Problème Freebox HD

mirsa

Bonjour,
voici mon ancienne configuration qui fonctionne, Internet, Téléphone, TV sur Freebox HD, Freebox Replay …
Internet--->Freebox Srv--->Asus RT-AC68U--->Wifi
|
--->Esx
|
--->Switch TL SG108E--->port 8 Tag Vlan 100--->Freebox HD
|
--->port 1-7 untag ---> Nas, Tv, Xbox

à fin d'améliorer cette infra sur le point sécurité et surtout affiner mon controle parentale, j'ai décidé de rajouter une brique Pfsense comme suit :

Internet--->Freebox Srv--->Pfsense(VM)--->Asus RT-AC68U--->Wifi
|
--->Esx
|
--->Switch TL SG108E--->port 8 Tag Vlan 100--->Freebox HD
|
--->port 1-7 untag ---> Nas, Tv, Xbox

Création d'un vlan 100 sur l'interface Lan de Pfsense
Création d'un vlan 100 sur l'interface Wan de Pfsense
Création d'un bridge avec ces 2 nouvelles interfaces
Assigner une IP fixe au bridge 192.168.27.100/24
Activation du dhcp dans le bridge
Création des règles FW autorisant tous le trafic entre l'interface vlan 100 lan et l'interface vlan 100wan
Internet fonctionne partout mais malheureusement, ia Freebox HD n'arrive pas a se synchroniser.
merci par avance pour votre aide.

ccnet

Bien compliquée votre affaire !
L'architecture envisagée n’améliore pratiquement pas la sécurité. Pfsense devrait comporter, en plus de Wan, une interface pour le réseau filaire et une autre pour le wifi.
Vous pouvez connecter directement par un câble Ethernet la box HD à la box "serveur". Le tout est hors de votre réseau ce qui est un avantage vis à vis d'un équipement non maitrisé. Vous ne vous embêtez pas avec la vlan 100 et toute l'usine à gaz envisagée initialement.

mirsa

Merci pour votre réponse,
J'ai oublié de mentionner que le Freebox Srv, le Pfsense ainsi que le routeur Asus sont dans le garage et le reste est dans le salon.
Je n'ai pas la possibilité de tirer un 2eme cable ethernet et le CPL ne fonctionne pas.

ccnet

Il y a donc déjà un câble et deux pares disponibles dans celui ci. Vous pouvez essayer ceci :
https://forum.pfsense.org/index.php?topic=111045.msg618452#msg618452
Limitation à 100 Mbits. Ce qui devrait convenir.

chris4916

En effet un dédoubleur de port, avec la limitation à 100 Mb/s puisque uniquement 2 paires seront utilisées par lien peut être une solution :)

Une autre approche un peu plus compliquée mais sans cette limitation est de mettre une paire de switch de part et d'autre du cable.
Ce cable va être utilisé en trunk pour véhiculer 2 VLAN

1 VLAN dédié à la vidéo
1 VLAN bureautique

Il n'est pas nécessaire que le VLAN vidéo soit le VLAN 100 : le but ici est juste de séparer les réseaux au niveau des switchs.

En revanche, comme le signale ccnet, l'empilage pfSense / asus n'apporte rien tel qu'il est proposé.
Il faut, si la Freebox est conservée, avoir :

internet –-- freebox ---- pfSense ---- asus wifi
|
HD box

et se poser la question de "faut-il séparer absolument les flux wifi des flux cablés coté LAN ?"
Si la réponse est oui, alors il faut 3 interfaces sur pfSense. Si non, 2 interfaces suffisent, le wifi et le réseau cablé sont sur le même LAN et il faut s'assurer que le mécanisme d’authentification wifi est assez robuste 8)

Si, au moins pour simplifier, on fait la supposition que le wifi est sur le LAN, l’implémentation physique ressemble à ça :

A noter, parce que tu y fais référence dans ton message, que le contrôle parental n'est pas beaucoup amélioré avec ce montage : tu peux au mieux, avec pfSense, introduire des notions de planification pour autoriser / interdire certains ports à certaines heures de la journée mais il n'y a pas de contrôle au niveau du contenu.
Si tel est ton besoin, il faut introduire une notion de proxy HTTP, si on fait la supposition que ce que tu veux contrôler en priorité, c'est le web.

D'une manière générale, à mon avis, pfSense seul comme équipement en superposition d'une box pour un usage domestique où il n'y a pas de services hébergés, c'est d'une utilité limitée si tu n'as pas de besoins spécifiques de contrôle de flux sortants. Surtout que les enfants qui jouent vont être rapidement gênés si leur box pour jouer est derrière pfSense, donc en double NAT.

Et c'est à ce moment que le montage que je te propose prend un peu d'intérêt 8)
tu peux grâce au switch qui transporte 2 VLAN, mettre box TV et station de jeu en direct sur la freebox, isolés du LAN, sans perte de performance

et tu peux garder ton CPL, si tu y tiens vraiment, pour distribuer le LAN dans la maison ;)

mirsa

Encore meci pour vos réponses,
je vais opter pour la suggestion de Chris, je vas rajouter un autre Switch à l'autre extremité du cable.
Je viens de commander le même switch manangeable (TPLSG108E).
je vous tiens informé dès la fin de l'installation.