Netgate Discussion Forum
    • Categories
    • Recent
    • Tags
    • Popular
    • Users
    • Search
    • Register
    • Login

    Livebox>Pfsense>LAN Configuration basique?

    Français
    4
    31
    10.3k
    Loading More Posts
    • Oldest to Newest
    • Newest to Oldest
    • Most Votes
    Reply
    • Reply as topic
    Log in to reply
    This topic has been deleted. Only users with topic management privileges can see it.
    • J
      jdh
      last edited by

      Attention à bien comprendre

      • une machine a besoin d'une adresse ip, d'un masque réseau, d'une passerelle et d'un dns

      => bien noter dans les schémas l'adresse et les réseaux :
      WAN pfsense : 192.168.1.10/24 (ou /255.255.255.0)    : NB préférer de fixer l'adresse plutôt que DHCP

      Une fois, un PC avec les 4 renseignements, il y a le test des 3 (4) pings :

      Pour le pc 'client' (192.168.2.10/24)

      • ping 192.168.2.1  (ping passerelle) OK oui/non
      • ping 192.168.1.1  (ping livebox) OK oui/non
      • ping 77.153.128.117    (ping sur @) OK oui/non
      • ping google.fr      (idem au dessus + résolution dns) OK oui/non

      Albert EINSTEIN : Si vous ne pouvez pas l'exprimer simplement, c'est que vous ne le comprenez pas assez bien. (If you can’t explain it simply, you don’t understand it well enough.)

      1 Reply Last reply Reply Quote 0
      • M
        moops
        last edited by

        Oui, je vais refaire le schéma pour écarter les doutes.

        le projet est de créé un sous-reseau autonome. La machine qui héberge PFsense est une machine de test en vue d'un déploiement.

        [ Livebox 192.168.1.1/24 DHCP]–------[Wan ipfixe 192.168.1.17/24 (DNS de la livebox)] – block default>firewall rules< Pass any --[ Lan 192.168.2.1/24 - Passerelle 192.168.2.1 DHCP range: 192.168.2.10>192.168.2.150]–--------------- [client 192.168.2.10/24]

        Comme conseillé, j'ai changé le Wan en dhcp par une ip fixe.

        Pour  la machine PFsense

        • ping 192.168.2.1  (ping passerelle) Oui
        • ping 192.168.1.1  (ping livebox) Oui
        • ping 77.153.128.117    (ping sur @) Oui
        • ping google.fr      (idem au dessus + résolution dns) Oui

        Tous les "pings" donnent une réponse positive sur la page de pfsense (web gui)

        Pour le pc 'client' (192.168.2.10/24)

        • ping 192.168.2.1  (ping passerelle) OUI
        • ping 192.168.1.1  (ping livebox) NON
        • ping 77.153.128.117    (ping sur @) NON
        • ping google.fr      (idem au dessus + résolution dns) NON

        Le problème est du coté du Lan donc… j'accède au web gui... Je sèche.

        1 Reply Last reply Reply Quote 0
        • J
          jdh
          last edited by

          Depuis pfsense, les ping 2, 3, 4 montrent que tout est bien (dans le sens pf->lb->internet).

          Depuis le pc du lan,

          • le ping 1 est normal
          • le ping 2 (échec) montre que pf bloque ou que le pc est mal configuré

          vérifier les règles de Firewall > Rules > onglet LAN
          vérifier la config du pc : ipconfig

          Albert EINSTEIN : Si vous ne pouvez pas l'exprimer simplement, c'est que vous ne le comprenez pas assez bien. (If you can’t explain it simply, you don’t understand it well enough.)

          1 Reply Last reply Reply Quote 0
          • M
            moops
            last edited by

            Merci, Voici le resultat ifconfig (machine client sous linux) : adr: 192.168.2.10 Bcast: 192.168.2.255 Masque 225.255.255.0

            informations de connexion de la carte auto eth0

            adresse ip                                    192.168.2.10
            adresse de broadcast                192.168.2.255
            masque de sous-réseau            255.255.255.0
            Route par défaut                        192.168.2.1
            DNS primaire                              192.168.2.1

            de ce coté, sauf erreur de ma part, tout me paraît normal.

