta carte est super pour son prix sans les frais de port, et oui car avec les frais de port on part sur du 280€, je suis une pince je sais :D.

Bref merci pour vos retour, je suis pas encore fixé sur mon achat mais je vous ferais un retour, et si non je serais fibré mais bon je pense pas qu'il y ai une board Soho en 10/100/1000. :x Vivement que je puisse mettre les pattes dedans !

Bonjour JDH et merci de votre intervention. En effet, j'ai pu voir effectivement que l'USB est très aléatoire pour la fonction 'point d'access'.
Venant du monde d'iP FIRE, je pensais PFSENSE aussi 'compatible' si je puis dire !
J'ai pu tester PFSENSE avec un vieil adaptateur LINKSYS et là, ça fonctionne. Un autre problème vient se greffer après, mais ça ne fera pas partie de ce post.
PS : J'avais pensé monter une mini-pci card ou autre, mais mon choix de carte mère et le type de boitier mini-itx ne me permet malheureusement pas d'utiliser autre chose qu'un adaptateur USB.
Bonne continuation  :)

Je crois que ce serait beaucoup plus efficace si tu faisais une copie d'écran (et pas limitée à juste les quelques lignes qui te paraissent intéressantes) pour qu'on y comprenne quelque chose.

@Mouftik:

Le débat était plus de savoir comment je pouvais mettre en oeuvre facilement une solution.
Par exemple les trames en sortie de l'ONT sont surement en broadcast…/...

Ta question est assez claire et très légitime. Je suis également en train de remplacer une Livebox par un modem en mode bridge pour disposer d'une IP publique sur le port WAN du pfSense qui est derrière cet accès. Mais je n'ai pas besoin de téléphonie  :)

Je n'ai cependant pas de Livebox moi-même et l’opération que je décris au dessus est faite en remote donc ma compréhension est assez vague mais :

si ta livebox est un modèle "ADSL", uniquement, je ne vois pas bien comment tu va pouvoir éviter de la connecter au RTC si tu as un modèle "ADSL + FTTH", le boitier (type Livebox 3) vient avec une interface WAN en RJ45, c'est plus simple.

D'après cette page (mais pas ce design n'est-ce pas), si j'intuite bien, même l'interface WAN de la Livebox a besoin d'un serveur PPPoE. Si tu actives la fonction PPPoE server de pfSense sur l'interface DZM de pfSense, le quel est par ailleurs connecté en PPPoE à ton accès internet, il te suffit  ;) de créer un VLAN 851 avec un bridge pour récupérer directement sur la Livebox les services de téléphonie sans que celle-ci soit connectée à ton LAN, et avec uniquement pfSense entre le LAN et internet.

Tout ça vu d'un peu loin mais la solution, si elle existe, doit ressembler à ça  8)

(Je crois rêver …)

Dans pfSense, pour OpenVPN,

on doit créer un serveur OpenVPN (Vpn > OpenVpn > onglet Serveur).

dans les paramétrages de ce serveur, on doit préciser 2 réseaux : ipv4 Tunnel network (réseau entre pfSense et le client), et ipv4 local network (le réseau local)

à la fin de ce paramétrage, on a les paramètres additionnel, dans lequel on rentre "push route xxxxxx xxxxx" qui correspond au local network

de plus, dans Firewall > Rules apparait un onglet OpenVPN dans lequel on doit créer des règles qui autorisent ou bloquent

il est aisé de créer 2 règles qui autorisent 'tunnel network' <-> 'local network' voire interdisent autres choses …

Bref, sauf à ne pas avoir soi-même configuré cela, sauf à mal lire les conf ...
Tout cela est très basique et intuitif. (Ceci est normalement vu à la création.)

Comme il y a 2 questions dans le post initial (LAN2 doit utiliser une WAN spécifique),
la bonne façon de répondre est 'policy routing' : sujet abordé régulièrement et il y a moins d'une semaine, c'est dire le défaut de recherche ...

@mryou:

Ok merci, le problème c'est que je ne sais pas ce que le client a mis !

Peut-être suffit-il de lui demander, à ton client  :)
En tous cas sans information précise, tu peux essayer pendant des années avant que ça tombe en marche.

@jeanevers:

j'ai pu installer pfsense pas en virtuel mais plutôt physiquement.

Ce qui serait bine maintenant que pfSense est à nouveau installé, c'est de faire un point sur les design, adressage etc… et un point sur les questions en suspend.
Quel est l'objectif ?

le problème à été résolu j'ai simplement effacé toutes les configurations que j'avais faites au départ et j'ai reconfigurer pas à pas pfsense en suivant le même tuto qui à servit pour la configuration de départ et vu que ça marche l’erreur était surement à mon niveau peut être un réglages ou paramètre que j'ai oublié de mettre . Le fameux message ne s'affiche plus .

@swan89:

Quelqu'un aurait-il une idée svp ?

Je pense que tu mélanges 2 aspects différents:

le firewall qui va s'intercaler (physiquement) entre 2 réseaux avec des règles de filtrage, routage etc… le proxy qui au niveau HTTP va faire du relais avec éventuellement du cache, contrôle d'accès, filtrage etc..

en résumé : Pfsense vitualisé et mise à jour en 2.2.6 -> problème. Que racontent les logs au démarrage de Pfsense ? Dans Pfsense et dans Vmware ?

@jdh:

Monsieur 'je réponds en 20' y compris le dimanche' : cessez de faire des posts de m. sur moi et mes réponses.
Commencer par ne pas écrire des c. avec des livebox qui devraient avoir une route vers le LAN, parce que ça c'est très nul !

