[fin d'étude] Problème sous PFsense 2.0

[gregober]

Il faudrait être un peu plus précis… 
Au moins un extrait des sections essentielles :

• Statistiques sur les interfaces
• Table de routage
• Et les logs…

Sinon le diagnostique va être pour le moins ardu !

[chocoboss]

Ok, je vais finir de tous configurer et je vous ferai parvenir les log et autres.

[jdh]

Le schéma, l'objectif, les paramétrages, des infos hardware …

Puis passer un peu de temps pour améliorer l'orthographe, là c'est décourageant !

[chocoboss]

Je suis désoler pour mon orthographe, mais si j'ai choisi la filière réseau et télécom, c'est pas pour faire du français.

Bref, avec mon responsable de stage, nous avons essayer de cerner le problème, nous avons upgrade sous la version RC2, mais nous avons toujours les mêmes soucis.

Le problème ne viens pas de la configuration, sa c'est une certitude.
Ainsi voila ce qu'il se passe :
Au bout d'un temps plus ou moins aléatoire ( variant de 30min a 1H ), notre pfsense se déconnecte de la box ( il garde son ip et son masque, mais ils ne communiquent plus ensemble ).

Une des solutions pour palier a ce problème est de restarts les interfaces ( etc/rc.reload_interfaces ) mais bon sa ne change pas le fait que les 2 finissent par ce perdre de vu.

Pour le moment, j'ai diminuer la taille des MTU pour voir si sa ne viens pas de la ( ce qui serai étonnant, la box es directement relié au pfsense via un RJ45 de 20m de long )

Bon si mon serveur passe l'après midi ( ce qui serai étonnant la encore ), on va le tester en grandeur nature ( j'espère que sa va marcher sinon sa va gueuler au lycée ^^ )

Pour ce qui es de la configuration voila sur quoi nous travaillons :
Dell poweredge 1800
dell optiplexe 330

et hop 1 décrochage de plus, voila une partie de ma configuration :

Bon je pense que le soucis au niveau du portail captif es normale vu qu'on en a pas configurer pour le moment.

[jdh]

Le français, c'est utile pour décrire son problème et surtout de pas induire d'ambiguïtés !
C'est donc essentiel et particulièrement nécessaire.
(NB : J'ai recruté et si j'ai à choisir entre 2 techniciens, je choisirais celui qui maitrise la langue !)

Face à un problème, il n'y a AUCUNE certitude à avoir : TOUT doit être testé !

• Un câble de 20m : est-il industriel ou a-t-il été fabriqué ? que se passe-t-il avec un autre câble ?
• Version 2.0RC2 : pourquoi ? (la version stable est 1.2.3) En avez vous STRICTEMENT besoin ? que se passe-t-il avec la version 1.2.3 ?

De toute façon, je m'arrête là, car j'ai posé des questions, et il n'y a aucune volonté de décrire …

[chocoboss]

@jdh:

• Un câble de 20m : est-il industriel ou a-t-il été fabriqué ? que se passe-t-il avec un autre câble ?
• Version 2.0RC2 : pourquoi ? (la version stable est 1.2.3) En avez vous STRICTEMENT besoin ? que se passe-t-il avec la version 1.2.3 ?

-Câble industriel sans défaut visible, nous avons fait les teste avec un câble fait main, et le résultat es la même …
-Version RC2, tout simplement car dans le cadre de ce projet, l'architecture des différents lycée doit être la même, ainsi la plus part étant passer a PFsense 2.0RC, nous nous devons de faire la même chose.

bon je ferai une liste détailler de ce qui es fait ce soir, promis, merci Jdh :)

[ccnet]

Je suis désoler pour mon orthographe, mais si j'ai choisi la filière réseau et télécom, c'est pas pour faire du français.

Curieux raisonnement. Deux système ont besoin d'un protocole pour communiquer. Si le protocole n'est pas respecté la communication cesse. Ici nous avons aussi besoin d'un protocole: parler la même langue. Or ici c'est parfois à la limite du compréhensible. Sans parler du caractère pénible de la lecture.

Le problème ne viens pas de la configuration, sa c'est une certitude.

Quels sont les éléments objectifs pour valider cette certitude ? Aucun ici. Je dirai que la seule certitude c'est un problème de configuration. J'ai installé tant de Pfsense dans des configurations variées toujours avec succès qu'il m'est difficile de partager votre point de vue.
Et comme depuis le début vous ne communiquez pas les informations techniques de base sur la configuration, pour reprendre une réponse précédente : ça va être ardu !
Première et probablement dernière réponse sur ce post en ce qui me concerne.