            Pour les "rules" du firewall. Ce sont les règles par défaut.

            Firewall>rules>Lan

            1. pass > ||| LAN address| 80||*| Anti -Lockout Rule (celle la fonctionne, c'est l'accès au webgui)

            2 pass >  ipv4|Lan net||||| none| Default allow Lan ipv4 to any rule

            3 pass >  ipv6|Lan net||||| none| Default allow Lan ipv6 to any rule

            Est-ce que ces règles sont mal configurées?

            1 Reply Last reply Reply Quote 0
            • C
              chris4916
              last edited by

              @moops:

              Comme conseillé, j'ai changé le Wan en dhcp par une ip fixe.

              C'est une question de point de vue et d'habitude de gestion de son réseau, sans vraiment d'impact sur le fonctionnement.
              De mon coté, je mets tout ou presque en DHCP, sauf les serveurs DHCP et les gateway.

              Utiliser ping pour faire des tests nécessite une bonne compréhension de se qui se passe en terme de réseau et des règles de filtrage éventuelles à chaque niveau. Ping s'appuie par défaut sur ICMP. Tu peux donc très bien avoir une machine que tu va savoir joindre en HTTP (avec ton browser) qui ne répondra pas au ping.

              De ce que tu décris, l'interface LAN de la livebox répond au ping (exécuté depuis le WAN de pfSense) mais cette livebox ne connaît probablement pas de route vers 192.168.2.0/24  ;)

              EDIT: comment est configurée ton interface WAN sur pfSense en ce qui concerne les réseaux de la RFC1819 ?

              Jah Olela Wembo: Les mots se muent en maux quand ils indisposent, agressent ou blessent.

              1 Reply Last reply Reply Quote 0
              • M
                moops
                last edited by

                De ce que tu décris, l'interface LAN de la livebox répond au ping (exécuté depuis le WAN de pfSense) mais cette livebox ne connaît probablement pas de route vers 192.168.2.0/24

                Ce n'est le rôle de Pfsense de faire la route du Wan au Lan en mettant une protection entre les deux ? non? Ou je ne comprend plus rien.

                pour le WAN: Les options sont cochées pour les privates networks

                1 Reply Last reply Reply Quote 0
                • C
                  chris4916
                  last edited by

                  @moops:

                  pour le WAN: Les options sont cochées pour les privates networks

                  Tu as bien lu ça:

                  When set, this option blocks traffic from IP addresses that are reserved for private networks as per RFC 1918 (10/8, 172.16/12, 192.168/16) as well as loopback addresses (127/8).  You should generally leave this option turned on, unless your WAN network lies in such a private address space, too.

                  En gros, ça te dit que si cette option est cochée, l'interface WAN bloque tout ce qui vient de la RFC1819.
                  Bien sûr il faut savoir ce que ça signifie (et donc ce qui se cache derrière cette RFC  ;))
                  Pour faire simple, tout ce qui vient d'un réseau dit "privé" (et ton segment entre la LiveBOx et pfSense en fait partie puisque le plan d'adressage est une classe C comprise dans 192.168.0.0/16) est bloqué.

                  Pour faire des pings depuis la livebox vers le LAN, il faut décocher cette case  8)

                  Jah Olela Wembo: Les mots se muent en maux quand ils indisposent, agressent ou blessent.

                  1 Reply Last reply Reply Quote 0
                  • M
                    moops
                    last edited by

                    Ok, merci pour cette explication. j'apprends. décochée.

                    Cela veut dire que le Reseau Livebox et le sous reseau peuvent "ce voir"?

                    1.Ping de la livebox a WAN >NON
                    2.Ping de la livebox a 182.168.2.10 > From 80.10.127.110  icmp_seq=1 Packet filtered
                    2.Ping de la livebox a 182.168.2.1 > From 80.10.127.110  icmp_seq=1 Packet filtered

                    1 Reply Last reply Reply Quote 0
                    • J
                      jdh
                      last edited by

                      Le pc a

                      • ip 192.168.2.10
                      • masque 255.255.255.0 (ou /24)
                      • passerelle 192.168.2.1 = LAN de pfsense
                      • dns 192.168.2.1 = LAN de pfsense (sous réserve que DNS forwarder est actif.

