Netgate Discussion Forum
    • Categories
    • Recent
    • Tags
    • Popular
    • Users
    • Search
    • Register
    • Login

    Traffic d'une IP non bloqué malgré règle firewall

    Français
    4
    19
    2.5k
    Loading More Posts
    • Oldest to Newest
    • Newest to Oldest
    • Most Votes
    Reply
    • Reply as topic
    Log in to reply
    This topic has been deleted. Only users with topic management privileges can see it.
    • J
      jdh
      last edited by

      Avec ccnet et tatave, tout est dit !

      Dans Firewall > Rules, il y a des onglets : ce n'est pas pour rien !
      D'où l'inutilité de la règle WAN (comme indiqué par ccnet) !

      Vous écrivez

      {LAN}
      /block/        IPv4 TCP/UDP    *    *    192.168.1.116    *    *    none        pompe a mort

      Ce n'est pas simple à lire !

      Vous pourriez écrire

      Onglet : LAN / Action : Block / Proto : ipv4 tcp/udp / Source : * / Port : * / Destination : 192.168.1.116 / Port : * / Gateway : * / Queue : * / Schedule : none / Description : pompe a mort

      Ce serait plus aisé à lire et … à trouver pourquoi cette règle est totalement inefficace (et ne correspond pas à ce qui est souhaité).

      L'informatique, en entreprise, est affaire de bonnes pratiques, mais avant tout d'expertise réseau minimale pour configurer dans le bon sens un firewall !

      AMHA il est probable (=prévisible) que cette règle devra être reprise par une vraie (et légale) solution : Squid !

      Albert EINSTEIN : Si vous ne pouvez pas l'exprimer simplement, c'est que vous ne le comprenez pas assez bien. (If you can’t explain it simply, you don’t understand it well enough.)

      1 Reply Last reply Reply Quote 0
      • TataveT
        Tatave
        last edited by

        Salut salut

        @jdh
        merci jdh pour ton retour ;o

        @all

        Dans un cas comme celui d'un débordement d'une mauvaise pratique d'un utilisateur.
        Il y a lieu de faire plusieurs choses

        • vers la direction les alerter de ces mauvaises pratique et de proposer un mise en place d'un sensibilisation des utilisateurs,
        • vers la direction leur proposer la mise en place de la solution évoquer par Jdh et Ccnet,
        • vers la direction leur proposer de plancher sur un charte de bonne conduite informatique en relation avec la RH le services Juridique, et les partenaires sociaux (ne pas les oublier si vous ne voulez pas avoir de plus gros soucis).
        • vers les utilisateurs les informer par la suite de la situation souvent une fois certain état de faites annoncés sur la place publique la personne non nommé en écoutant les collègues à la pause café à fini par changer de comportement. et bien insister sur le point que l'accès à internet est un outil pas un obligation. cela fait partie aussi de l'EDUCATION des utilisateurs.

        Après au vus des retours des différents intervenants, direction HR juridique partenaires sociaux, vous aurez ou pas plus de latitudes de mouvements.

        aider, bien sûre que oui
        assister, évidement non !!!

        donner à manger à un homme, ne lui permettra que de survivre qu'un temps.
        apprendre à un homme comment cuisiner, il sera vivre.

        1 Reply Last reply Reply Quote 0
        • M
          MatPoweR
          last edited by

          Bonjour,

          j’essaierai d'écrire les choses de façon plus lisible, notamment les règles FW
          la règle WAN est là car la LAN ne fonctionne pas et du coup, j'ai essayé une règle idiote en désespoir de cause.

          les IP sont fournies par le DHCP de pfsense,
          l'idée était simplement d'attribuer cette IP en fonction de l'adresse MAC

          maintenant, j'aimerais avoir une vraie piste sur mon problème que des débats autour de celui-ci
          merci pour toute votre aide.

          PS : RTFM + google c'est déja fait avant de venir ici …

          1 Reply Last reply Reply Quote 0
          • C
            ccnet
            last edited by

            @MatPoweR:

            les IP sont fournies par le DHCP de pfsense,
            l'idée était simplement d'attribuer cette IP en fonction de l'adresse MAC
            Il est trivial de changer d'adresse mac.

            maintenant, j'aimerais avoir une vraie piste sur mon problème que des débats autour de celui-ci
            merci pour toute votre aide.

            Quoi que vous en pensiez c'est ce qui a été fait. Et si, comme proposé, vous postiez votre règle dans un format lisible, ou une copie d'écran …

            PS : RTFM + google c'est déja fait avant de venir ici …

            Le résultat n'est pas probant.

            1 Reply Last reply Reply Quote 0
            • J
              jdh
              last edited by

              Nous vous avons apporté une réflexion, une méthode (une piste de méthode).
              A vous de chercher maintenant !

              Je dirais que votre mauvaise configuration vient du fait que vous ne semblez pas avoir compris ce qu'est une "session IP".
              Il est probable que vous direz, une fois bien configuré et testé, que votre erreur était assez grosse et bien visible.
              Il n'est pas dans nos habitudes de donner la réponse quand l'erreur est aussi flagrante ! Cela n'aurait pas de sens !