Je t'ai bien sûr répondu sur le fil en question  ;D

ok, merci, je vais créer un nouveau post.

L'origine de ce post date bien de 2014, mais le dernier post date lui de Novembre 2015 , et on est en Février 2016…

@crashoux:

Si on a un groupe de passerelle et donc deux passerelle individuel qui la compose.

Si on dit au SSh de passé par une des deux individuel, et qu'elle tombe en panne, est ce que le pfsense va de lui même l'envoyé temporairement sur l'autre?

Ce n'est pas comme cela que cela fonctionne.
Si tu as 2 passerelles, tu crées un groupe de 2 passerelles et tu configures dans les règles de FW, dans les options de la règle, que pour le protocole SSH, il faut utiliser non pas une des 2 passerelles physique mais le groupe que tu as créé.
Ensuite, tu peux décider dans ce groupe de mettre les 2 passerelles dans le même tiers >=> tu vas obtenir du load-balancing. Tu mets une passerelle en tiers 1 et une passerelle en tiers 2, si la 1 tombe, les connexions utilisent la passerelle 2 => fail-over

Bonjour,

Pour répondre à vos différentes questions chris4916 :

Au niveau du site 1 je suis très proche du DSLAM (< 150m)

Le fait d'avoir une VDSL est intéressant même si le déploiement est récent ici (je suis en Guadeloupe). Les débits descendant sont en moyenne de 70Mbps et 20Mbps en montant.

Du point de vue du site 1 à priori seul le lien IPsec ne remonte pas. Comme vous le décrivez, Internet tombe un très court instant ensuite redeviens fonctionnel au niveau du LAN (mes machines peuvent naviguer sur Internet) par contre le lien IPsec reste KO.

Voici une capture d'écran de la page IPsec status

On voit que la connexion est en cours … mais n'aboutit jamais.

J'ai tenté de relancer la connexion via le bouton "redémarrer le service" sans succès, aujourd'hui la seule manière que j'ai trouvé pour faire de nouveau fonctionner le lien IPsec est de rebooter la livebox du site 1.

Au niveau des logs lors de la reconnexion j'obtiens le log suivant :

charon: 14[IKE] <con1000|4958>IKE_SA con1000[4958] established between IP_LAN_PFSENSE[IP_PUBLIC_SITE1] … IP_PUBLIC_SITE1[IP_PUBLIC_SITE1]

Comme conseillé par jdh, j'envisage de mettre un modem VDSL à la place de la livebox Orange mais je ne suis pas sur du résultat.</con1000|4958>

Vous en mettrez une copie d'écran ici pour que l'on puisse regarder ce qui se passe.

Pour moi, ce fil c'est STOP.

Soit vous comprenez les enjeux et vous suivez ce que je vous conseille (nouveau fil, …)
Soit vous ne comprenez pas, et je quitte ce fil (et ccnet ne devrait pas tarder à en faire autant !)

Si vous saviez le temps que l'on peut gagner en lâchant le clavier, en prenant un papier, un crayon, en dessinant un schéma (même à la main), en utilisant le formulaire ...

Ce fil devrait être clos … puisque la réponse a été donnée en anglais.

tomas25 a créé le même fil en anglais :

traduction mot à mot : p.e 'J'ai installé pfsense sur virtualbox.' devenu 'I installed virtualbox on pfsense.' : va falloir prendre des cours ... même texte = autant d'infos = rien !

La réponse :

What are you using for DNS? The browser has to be able to resolve an external address before redirecting to the portal page. Until you've authenticated, external DNS servers are unavailable, so the best thing is to set PFS as a DNS forwarder and use the firewall as your primary DNS for your LAN clients.

Le bon sens même ! L'idée et la bonne méthode !

Bref :

tomas25 n'a pas bien préparé son test : une machine a besoin de 4 éléments 'de base' ip, masque, passerelle et dns : le minimum est de s'en assurer ! tomas25 ne fournit presqu'aucune info : par chance, il obtient une idée qui est la bonne.

Moralité :

on doit toujours vérifier les éléments 'de base', comme le dns on doit comprendre le fonctionnement de ce qu'on essaie de mettre en place : le portail captif est un interrupteur : pas authentifié = fermé on devrait analyser : un test = une réponse OUI ou NON = si NON alors un pourquoi devrait avoir une ou 2 raisons à analyser ! on devrait utiliser le formulaire : mettre des infos suppose d'avoir fait des tests, notamment au moins la base

Quand on ne connait pas le fonctionnement de ce qu'on essaie,
quand on ne teste pas les éléments de base,
on a oeu de chance d'y arriver,
et quand on pose une question sans fournir d'infos,
c'est de la chance d'avoir une réponse …

Quand à l'incrustation, c'est affligeant ...

Je vous ai déjà écrit qu'il fallait utiliser le formulaire.
Notamment pour préciser les recherches que vous DEVEZ avoir fait avant de poser un fil …

Sur votre précédent fil, vous avez obtenu des réponses dans la version anglaise :
il est NOTABLE que c'était le DNS que vous avez configuré qui n'était pas correct.
Si vous aviez pris la peine d'utiliser le formulaire, il aurait été possible de remarquer : 'je suis idiot, je défini un DNS qui n'est possible qu'après ouverture du portail'

Les règles d'un forum sont pourtant à la portée de tous :

je fais de recherches AVANT je tente des choses AVANT j'ouvre un fil, en respectant la présentation et, donc, en fournissant des informations je reçois des retours ...

Ici, vous ne cherchez même pas, alors je ne vous réponds pas (et j'encourage tout le monde à en faire autant vis à vis d'un tel mépris des lecteurs !).