                      Tout cela est correct.
                      Vérifier sur le dns est correct : nslookup google.fr [192.168.2.1]

                      Perso je supprimerais la règle ipv6 puisqu'il n'y a pas besoin actuellement d'ipv6.

                      Il est bien évident que la livebox (192.168.1.1/24 comme traditionnel) n'a CERTAINEMENT pas à connaitre de route vers 192.168.2.x/24 : pfsense nat le trafic sortant, donc totalement inutile !

                      Comme tout semble correct, il faut regarder le trafic en écoutant Diagnostic > Paquet capture.
                      Je commencerais pas de simples ping : bien observer les icmp request et icmp reply …

                      Evidemment il FAUT décocher 'private network' pour WAN : il a bien une adresse privée ainsi que la gateway/livebox.
                      Cette correction doit fonctionner ...

                      Albert EINSTEIN : Si vous ne pouvez pas l'exprimer simplement, c'est que vous ne le comprenez pas assez bien. (If you can’t explain it simply, you don’t understand it well enough.)

                      1 Reply Last reply Reply Quote 0
                      • C
                        chris4916
                        last edited by

                        @moops:

                        Cela veut dire que le Reseau Livebox et le sous reseau peuvent "ce voir"?

                        Je ne comprends pas bien le sens de ta question mais si tu veux dire "est-ce que des machines sur le réseau entre la livebox et pfSense peuvent communiquer avec des machines sur le LAN", la réponse est bien sur oui, sous certaines conditions.

                        1.Ping de la livebox a WAN >NON
                        2.Ping de la livebox a 182.168.2.10 > From 80.10.127.110  icmp_seq=1 Packet filtered
                        2.Ping de la livebox a 182.168.2.1 > From 80.10.127.110  icmp_seq=1 Packet filtered

                        Comme je l'ai écrit au dessus (même si ça fait bondir jdh  :)) la livebox ne connait pas la router vers le LAN qui est derrière pfSense.
                        Donc les tests que tu viens de faire ne peuvent pas marcher.

                        1.Ping de la livebox a WAN >NON

                        non bien sur si l'interface WAN de pfSense ne réponds pas aux ping ni autorise de session venant du WAN

                        2.Ping de la livebox a 182.168.2.10 > From 80.10.127.110  icmp_seq=1 Packet filtered
                        3.Ping de la livebox a 182.168.2.1 > From 80.10.127.110  icmp_seq=1 Packet filtered

                        J'imagine que tu voulais écrire 192 et pas 182.
                        Dans ce cas, la Livebox ne sais pas où aller (pas de router vers 192.168.2.0) et donc essaie de joindre ce réseau via internet.

                        Il n'est pas nécessaire, contrairement à ce qu'essaie de me faire dire jdh, de créer cette route…. sauf si tu te mets (inévitablement) à faire des tests "depuis la livebox vers le LAN"

                        si ta livebox arrive à contacter internet, que pfSense contacte la livebox et que tu autorise les adresses de la RFC1819, ça devrait fonctionner. mais pas forcément en ping dans tous les sens.
                        Le point de jdh sur le DNS est valide: assure toi que tu sais bien résoudre les fqdn.

                        Jah Olela Wembo: Les mots se muent en maux quand ils indisposent, agressent ou blessent.

                        1 Reply Last reply Reply Quote 0
                        • M
                          moops
                          last edited by

                          dns 192.168.2.1 = LAN de pfsense (sous réserve que DNS forwarder est actif.

                          enable DNS forwarder >actif

                          Vérifier sur le dns est correct : Dnslookup google.fr [192.168.2.1]

                          192.168.2.1

                          server 127.0.01
                          81.253.149.1
                          80.10.246.130

                          google.fr

                          173.194.40.120
                          173.194.40.119
                          173.194.40.111
                          173.194.40.127

                          Perso je supprimerais la règle ipv6 puisqu'il n'y a pas besoin actuellement d'ipv6.

                          C'est fait.

                          Le point de jdh sur le DNS est valide: assure toi que tu sais bien résoudre les fqdn.

                          Ce que je comprend c'est que le problème de ma config tourne peut être autour des DNS.