              Albert EINSTEIN : Si vous ne pouvez pas l'exprimer simplement, c'est que vous ne le comprenez pas assez bien. (If you can’t explain it simply, you don’t understand it well enough.)

              1 Reply Last reply Reply Quote 0
              • M
                MatPoweR
                last edited by

                Bonjour,

                voici la copie d'écran (la balise [ img ] n'affiche pas l'image :-/),
                http://n54i.imgup.net/pfsense-fw446b.png

                1 Reply Last reply Reply Quote 0
                • C
                  ccnet
                  last edited by

                  @MatPoweR:

                  voici la copie d'écran

                  Manque un clic ou deux surement.

                  1 Reply Last reply Reply Quote 0
                  • TataveT
                    Tatave
                    last edited by

                    Salut salut

                    En plus d'un certain énervement pâtant de parte et d'autre, je vous propose de remettre les chose à plat.

                    • un schéma du montage de votre pf.
                    • la ou les règles mise en place.
                    • votre but ou besoin.

                    /troll on /

                    • on retire le café, les clopes et les autres substances, on prend un tranxene et on respire.
                    • on relit les doc sur le web.
                    • on relit les pistes proposition deja faites s'en monter dans les tours.
                    • on prends le Pfsense guide et ou cookbook Pfsense on va faire un tour dans un parc et on revient avec tout ça.
                      /troll off /

                    Cordialement mode zen

                    aider, bien sûre que oui
                    assister, évidement non !!!

                    donner à manger à un homme, ne lui permettra que de survivre qu'un temps.
                    apprendre à un homme comment cuisiner, il sera vivre.

                    1 Reply Last reply Reply Quote 0
                    • M
                      MatPoweR
                      last edited by

                      @Tatave:

                      Salut salut

                      En plus d'un certain énervement pâtant de parte et d'autre, je vous propose de remettre les chose à plat.

                      • un schéma du montage de votre pf.
                      • la ou les règles mise en place.
                      • votre but ou besoin.

                      /troll on /

                      • on retire le café, les clopes et les autres substances, on prend un tranxene et on respire.
                      • on relit les doc sur le web.
                      • on relit les pistes proposition deja faites s'en monter dans les tours.
                      • on prends le Pfsense guide et ou cookbook Pfsense on va faire un tour dans un parc et on revient avec tout ça.
                        /troll off /

                      Cordialement mode zen

                      voici le schéma du pfsense :
                                                                  –--- user1
                      FAI ----- pfsense ----- switch ----- user2
                                                                  ----- user......

                      il fait également DHCP (192.168.1.50 --> .....200)
                      les DNS sont ceux du FAI et il gère un VPN IPsec

                      les règles du LAN sont dans l'image http://n54i.imgup.net/pfsense-fw446b.png

                      mon but est de pouvoir bloquer un utilisateur et surtout de comprendre pourquoi cela ne fonctionne pas

                      merci,

                      1 Reply Last reply Reply Quote 0
                      • J
                        jdh
                        last edited by

                        L'image est bonne : facile à lire.
                        (A défaut d'image, il faudrait utiliser ma notation … qui ne fait que reprendre les colonnes)

                        Votre règle n'est pas bonne : à vous de trouvez pourquoi, et c'est assez gros !
                        La logique serait de vous faire tout petit quand vous aurez trouvé votre erreur ...

                        Albert EINSTEIN : Si vous ne pouvez pas l'exprimer simplement, c'est que vous ne le comprenez pas assez bien. (If you can’t explain it simply, you don’t understand it well enough.)

                        1 Reply Last reply Reply Quote 0
                        • C
                          ccnet
                          last edited by

                          @MatPoweR:

                          surtout de comprendre pourquoi cela ne fonctionne pas

                          merci,

                          C'est assez évident à la vue de la copie d'écran. Vous avez vraiment lu la doc en diagonal et pas compris ce que vous avez lu. Quand on confond source et destination alors que l'utilisation de ces termes est parfaitement défini pour Pfsense …

                          1 Reply Last reply Reply Quote 0
                          • TataveT
                            Tatave
                            last edited by

                            Salut salut

                            Même moi qui en suis pas un expert, je trouve cette règle inapplicable à votre besoin

                            Des pistes

                            • qui fait quoi ?
                            • qui va ou ?
                            • qui passe par ou ?

                            Refaites vous un diagramme de processus de flux avec des fleches, cela m'aide personnellement à écrire mes règles de routage

                            Cordialement.

                            aider, bien sûre que oui
                            assister, évidement non !!!

                            donner à manger à un homme, ne lui permettra que de survivre qu'un temps.
                            apprendre à un homme comment cuisiner, il sera vivre.

                            1 Reply Last reply Reply Quote 0
                            • J
                              jdh
                              last edited by

                              Si, avec les 3 derniers posts, vous n'arrivez pas à corriger, c'est à désespérer …

                              Maintenant, on attend ... et comme l'erreur est énaauurme ...

                              Albert EINSTEIN : Si vous ne pouvez pas l'exprimer simplement, c'est que vous ne le comprenez pas assez bien. (If you can’t explain it simply, you don’t understand it well enough.)

                              1 Reply Last reply Reply Quote 0
                              • First post
                                Last post
                              Copyright 2025 Rubicon Communications LLC (Netgate). All rights reserved.