Problème d'accès LAN depuis WLAN
-
Salut ccnet,
Ok avec toi pour la deuxième règle, c'est seulement pour voir quel port utilise tous mes protocole entre mon PC et le NAS (j'ai certain doute avec SAMBA). C'est donc pour des essais actuellement.
Malgré cette passoire je ne reçois rien.
Pour les NAT, je n'ai rien configuré. Une piste?Merci
Meirick
-
Oui, les bases, la doc !! Comme cela ne vous parle pas, je comprend que les bases ne soit pas acquises. Il est urgent de consulter http://irp.nain-t.net/doku.php/130netfilter:040_nat. Au minimum. D'autres articles du site sont peut être à lire si certaines choses ne sont pas claires pour vous.
Utiliser, j’entends administrer un firewall, sans la connaissance précise de ces concepts reste un exercice d'une dangerosité extrême. -
Salut ccnet,
Merci pour ce lien, t'as raison je ne pense pas maitriser tout.
Je vais lire ton lien + doc pfsense et reviens vers toi si j'ai un problème.Merci
Meirick
-
Salut,
J'ai regardé le lien fourni par ccnet, et je ne vois toujours pas ce que je dois faire. C'est surtout je ne comprend pas pourquoi je dois modifier quelque chose pour accéder à la page web de FreeNAs, alors qu'avec ma config actuelle, j’accède normalement au web.
Si quelqu'un pourrait m'éclaire,r ce serait sympa.Merci d'avance
Meirick
-
Vous n'avez pas lu la doc de Pfsense ?
Basiquement pour accéder à une ressource interne (ou en dmz) depuis l'interface Wan, celle qui est en principe connecté à internet, il faut, par défaut, mettre en place un transfert de port. On le fait depuis l'interface depuis Firewall: NAT: Port Forward. Pfsense vous proposera de créer automatique la règle nécessaire sur Wan.
Exemple type, on vent accéder un serveur Web depuis internet à l'adresse (fictive) 213.45.19.2. Derrière le firewall ce serveur est à l'ip 172.16.1.1 (par exemple). On mettra donc en place une translation de 213.45.19.2 vers 172.16.1.1 pour le port TCP 80, et d'autres si besoin.
Dans Pfsense basiquement tout ce qui passe par l'interface Wan est translaté dynamiquement en sortie et selon les règles de nat en entrée. -
Bonjour,
Dans un premier temps on va essayer de faire simple, j'essaie uniquement d’accéder à la page web de FreeNAs, en HTTP.
J'ai donc créer une adresse virtuelle 10.0.1.4 de type Proxy ARP.
Ensuite j'ai créer une règle NAT Port forwardIf Proto Src. addr Src. ports Dest. addr Dest. ports NAT IP NAT Ports Description
WLAN TCP * * 10.0.1.4 80 (HTTP) NAS 80 (HTTP)NAS est un alias qui comprend l'adresse réel de mon NAS.
Cette règle a bien créé automatiquement une règle dans le firewall WLAN, qui autorise les accès vers l'adresse NAS protocol HTTP. J'ai logué cette règle.Quand j’essaie d'accéder à l'adresse 10.0.1.4:80, je n'ai toujours rien (mon navigateur m'indique "Le serveur à l'adresse 10.0.1.4 met trop de temps à répondre.")
Dans les logues, je vois bien autorisé l’accès à mon NAS.Ou peut être mon erreur? Est ce que je m'y suis bien pris?
Merci
Meirick
-
"Pourquoi faire simple quand on peut faire compliqué !"
Pour quelle raison créez vous une adresse virtuelle ?
Comment testez vous la règle NAT que vous venez de créer : notamment où est le micro source ?
(usuellement une règle NAT s'applique à l'interface WAN puisque dans le sens sortant vers WAN on masque l'ip interne, il faut bien un "truc" spécial pour que WAN accède à un serveur interne =en DMZ)Si le problème correspond au sujet "accès LAN depuis WLAN", ce n'est bien sur pas une règle NAT qui convient mais juste une règle Rules !
Selon toute vraisemblance, vous ne semblez pas comprendre l'ESSENTIEL : quel est le sens du flux (pour créer la bonne règle Rules ou NAT qui convient) ?
En sus, bien évidemment, de quel est le protocole ? -
Salut,
Je n'ai jamais parlé du WAN car c'est pas de la que je veux accéder au NAS, seulement d'un réseau interne que j'ai appelé WLAN.
Je joins un plan de mon réseau pour mieux comprendre.
C'est donc uniquement entre deux réseaux internse que je veux communiquer, mais je n'y arrive pas.