                          j'ai entré en Wan les dns de ma livebox et mis dns forwarder C'est correct?

                          1 Reply Last reply Reply Quote 0
                          • C
                            chris4916
                            last edited by

                            @moops:

                            j'ai entré en Wan les dns de ma livebox, cest correct?

                            Un des effets de bord de pfSense en manuel, c'est qu'il faut définir le DNS.
                            Tu peux utiliser au choix ta LiveBox ou un DNS publique comme DNS.
                            D'ailleurs ça fonctionne puisque tu peux résoudre les fqdn.

                            Une des difficultés, lorsque tu es confronté à un problème de ce type, c'est de ne pas te disperser dans tous les sens mais d'essayer au contraire de converger vers ce qui semble être la source du problème.

                            Donc pas la peine de te poser des questions à propos du DNS et de faire des changements autour de ce service si depuis le LAN tu peux résoudre des fqdn publiques.

                            Depuis le LAN, sais tu accéder à:
                            http://192.168.1.1
                            ?

                            Jah Olela Wembo: Les mots se muent en maux quand ils indisposent, agressent ou blessent.

                            1 Reply Last reply Reply Quote 0
                            • C
                              chris4916
                              last edited by

                              @moops:

                              C'est la que le newbie fait surface.fully qualified domain name j'ai du mal avec cette notion.Ce que je comprend c'est que le problème de ma config tourne autour des DNS.

                              Pardon. le fqdn, c'est le nom complet du service cible, c'est à dire le host (la partie gauche) suivi de l'arborescence du domaine auquel est attaché ce host.

                              Tu n'as pas de problèmes de DNS si, depuis ton client, "nslookup www.google.com" (par exemple) te renvoie une adresse IP valide.

                              Vérifie quand même les options de firewall de ta livebox (pas pour le DNS  8))  ;)

                              Jah Olela Wembo: Les mots se muent en maux quand ils indisposent, agressent ou blessent.

                              1 Reply Last reply Reply Quote 0
                              • J
                                jdh
                                last edited by

                                Concernant WAN, connecté à une Livebox, il y a 2 choix :

                                • dhcp, assez usuel mais suppose renouvellement de baux
                                • statique : il faut tout décrire : ip, masque, passerelle, dns (sachant que passerelle et dns se définisse ailleurs que l'interface)
                                  NB : pour le cas statique2, le dns à indiquer est la livebox et je supprimerai 127.0.0.1 apporté par dns forwarder actif

                                Il est clair que 'private network' doit être décoché pour chaque réseau privé : c'est le cas pour WAN et LAN.

                                J'avoue ne pas comprendre que les 3 pings depuis WAN (pfSense) aient pu fonctionner avec 'private network' actif …

                                Note aux lecteurs :
                                Chris4916 a indiqué (post #6) que la livebox devait avoir une route vers le LAN, ce qui est une belle sonnerie (avec un c) !
                                Il a corrigé son post pour masquer cela !
                                Mais des posts ultérieurs (#7 et #10) mentionne cette idée stupide ...

                                Albert EINSTEIN : Si vous ne pouvez pas l'exprimer simplement, c'est que vous ne le comprenez pas assez bien. (If you can’t explain it simply, you don’t understand it well enough.)

                                1 Reply Last reply Reply Quote 0
                                • M
                                  moops
                                  last edited by

                                  je me suis un peu perdu dans les test, mais maintenant c'est plus clair.

                                  client ok
                                  dns ok

                                  Depuis le Lan pas d'accès au 192.168.1.1 comme si la règle firewall est inopérante a travers les interface Lan>wan
                                  Du wan acces a 192.168.11

                                  NB : pour le cas statique2, le dns à indiquer est la livebox et je supprimerai 127.0.0.1 apporté par dns forwarder actif

                                  effectivement 127.0.0.1 apparait mais le dns forwarder est actif

                                  1 Reply Last reply Reply Quote 0
                                  • C
                                    chris4916
                                    last edited by

                                    @moops:

                                    Depuis le Lan pas d'accès au 192.168.1.1 comme si la règle firewall est inopérante a travers les interface Lan>wan
                                    Du wan acces a 192.168.11

                                    Il te faut être plus précis.
                                    "pas d'accès"  ? en faisant quoi ? ping ou http://192.168.1.1  ?  (car je suppose que tu veux écrire 192.168.1.1. et pas 192.168.1.1  :P)

                                    Si il y a, sur la livebox, un firewall qui empêche les accès depuis un réseau autre que 192.168.1.0/24, le comportement sera, depuis ton LAN, celui que tu décris. (je n'ai pas de livebox pour vérifier)

                                    Jah Olela Wembo: Les mots se muent en maux quand ils indisposent, agressent ou blessent.

