Problèmes de routes

[baalserv]

Bonjour,

Je rejoind Talwyn, c'est assez peut clair ^^

SI je comprend bien, vous avez 2 pf et 2 wan sur le batiment 2.

Si serveur2 avait 10.20.10.3 en gateway alors pas besoin de routes, mais serveur 2 à comme gateway 10.20.10.2
Donc pas la bonne GW par défaut (doit y avoir une raison ?) donc 2 solutions
1/ route statique sur serveur 2 pour 10.20.128.0/24 via 10.20.10.3
2/ route statique sur Pf3 pour 10.20.128.0/24 via 10.20.10.3

ou alors j'ai rien pigé ^^ :)

[Malagan]

pfsense1 se trouve dans le bâtiment 1.
pfsense2 se trouve dans le bâtiment 2.
pfsense3 se trouve dans le bâtiment 2.
le bâtiment 2 possède 2 connexions internet (WAN1 et WAN2).
le bâtiment 1 se situe à plusieurs kilomètres et a sa propre connexion internet. La quelle est utilisée pour créer un tunnel VPN entre les deux bâtiments.
Les serveurs/clients du bâtiment 2 utilisent la connexion internet WAN 2 comme accès à l'internet.
Les commutateur réseau sont bien des "switches".

Serveur1 et serveur2 sont des exemples car chaque bâtiment à plusieurs serveurs et clients.

Je ne changerai pas les passerelles des serveurs/clients car le problème n'est pas là à mon avis considérant que l'ancien routeur WatchGuard fonctionne dans cet environnement, mais pas le pfSense3.

P.S. : client = postes de travails et autres équipements réseau.

[baalserv]

Donc j'avais bien compris  ;)

Ajouter une  route statique sur Pf3 pour 10.20.128.0/24 via 10.20.10.3

[Malagan]

La route est déjà là…

Malheureusement, seul les pings et traceroute fonctionne...

Là est le problème...

[baalserv]

Avez vous essayer en changeant la GW d'un poste, juste pour test ?

EDIT : Peut être un problème de règles de FW, postez nous vos règles des interfaces lan et Ipsec des pf 1 et 2 svp

[Malagan]

Oui, ce faisant tout fonctionne, mais le trafic internet de ce poste passe par le mauvais routeur.

Et comme je disais, avec l'ancien routeur tout fonctionne…

[baalserv]

ok, autre test : remettre la GW d'origine et mettre une route sur le poste simplement ?

Une raison spéciale pour avoir 2 pf avec chacun 1 wan, plutôt que 1 pf avec 2 wan ?

[Malagan]

En ajoutant la route, tout fonctionne…

Je ne peux malheureusement pas utiliser cette solution car certains équipements n'ont pas la notion de "routes"...

La raison étant que chaque bâtiment gèrent chacun leur réseau et que lorsque cela a été mis en place, c'était la seule façon de fonctionner à des coûts raisonnables dans le temps.

Les pfsense1 et pfsense2 remplacent les anciens équipements aujourd'hui, mais sont des "appliances" Netgate en version 2.0.3 je crois. Ces derniers appartiennent au bâtiment 1 et je n'ai aucun accès.

pfSense3 est en version 2.1 sur une "machine" que j'ai assemblé.

Je joint les règles du LAN dans le pfsense3.

[baalserv]

@Malagan:

La route est déjà là…

SI votre route est la ligne juste en dessous de l'anti-lockout rule, alors ce n'est pas bon ! (ne n'est pas une route)

Avez vous mis une route dans : Menu SYSTEM | Routing puis onglet ''Routes'' ?

EDIT : cf doc : https://doc.pfsense.org/index.php/Static_Routes

[Malagan]

Non, cette ligne est un règle inspirée ce post:
https://forum.pfsense.org/index.php/topic,66776.60.html

J'ai bien une route définie dans System - > routing

J'ai essayé aussi de Mettre l'option "Bypass firewall rules for traffic on the same interface" dans "System: Advanced: Firewall and NAT" mais rien n'y change…

[Malagan]

Bon, Voici un petit test que j'ai effectué:

J'ai vraiment l'impression que e problème viens du pare-feu…

Ping, Traceroute ainsi que HTTP/HTTPS fonctionne, mais pas le reste...

Je viens de tester les services web du bâtiment 2 vers le bâtiment 1; les services web sont accessibles et répondent.

Donc, ma route est bonne.

Il doit me manquer une règle précise à mettre dans le pare-feu afin que el trafic passe sous tous les protocoles...

[baalserv]

Bonjour,

J'ai trouver une option qui m'avait échapper, regarde si ça t'aide.

Dans system | Advanced | firewall/nat :

Static route filtering Bypass firewall rules for traffic on the same interface
This option only applies if you have defined one or more static routes. If it is enabled, traffic that enters and leaves through the same interface will not be checked by the firewall. This may be desirable in some situations where multiple subnets are connected to the same interface.

cordialement