Je joins également mes régles du pare feu pour être plus clair
Merci de vos aides
-
Le trafic voulu est dans le sens PC vers NAS.
Donc, il faut une règle Rules / onglet WLAN puisque PC est dans la zone WLAN.
La règle 1 de Rules / onglet WLAN est sensé correspondre au trafic voulu (à ceci près : elle ne précise aucun protocole TCP !)
Il serait bon d'être précis dans les protocoles …
Par exemple, il serait juste de créer une règle pour ICMP/8 qui permettrait de pinger le NAS depuis PC !Maintenant, il faut s'assurer que PC tente bien d'atteindre NAS. Par exemple avec la bonne ip !
tcpdump (en ligne de commande sur pfSense) me parait l'outil idéal pour vérifier que le flux passe bien (en jouant sur l'interface par -i) !(Je suppose que les réglages ip de chaque matériel sont corrects : adresse ip, masque, passerelle, serveur dns.
Cela est quand même à vérifier) -
Salut,
Pour les alias, ils sont ok car je les ai vérifiés plusieurs fois. J'arrive à surfer sur le net et recevoir/envoyer des mail. Il n'y as que l’accès au NAS que pose problème.
J'ai branché mon NAS sur WLAN, pour pouvoir vérifié si je n'avait des limitation d’accès qui serait resté. Je n'ai rien trouvé, donc mon NAS accepte toute les connexion en principe. En même temps je l'ai pingé de mon PC, c'est OK. Pour finir je l'ai remis sur LAN car pour moi il est OK.
Pour les serveur DNS, j’utilisai ceux de OpenDNS. Je suis revenue à la configuration d'origine, toujours NOK
J'ai activé une règle sur WLAN autorisant les ping vers NAS, comme tu l'as suggéré jdh, mais impossible de pingé le NAS depuis mon PC. Pourtant sur les log je vois bien que le pare feu accepte bien le flux ICMP de PC vers NAS.
Sur le shell de pfsense, j'arrive a pingé mon NAS.
Toujours sur le shell, j'ai activé tcpdump, dont voici les résultats après une tentative d’accès au NAS (em1 c'est l'interface sur lequel est branché mon NAS)[2.0.1-RELEASE][admin@pfSense.localdomain]/root(7): ping -c5 10.0.2.4 PING 10.0.2.4 (10.0.2.4): 56 data bytes 64 bytes from 10.0.2.4: icmp_seq=0 ttl=64 time=0.112 ms 64 bytes from 10.0.2.4: icmp_seq=1 ttl=64 time=0.070 ms 64 bytes from 10.0.2.4: icmp_seq=2 ttl=64 time=0.069 ms 64 bytes from 10.0.2.4: icmp_seq=3 ttl=64 time=0.067 ms 64 bytes from 10.0.2.4: icmp_seq=4 ttl=64 time=0.069 ms --- 10.0.2.4 ping statistics --- 5 packets transmitted, 5 packets received, 0.0% packet loss round-trip min/avg/max/stddev = 0.067/0.077/0.112/0.017 ms [2.0.1-RELEASE][admin@pfSense.localdomain]/root(6): tcpdump -i em1 tcpdump: verbose output suppressed, use -v or -vv for full protocol decode listening on em1, link-type EN10MB (Ethernet), capture size 96 bytes 11:35:47.740006 IP 10.0.1.10.52987 > 10.0.2.4.http: Flags [s], seq 2225295860, win 8192, options [mss 1460,nop,wscale 2,nop,nop,sackOK], length 0 11:35:47.991844 IP 10.0.1.10.52988 > 10.0.2.4.http: Flags [s], seq 2847026302, win 8192, options [mss 1460,nop,wscale 2,nop,nop,sackOK], length 0 11:35:50.748492 IP 10.0.1.10.52987 > 10.0.2.4.http: Flags [s], seq 2225295860, win 8192, options [mss 1460,nop,wscale 2,nop,nop,sackOK], length 0 11:35:50.999122 IP 10.0.1.10.52988 > 10.0.2.4.http: Flags [s], seq 2847026302, win 8192, options [mss 1460,nop,wscale 2,nop,nop,sackOK], length 0 11:35:56.749816 IP 10.0.1.10.52987 > 10.0.2.4.http: Flags [s], seq 2225295860, win 8192, options [mss 1460,nop,nop,sackOK], length 0 11:35:56.999870 IP 10.0.1.10.52988 > 10.0.2.4.http: Flags [s], seq 2847026302, win 8192, options [mss 1460,nop,nop,sackOK], length 0 11:36:09.008249 IP 10.0.1.10.52990 > 10.0.2.4.http: Flags [s], seq 4286980715, win 8192, options [mss 1460,nop,wscale 2,nop,nop,sackOK], length 0 11:36:12.017080 IP 10.0.1.10.52990 > 10.0.2.4.http: Flags [s], seq 4286980715, win 8192, options [mss 1460,nop,wscale 2,nop,nop,sackOK], length 0 11:36:18.019186 IP 10.0.1.10.52990 > 10.0.2.4.http: Flags [s], seq 4286980715, win 8192, options [mss 1460,nop,nop,sackOK], length 0 ^C 9 packets captured 9 packets received by filter 0 packets dropped by kernel Tous cela me semble correcte. J'ai également essayer de laisser tous passer depuis LAN, même résultat. J'ai donc remis la règles qui rejette tout venant de LAN. Merci de vos aides. Meirick [/s][/s][/s][/s][/s][/s][/s][/s][/s] -
IP 10.0.1.10.52987 > 10.0.2.4.http: Flags ~~ça c'est bon … mais seulement si c'est sur l'interface LAN ! (em1 est-il bien l'interface LAN ?)