                                    1 Reply Last reply Reply Quote 0
                                    • M
                                      moops
                                      last edited by

                                      Il te faut être plus précis. "pas d'accès"  ? en faisant quoi ? ping ou http://192.168.1.1  ?  (car je suppose que tu veux écrire 192.168.1.1. et pas 192.168.1.1  :P)

                                      test effectué plus tot.
                                      Pour  la machine PFsense

                                      • ping 192.168.2.1  (ping passerelle) Oui
                                      • ping 192.168.1.1  (ping livebox) Oui
                                      • ping 77.153.128.117    (ping sur @) Oui
                                      • ping google.fr      (idem au dessus + résolution dns) Oui

                                      Tous les "pings" donnent une réponse positive sur la page de pfsense (web gui)

                                      Pour le pc 'client' (192.168.2.10/24)

                                      • ping 192.168.2.1          (ping passerelle) OUI
                                      • ping 192.168.1.1          (ping livebox) NON et http non plus malgré  la regle pass >  ipv4|Lan net||||| none| Default allow Lan ipv4 to any rule
                                      • ping 77.153.128.117    (ping sur @) NON
                                      • ping google.fr                (idem au dessus + résolution dns) NON
                                      1 Reply Last reply Reply Quote 0
                                      • C
                                        chris4916
                                        last edited by

                                        @moops:

                                        j'ai réussi précédement avec Monowall. ce ne peut être cela

                                        Je ne partage pas cette conclusion (mais je comprends peut-être mal les tests que tu as réalisé) :

                                        • si ça fonctionne avec Monowall mais pas avec pfSense sans que tu changes rien coté Livebox, il y a dans ta conf pfSense un truc qui nous échappe.

                                        J'ai mis en place il y a quelques jours en remote une configuration assez similaire pour laquelle je n'ai rencontré aucun problème. J'essaie de me connecter dessus en remote pour voir si il y a un truc coté Livebox ou coté règles sur pfSense.

                                        Jah Olela Wembo: Les mots se muent en maux quand ils indisposent, agressent ou blessent.

                                        1 Reply Last reply Reply Quote 0
                                        • M
                                          moops
                                          last edited by

                                          je vais refaire pas à pas la procédure d'installation et de vérification.

                                          Merci de votre aide et de votre expertise, j'ai appris des choses.

                                          1 Reply Last reply Reply Quote 0
                                          • C
                                            chris4916
                                            last edited by

                                            Je réponds à mon propre post histoire de ne pas semer le doute dans l'esprit du lecteur  ;)

                                            Je suis allé voir la conf de la Livebox qui est derrière le pfSense que j'ai installé il y a peu :

                                            • le FW de la livebox, en mode personnalisé (puisque sur les autres modes, impossible de regarder le détail) n'a pas par défaut de règle qui empêcherait un réseau connecté au LAN d'accéder au WAN de la livebox.

                                            A ce stade, si ce n'est pas déjà fait, ça vaut probablement le coup de regarder le détail de ce qui se passe en termes de log au niveau de pfSense (log FW).

                                            Tu peux également, à titre de debug uniquement (ce n'est pas une proposition que je fais en tant que "solution", dès fois que le lecteur comprenne mal), désactiver dans les options "system / advanced / firewall/NAT) désactiver le firewall sans rien changer à tes règles.
                                            si ça fonctionne, ça te donnera la direction dans laquelle il faut approfondir les recherches.

                                            Jah Olela Wembo: Les mots se muent en maux quand ils indisposent, agressent ou blessent.

                                            1 Reply Last reply Reply Quote 0
                                            • First post
                                              Last post
                                            Copyright 2025 Rubicon Communications LLC (Netgate). All rights reserved.