[chocoboss]

bon petit soucis interne, voila le systeme.log juste avant un crash :

May 17 14:10:51 pfsense check_reload_status: syncing firewall
May 17 14:10:52 pfsense check_reload_status: syncing firewall
May 17 14:10:57 pfsense check_reload_status: syncing firewall
May 17 14:11:07 pfsense check_reload_status: syncing firewall
May 17 14:11:08 pfsense php: /pkg_edit.php: Reloading Squid for configuration sync
May 17 14:11:08 pfsense check_reload_status: reloading filter
May 17 14:13:42 pfsense kernel: arp: 00:1e:c9:bb:f6:18 is using my IP address 192.168.1.3 on em0!
May 17 14:13:53 pfsense apinger: ALARM: WANGW(192.168.1.1)  *** down ***
May 17 14:14:03 pfsense check_reload_status: reloading filter
May 17 14:18:16 pfsense check_reload_status: syncing firewall

Oui, du coup, je crois que vous avez raison et que cela viens en effet de ma configuration. pourtant, je ne bloque rien en LAN et en WAN
coté LAN

coté WAN

gateway

routage statique

mon port forwading

Le configuration des port wan et lan est en statique,
WAN : 192.168.1.3 GW 192.168.1.1
LAN 172.17.254.251

c'est tout ce qui es rentré dans le pfsense pour le moment, j'y ai juste ajouter squide guard et filtré les site porno en plus ^^

[ccnet]

Il serait intéressant de voir la configuration de l'interface WAN.
Dans votre cas il faut commencer par simplifier parce que la configuration initiale basique ne semble pas avoir été validée. Pour simplifier une seule règle sur wan (dangereuse certes) : remplacer sur la première règle destination par any. Désactivez la seconde règle (d'ailleurs je ne comprend pas à quoi elle sert).

Autres questions :
Image d'installation Pfsense récente ?
Installation fraiche ou upgrade ?
Tests possibles en supprimant toutes les routes et gateway ajoutées ?
Paramétrage du boitier Neufbox ?

[chocoboss]

merci pour ta réponse ccnet, je vais modifier mon interface WAN demain pour voir ce qu'il en est.

Image d'installation Pfsense récente ?
-> je l'ai réinstaller ce matin même

Installation fraiche ou upgrade ?
-> installation fraiche, le but du projet est de remplacer ipcop par pfsense

Tests possibles en supprimant toutes les routes et gateway ajoutées ?
-> en cour de réalisation par mon maitre de stage ( je te communique les résultat demain )

Paramétrage du boitier Neufbox ?
-> mode routeur/DHCP activer ( cependant mon maitre de stage tien a ce que l'ip de pfsense soit en statique )

[ccnet]

mode routeur/DHCP activer ( cependant mon maitre de stage tien a ce que l'ip de pfsense soit en statique )

Pas impossible que le lien tombe juste à cause de cela. Je conseillerai de tester avec Wan en DHCP.

[chocoboss]

En effet, il semblerai que cela vienne de là, merci pour ton aide CCNET :)

Maintenant le serveur tourne correctement, mais j'ai un autre soucis, j'ai ajouter des IP dans la section unrestricted IPs afin qu'elles ne soient pas filtrés. Le soucis c'est qu'elles sont quand même filtrés, j'ai regardé dans la squidguard_conf.conf.xml et rien ne mentionne une catégorie unrestricted IP, il en est de même pour squidguard.conf, j'ai penser modifier les fichiers a la main pour ajouter le unrestricted ip, mais j'ai peur de ne pas y arriver ( le serveur est actuellement en production )

Donc si tu as une idée pour palier à ce problème, merci de me le faire savoir.

squidGuard.conf
squidguard_conf.xml
unrestricted_hosts.acl

[ccnet]

Une remarque d'ordre général. Le proxy n'a rien à faire sur le firewall. Cette configuration est tolérable pour des structures ne dépassant pas une dizaine d'utilisateurs. Ce point a été développé mainte fois ici et sur Ixus.

Ensuite comme je n'ai pas vu les messages d'erreurs impossible de dire si le rejet vient de Squid ou Squidguard.

Par ailleurs la section du forum consacrée à Pfsense V2 RC1 utilisé comporte plusieurs posts sur les problèmes qui existent encore avec Squid + Squidguard.