merci pour tes précisions.

Me reste plus qu'a attendre la MAJ corrective :)

Merci pour ce schéma. Je vous déconseille vivement, surtout dans votre cas de mettre le proxy sur le firewall.
A propos de Snort, je ne sis ce que vous en attendez. Sur le papier c'est très bien. La mise en oeuvre sur le terrain se révèle autrement plus difficile sur en matière d'exploitation des informations collectées. Et là, attention à la volumétrie ! Mettre cela sur le firewall peut causer de nombreux problèmes.

A la lecture de ces divers pots je constate que beaucoup se sont lancés dans l'upgrade en version 2.2 de façon très légère. Quelques remarques en terme de bonnes pratiques.

1. Il est toujours préférable de laisser passer du temps avant de décider un upgrade et consulter les retours d'expériences des impatients.
2. Il faut lire très soigneusement les documentations relatives aux modifications et évaluer l'impact sur vos systèmes.
3. Un test sur une plateforme de test (donc pas de production)  est très recommandé. Au passage ce test peut permettre de se familiariser avec les opérations de backup et restore qui réservent parfois des surprises (les interfaces affectées par exemple). Surprises qu'il faut apprendre à gérer.
4. Si possible la migration ou mise à jour doit se faire avec toujours une solution de retour arrière. Idéalement avent de migrer on créé un clone du firewall en production, on teste ce clone. Il pourra être utilisé pour un retour arrière quasi immédiat. Un cluster fiabilise les opérations.
5. Évidement on fait des backup et on les teste.

Ensuite on peut mettre à jour.

par ailleurs selon vos dire, LIMITER semble fonctionner.

Bonjour
J'ai eu le même problème de mon côté avec une configuration très proche.

Les symptômes sont uniquement présents pour un hôte virtuel sur le même serveur :
ping ok sur toutes les interfaces vers Internet
Pas moyen de télécharger de page HTML ou d'accéder à des services "sophistiqués".
Un débit très faible.

Cause du problème :
un cocktail entre l'"offload engine" - désolé je n'ai pas de traduction pour ça - avec la retransmission de trames entre les hôtes virtuel de XenServer ( géré par openvswitch il me semble) et de nouveaux pilotes de virtualisation des interfaces xen de freeBSD 10.1.
Cela génère une perte importante de trames entre les hôtes virtuels et pfsence et du coup l'impossibilité d'utiliser des services sophistiqués

je ne m'occuperai de savoir qui en est la cause, le plus important est qu'il y a une solution !

source : https://forum.pfsense.org/index.php?topic=85797.0

Il faut désactiver la fonction offload en transmission (tx) côté xen server sur les interfaces virtuelles de l'hôte Pfsense.

Pour ceux qui galèrent avec la configuration en ligne de commande , voici un petit pas à pas :

1 - se connecter à la console du serveur avec votre outils préféré (putty, terminal, XenCenter, etc)

2 - Repérez l'UUID de votre hôte virtuel pfsence avec la commande```
xe vm-list

3 - listez les UUID des interfaces virtuelles (vif) de l'hôte avec``` xe vif-list vm-uuid=[UUID de la VM]

4+ - pour chaque interface, effectuez la commande```
xe vif-param-set uuid=[uuid de la Vif] other-config:ethtool-tx="off"

Après cela le problème devrai avoir disparu, enfin, pour moi, il l'était…. ;D **Autre chose :** J'ai fait cette opération machine virtuelle éteinte. Bonne chance !!

Yop,

si tu ping une IP public depuis ton serveur, c'est que ton serveur accède au net, par contre si la navigation ne fonctionne pas tu as 2 possibilités :

1)problème dns :
          -  Vérifie ta conf réseau sur ton serveur (la partie dns)
          -  Si tu utilises l'ip de ton pfsense comme serveur DNS sur ton serveur, alors vérifie sur le pfsense que tu as renseigné un bon serveur dns (menu system -> general setup)

ta regle FW par défaut du coté LAN sur le pfsense est  mauvaise
          - Verifie la regle qui se nomme normalement "Default allow LAN to any rule" , ouvre la et verifie que le protocole est bien "any" (le dns c'est de l'udp donc si tu autorises seulement du tcp tu n'auras pas de résolution dns)

Pour ton problème que le pfsense ne ping pas ton serveur 2012, c'est à cause du firewall du win2012, le firewall de M$ bloque les pings par défaut.

