Besoin de conseils PFSense en redondance
-
Salut salut salut
je vais émettre une simple suggestion, qui doit ne rester que cela.
- si vous avez 2 pc en spare avec la possibilité de monter le cluster avec un total de 3 cartes une par segment (1 lan 1 wan 1 synchro)
- pour faire le test pas vraiment primordial d'avoir les cluster en direct sur la box , mais un sous réseau pour protéger un nouveau service tres sensible par exemble.
- y rajouter le services de vpn que vous voulez tester ainsi qu'un pc client derrière.
- ensuite faire les tests suivant
–- j'enleve le cable réseau sur la sone wan(externe du pf maitre) et regarde ce qu il se passe du coté pf esclave et coté vpn
--- je remet le cable en place sur le pf maitre
--- j'arrete le pf maitre
--- je remet en route le pf maitre
Je deconseile de le virtualiser car nous n'aurez pas forcement un visu sur le comportement du cluster.
Personnellement, je virtualise ce type de produit pour tester les versions avant une mise en prod sur des machines ayant déjà le produit, pour ne pas perturber les utilisateurs -
Merci Tatave pour votre suggestion, il faut y aller pas le choix :D
je vais monter un petit "laboratoire de test" pour voir ce que ça donne
-
Salut salut
Fait ton test et tiens nous au courant
-
pour revenir à mon problème à la source, en résumé: j'aimerais pouvoir basculer en cas de panne sur le firewall de secours, et sans avoir à régénérer tous les certificats OpenVPN pour les clients (j'en ai environ 50)
A mon avis, il y a dans la description de l'ébauche de solution quelque chose de biaisé :
Techniquement, il n'est pas nécessaire, pour que OpenVPN fonctionne, de dupliquer tous les certificats depuis le serveur initial vers le serveur de remplacement.
Seuls les certificats des services sont nécessaires. Les certificats clients sont installés…. coté client.Ce qui peut être souhaitable bien sûr, c'est de disposer d'une sauvegarde de ces certificats clients à titre de back-up mais cela n'a rien à voir avec les aspects "fail-over".
La sauvegarde de la configuration de pfSense génère un fichier XML qui, accessoirement ;) contient ces certificats (serveurs et clients). Mon point au dessus est là juste pour expliquer ce qui est, techniquement, important.
Du coup, avoir une machine de remplacement sur laquelle on a déjà restauré la configuration ou sur laquelle on restaure, au moment ou on en a besoin, la dernière configuration sauvegardée va répondre à ton besoin si le temps nécessaire au switch est acceptable.
-
Salut salut
Si l'on veut que cela soit transparent pour les utilisateurs, je dirais non. Pas de machine en spare qui n'est pas une copie stricte de la prod et à jour (os/certificats/plugin..)
Le HA est le plus pratique pour la transparence utilisateur, pas pour la partie administration / assistance / gestion réseau que l'on soit bien d'accord avec cela.
Autre réflexion, absence de l'admin ou disparition de ce dernier sans laisser de trace au moment où la machine non pf non HA lâche que faire ?
==> coupure de prod
==> perte d'exploitation
==> mécontentement des utilisateurs (passe encore, quoi que) mais de la direction qui cela fait plus mal pour le retour de baton.
==> retarde de livraison et ou pénalité.
=============> bref, je n'aimerais pas être celui qui dit ok on reste comme çà et puis on vera le jour où cela arriveraJe nuance au dela de l'aspect technique:
En fonction des budgets et des impératifs financier qui sont à prendre en compte quand on est à 1 euro près , mais sur une architecture comme sité multi site et multi client (fixe/mobile)- Les budgets de fonctionnement qu'il faudrait prévoir et optimiser. (si 1 ou 2 fai, consommation électrique, entretien défaillance…
- Les budgets de l'acquisition de bon matériel du départ sans partir dans les excès minimalistes ou de grandeur.
- Prendre en compte l'accroissement des besoins en ressources sur le couts, moyens, et long terme en fonction des postes/services
- Les budgets homme/jours en cas de coupure de services et les limites, la marge...
-
pour revenir à mon problème à la source, en résumé: j'aimerais pouvoir basculer en cas de panne sur le firewall de secours, et sans avoir à régénérer tous les certificats OpenVPN pour les clients (j'en ai environ 50)
A mon avis, il y a dans la description de l'ébauche de solution quelque chose de biaisé :
Techniquement, il n'est pas nécessaire, pour que OpenVPN fonctionne, de dupliquer tous les certificats depuis le serveur initial vers le serveur de remplacement.