Mais on voit qu'il n'y a pas le paquet retour :
- Syn ->
- <- Syn+Ack
- Ack ->
(cf TCP hand shake)
Etes vous parfaitement sûr de la config ip du NAS ? (adresse, masque, gateway, dns)
Etes vous parfaitement sur de chaque config du pfSense (surtout le masque) ?On est dans le détail ! Là est le diable !~~
-
Salut jdh,
Pour les adresse ip, oui je suis sûr. Tu peux même constater que j'arrive à pingé 10.0.2.4 depuis le shell de pfsense. Par contre pour les autres infos (masque, gateway, dns) je n'ai rien configuré de spéciale. J'ai procédé de la suite.
pfsense
interfaces -> opt1 : je l'ai renommé LAN, puis tpe Static, IP adress 10.0.2.1/29
Sercices -> DHCP Server onglet LAN : j'ai activé le serveur DHCP
Connaissant l'adresse MAC de mon NAS je lui ai réservé l'adresse 10.0.2.4Freenas
sur son shell, j'ai lancé la configuration automatique de l'adresse IP. Il m'a répondu qu'il est accessible sur HTTP:\10.0.2.4:80 normale.Voilà tout. je vais essayer d'avoir les infos manquantes (un peu de manipulation d'écran, car actuellement il est sans écran et sans clavier).
Meirick
-
Opt1 renommé en LAN ? C'est opt1 qui aurait du être renommé en WLAN !
Il doit y avoir quelque chose à regarder du côté de NAT …
Tout cela sent l'impréparation !
Il faut faire SIMPLE :- LAN n'a pas à être renommée puisque LAN va réellement exister
- Opt1 (relié au routeur wifi) aurait du être renommé en WIFI (WLAN peut être confondu)
Je préconise la réinstall depuis la base : c'est pas long de créer des règles ...
-
Salut,
Ok je vais refaire ma config en laissant le LAN à sa place et je renommerais OPT1 en WLAN.
Je pensais que ce que je faisais été possible, car LAN, WLAN sont pour moi que des étiquettes.Penses-tu également que cela peut provenir d'un problème de carte réseau (actuellement Intel 82567LM Gigabit intégrée à la carte mère pour le LAN, Intel PRO/1000 CT en PCI Express pour l’OPT1, et une D-Link DGE-530T en PCI pour le WAN). Dans Status -> Interfaces, je n'ai aucune collision ou erreur d'indiqués.
Meirick
-
Salut tous le monde,
Problème résolu.
J'ai donc suivi le conseil de jdh pour une réinstallation propre, et plus même. Je m'explique.
Réinitialisation de pfsense en config d'origine + attribution de interface réseau. Pas de changement par rapport à ma première config.
Par doute, j'ai contrôlé le branchement de mes cartes réseau. J'ai peu constater que ma carte fille Intel PRO/1000 CT en PCI Express n'était pas enfiché complétement et qu'il manquait 1mm. J'ai joué sur les vis entre la carte et le bracket low profil pour que ce soit OK. Pour info c'est sur cette carte qu'était et est encore branché mon NAS.
Redémarrage, reconfig comme initialement, à l'exception des noms des interfaces. LAN est resté LAN et OPT1 se nome maintenant LAN2.
Mes règles pare feu sont comme celles indiquées précédemment, et maintenant j'accède à mon NAS sans problème.Je ne sait pas dire avec certitude d’où venait mon problème, mais maintenant tout est OK.
Merci à ccnet et jdh pour le temps qu'ils m'ont consacré.
A+
Meirick