EDIT :
vire ta regle any any sur le wan par contre par securité :)

Par ailleurs, quelle est la différence entre un portail captif et une authentification par le biais du service "Proxy" ?

La bonne question serait plutôt :
Quelle est la différence entre un portail captif et un Proxy ?
Les mécanismes d'authentification peuvent être les mêmes. L'authentification n'étant qu'une brique, une fonction d'un service. Ce qui est différent dans le cas de votre question c'est la nature du service. Le portail captif est un moyen de contrôler l'accès à un service disponible sur réseau (et non pas au réseau lui même). Le plus souvent c'est l'accès à internet qui est contrôlé par un portail captif. Une fois cet accès validé l'utilisateur accède sans autre contrôle en ce qui concerne le portail captif. Quelques contrôles annexes sont possibles (durée, bande passante, …)
Le proxy peut ne pas mettre en ouvre de mécanisme d'authentification. Le proxy est un mandataire, il exécute donc les requêtes à la place du navigateur du client et lui transmet le résultat. Ce faisant il peut aussi réaliser d'autres taches comme contrôler les url visitées, enregistrer l'historique de navigation, examiner les contenus envoyés par le serveur accéder (code malveillant, etc ...), gérer des politique d'accès (horaires, volumes, bande passante, ...). Il peut aussi décoder le trafic https (ce qui est rigoureusement interdit pas la loi française). Ces possibilités ne sont exhaustives. Tout dépend de ce que l'on veut faire d'un proxy.

Pour le reste, vu le peu d'éléments que vous communiquez, il est impossible de vous répondre.
L'ajout d'un package sur un firewall est rarement une bonne idée. Cela dit avez vous regardé cela : http://hubpages.com/hub/How-to-Set-Up-a-Radius-Server-on-pfSense-Using-the-FreeRadius-Package
Je ne vois pas où est le problème.

Après de multiples tests effectués, et malgré les nombreux tutos présents sur internet, je n'y arrive pas …

Comme nous ne savons pas quels tests vous avez réalisé ni dans quel environnement, c'est le brouillard. Retour à la case départ : https://forum.pfsense.org/index.php?topic=79600.0
Vous êtes environ 75% a être incapables de poser un problème correctement, du moins lors du post initial. Si cela n'est pas fait avant même de vous attaquer à votre projet, il ne faut pas vous étonner de ne pas y parvenir.

Ce qui se conçoit bien s'énonce clairement - Et les mots pour le dire arrivent aiséme - Nicolas Boileau.
Si tu ne sais pas où tu vas, tu pourrais bien te retrouver ailleurs - Faux proverbe chinois.
Si tu es tombé dans la fosse à purin ne t’étonnes pas de sentir …

D'accord,

Je vous remercis en tout cas de l'aide que vous m'avez apporté.

Cordialement.

salut salut

Faire une recherche sur le forum et les réponses que nous avons pu faire pour ce type de demande et comment avoir une aide de notre part, n'aurait pas été mal venue.
Présentement vous passer pour un br… qui veux que nous lui sortions une solution d'une boule de cristal. Nous ne refusons d'aider du moment qu'il y a un minimum de travail en amont chose qui manifestement absent de votre par.

Non cordialement.

Bonsoir,

Après plusieurs essais avec des versions différentes je soupçonne un problème de conf ou matériel avec mon port série, celui du boitier.

Il y a-t-il un moyen d'installer Pfsense sans port série ? Il me semble que l'on peut modifier le fichier .img pour attribué une interface par défaut, mais je ne trouve pas de tuto.

Merci d'avance.

En définitive, après avoir fouillé un peu partout,  j'ai vérifié l'UDP par un pfctl -st et l'udp first est réglé à 300 secondes. Je donne le détail du réglage :  System, Advanced, Firewall/NAT, Firewall Optimization Options est le suivant en mode conservative :

udp.first                  300s
udp.single                  150s
udp.multiple                900s

Il reste que mes téléphones MGCP continuent à décrocher, OVH a ouvert un ticket. Ca ne doit pas venir de pfsense, mais si cétait le cas, je ferais un retour sur ce message pour donner l'explication.