Seuls les certificats des services sont nécessaires. Les certificats clients sont installés…. coté client.Ce qui peut être souhaitable bien sûr, c'est de disposer d'une sauvegarde de ces certificats clients à titre de back-up mais cela n'a rien à voir avec les aspects "fail-over".
A deux reprises j'ai tenté d'attirer l'attention de notre visiteur sur ce point. Il ne m'a jamais répondu. La question était pourquoi la copie des certificats ? J'imagine qu'il pense que ces copies sont indispensables au fonctionnement d'Openvpn.
Ne connaissant pas véritablement le fonctionnement des certificats, il est du coup à utiliser une solution non pas "moins secure" (nous n'aurions pas le bon mot en français ?) mais une solution complètement douteuse (PPTP) et à proscrire. PPTP disparait de la version 2.3. Raison de plus pour ne pas foncer dans une impasse.
Que de contradictions par manque de connaissance oui, mais surtout encore une fois faute d'avoir boen posé les besoins fonctionnels: bien mesurer le niveau de service comme il a été dit.
Inutile de gloser sur la fiabilité de Pfsense, elle est acquise pour les version 2.2.x.
Le risque de défaillance avec le FAI est au moins égal, si ce n'est plus fort, que celui du firewall, si il est bien choisi et bien mis en œuvre en ce qui concerne le matériel. -
Si l'on veut que cela soit transparent pour les utilisateurs, je dirais non. Pas de machine en spare qui n'est pas une copie stricte de la prod et à jour (os/certificats/plugin..)
Nous sommes d'accord :)
Un cluster rend le passage d'une machine à l'autre pratiquement transparent. Ce n'est pas le cas d'un remplacement de machine.Mon propos était juste de réagir au point de dgtehc qui dit "aujourd’hui j'ai une machine en spare et ça me va bien"
Avec pfSense et un back-up, tu fais exactement la même chose et, à condition que ta machine de spare soit raisonnablement identique, ça marche très bien.Le cluster bien maitrisé, c'est le top ;D mais il y a quand même une petite complexité supplémentaire, prix de la transparence.
-
Merci beaucoup à chris4916 et Tatave pour vos conseils !
Je vais répondre à Monsieur ccnet en essayant d'être courtois et sans utiliser de vocabulaire franglais: si j'étais un super administrateur je ne viendrai pas ici pour vous demander de l'aide. Vos discours sont toujours plein de reproche à chaque intervention avec tout le monde, et votre air supérieur est vraiment fatiguant et agaçant. N'oubliez pas le but d'un forum d'entraide
Merci encore aux autres membres qui sont fort sympathiques et compétents :)
-
Je suis assez nettement favorable à l'usage du français sur un forum français.
Je ne vous reproche pas de n'être pas un administrateur confirmé.Vous êtes très nombreux à avoir votre problème en tête, et donc les données qui s'y rattachent. Par contre il est souvent très difficile d’obtenir ces informations pour vous aider correctement. Lorsque j'ai demandé pourquoi vous teniez à avoir les copies des certificats sur Pfsense ( Je ne comprend pas en quoi cela peut être primordial. Quelle est la raison ?), je vous faisait crédit de la bonne compréhension du fonctionnement des certificats. C'était une vraie question. Vous n'avez pas jugé utile d'y répondre. Vous auriez dû. Vous auriez reçu les explications vous évitant de perdre du temps avec ce problème qui n'en est pas un.
N'oubliez pas, à votre tour, que pour être aidé sur un forum, comme vous ne manquez pas de le rappeler, il est nécessaire de disposer des éléments du problème posé. J'ai pour habitude de travailler avec méthode et précision pour éviter les déperditions. Libre à vous de travailler autrement.
Je vous trouve bien mal venu de vous plaindre compte tenu la quantité d'information que je vous ai fourni. J'ignore si vous avez lu les informations communiqué, tout y est. Le but d'un forum n'est pas de rabâcher sans cesse et aveuglément. Par ailleurs je ne crois pas vous avoir fais reproche de ne pas savoir quoi commander à votre fournisseur s'agissant des adresses ip. Je vous ai donner la réponse. -
Nota important à l'attention de 'dgtech' :
Le ccnet de ce forum est le même que celui de, feu, le forum Ixus (d'Ipcop) !
C'est à dire qu'il dispense ses conseils (judicieux), apporte son expertise (grande) depuis de très nombreuses années sur ces 2 forums (et avec un grand respect des débutants).Vous sollicitez des conseils (gratuits), et il vous répond (et forcément correctement).
Vous ne respectez pas le formulaire (que nous avions imposé sur Ixus).Et vous le dénigrez !?
Quelle ingratitude !
Franchement, c'est à décourager les meilleures volontés ..J'ose dire : qui êtes vous, pour vous autoriser cela ?