Comme dit (excellement) par ccnet, le schéma, s'il avait été fourni dès le post initial, aurait évité de partir dans de mauvaises suppositions.

Il est très clair qu'il faut 'tuer' votre Ipcop : pourquoi gérer 2 firewall différents alors que pfSense peut parfaitement gérer 3 réseaux internes (dont 1 DMZ) (ce dont est incapable Ipcop !).
Enfin le split-dns ou horizon est une astuce assez basique qui évite d'utiliser une bricole tel le 'NAT reflexion'.

Vous envisagez de mettre cela sur Pfsense ?
A titre d'information avec ce hardware( dl360 g5 - 2 CPU Xeon 3Ghz - cartes réseau Intel Pro 1000 ) j'obtiens des débits soutenus de plusieurs centaines de Mbits/sec.
Sur le plan fonctionnelle la richesse de Pfsense me semble suffisant sans rien à avoir à envier à des solutions propriétaires parfois très onéreuses.
Pas d'inquiétude sur la capacité de Pfsense à supporter des centaines d’utilisateurs.

Bonjour,

J'ai déjà essayé cette configuration mais cela n'empêche pas l'affichage de la page d'authentification, dans laquelle il faut laisser les cases vides et valider la page telle quelle.

J'ai pu reprendre aujourd'hui les tests et toutes les rules. Finalement, j'y suis arrivé : le problème venait de la régle floating. Sur cette régle, il y avait l'autorisation d'accès à l'imprimante, ca marchait plus ou moins bien et j'avais donc rajouté sur chaque vlan la régle autorisant l'accès à l'imprimante. J'ai lu sur un forum que l'utilisation de la régle floating pouvait poser des problèmes, je l'ai donc supprimé et j'ai bien vérifié qu'elle était bien sur chaque vlan. Et ca a marché. Merci pour l'aide.

merci baalserv 8)

Je pensé à çà, mais j'ai pas encore testé. Mais tu confirme ma pensé :P.

Quand j'aurai testé tout ça, je revendrai avec un feedback.

a ttes fins utiles pensez egalement a collecter un "faisceau de preuves", c est a dire, a chercher un dénominateur commun a toutes les machines qui posent pb

(réseau, segment, OS, etc etc)

=> en gros cherchez ce qui les rassemble, a part pf biensur

Bonjour à tous,

Hé oui, je me cramponne a mon topic !!!  :P

Mes derniers tests et ma conclusion : (j'ai été aidé car mes compétences on bien sur des limites … hélas)

J'ai fait des tests sur divers protocole, et il s'avère qu'ils ne réagissent pas de la meme facon :

Comme je vous l'ai dit plus haut, ICMP fait partit de ceux ci. Avec un ping, les paquets ICMP sortent bien par l'interface designée sur la règle ICMP du firewall 1 vers le firewall 2, arrive sur le site 2, arrivent à la machine destination, repartent et ... reprennent bien la route spécifiée dans la règle du PFSENSE du site 2 et arrivent enfin a destination en prenant le bon lien VPN de bout en bout ! (pour rappel, pour tout ce qui n'est pas ICMP, le retour se fait TOUJOURS SUR LA PASSERELLE PAR DEFAUT !).

ICMP -> couche 3 max du modele OSI -> pas de pas de FLAG TCP ACK !!!!

En fait : PFSENSE revoit sur l'interface par défaut TOUS LES PAQUETS ACK ! (lorsque qu'un packet traverse une règle PFSENSE et qu'il passe, il est tagué ACK par PFSENSE).

Donc nouvelle question aux utilisateurs avancés : comment résoudre mon problème sachant cela, sans monter une usine a gaz avec des règle flottantes et un proxy pfsense sur chaque site ...

J'espère que mon topic intéresse quelques personnes, car je trouve la solution que je cherche a mettre en place avantageuse ... et suis surpris que personne n'ai eu ce soucis avant moi ...

Oui je pense aussi qu'elle n'est pas adaptée au besoin . Je suis d'accord avec vous .
Merci encore pour les pistes précédemment données , je vais les exploiter