Redirection vers une passerelle determinée via les rules

chris4916

JC'est pour cela que j'ai fait des regles dans mon intereface "Wifi" pour la redirection vers OVH.

Une copie d'écran sera sans doute plus efficace pour décrire les règles mises en place (sauf si vraiment tu en as beaucoup)

Dois je aussi les dupliquer dans les regles du WAN par defaut (celui qui est SFR) pour rediriger vers OVH ?

J'avoue ne même pas comprendre ce que tu veux dire avec cette phrase :-[

pmora33

Bonjour,
Alors voila quelques copies d'ecran pour illustrer le propos

La liste de mes gateway
puis les regles que j'ai dans la pf
sur la partie dite "WIFI" dans laquelle j'ai une redirection vers ma box OVH et sur la partie nommée WAN qui est liee à ma box SFR

Gateways.png_thumb
![wifi-Firewall_ Rules.png](/public/imported_attachments/1/wifi-Firewall_ Rules.png)
![wifi-Firewall_ Rules.png_thumb](/public/imported_attachments/1/wifi-Firewall_ Rules.png_thumb)
![wan-Firewall_ Rules.png](/public/imported_attachments/1/wan-Firewall_ Rules.png)
![wan-Firewall_ Rules.png_thumb](/public/imported_attachments/1/wan-Firewall_ Rules.png_thumb)

chris4916

la copie d'écran des règles de FW sur l'interface n'est pas utile.
Pour les règles sur l'interface wifi:

je ne comprends pas, sur cette interface, l'utilité de la première règle: UDP vers "wifi net" ? il n'y a rien qui va atteindre cette interface avec comme destination "wifi net". A la limite "wifi address" si tu veux accepter de l'UDP à destination de pfSense sur cette interface. C'est pour du DNS, soit le DNS est externe et donc destination n'est pas "wifi net", soit le DNS est pfSense et destination est "wifi adddress", pas "wifi net" (qui recouvre "wifi address" je sais bien)
la règle 2 est OK: tout le flux HTTPS est normalement redirigé vers GWOVH
la règle 3, je ne la comprends pas: elle signifie que la source "wifi address" (c'est à dire pfSense lui^-même sur cette interface "wifi") devrait être redirigé vers GWOVH :o mais tu n'as pas ce genre de flux, normalement…
la règle 4, je ne la comprends pas non plus ??? A part ce qui est destiné à pfSense (donc "wifi address") il n'y a pas de flux HTTPS en direction de "wifi net" sur cette interface.

N'aurais-tu pas un proxy HTTP quelque part ::) que tu aurais oublié de décrire ;) ...
Et si tu acceptes le DNS, c'est sans doute parce que ton proxy (si proxy il y a) est en mode transparent.

ccnet

Même constat : le règle 2 est bonne. elle pourrait être dupliquée pour le port 80. Les autres règles sont ne sont pas compréhensibles en ce qui me concerne. je ne sais pas dire si il faut d'autres règles pour un bon fonctionnement de votre réseau, conforme à vos attentes. Les ports 80 et 443 pourraient être regroupés dans un alias

pmora33

Bon je me suis servi de la regle 2 qui était correcte pour le https pour gerer le http
Sur ces 2 regles j'ai designé ma passerelle ovh mais l'ip publique n'est toujours pas celel de OVH mais de ma GW par defaut

Est ce que la gateway indiquée dans les regles passe bien "par dessus" la gateway par defaut ou faut il faire autre chose par ailleurs ?

ccnet

Existerait il une règle flottante ?

Est ce que la gateway indiquée dans les regles passe bien "par dessus" la gateway par defaut

Oui.
Faites un test en mettant any dans la source, si ce n'est pas déjà le cas.
Les machines qui devraient sortir par le lien ovh sont bien connectées à l'interface où vous avez défini ces règles ? Pas de bypass du firewall ?

chris4916

1 - Peut-être que ça vaut le coup de regarder de plus près cette histoire de VLAN => est-ce que ce sont bien ces règles qui s'appliquent ? => activer le log ;)
2 - ne veux-tu pas répondre à ma question à propos d'un éventuel proxy ?

pmora33

quote author=chris4916 link=topic=117599.msg651671#msg651671 date=1472639028]
1 - Peut-être que ça vaut le coup de regarder de plus près cette histoire de VLAN => est-ce que ce sont bien ces règles qui s'appliquent ? => activer le log
2 - ne veux-tu pas répondre à ma question à propos d'un éventuel proxy ?

Bonjour,
Désolé du temps de réponse et merci de la question sur le proxy qui m'a permis d'investiguer dans ce sens.

1- Oui j'ai fait cela et les regles sont OK
2 -ET en effet il y a bien un proxy , et je vois bien que mon proxy bypasse les regles introduites dans mes interfaces pour rediriger les flux vers ovh

En effet lorsque j'arrete le proxy , ces regles s'appliquent bien

la question est donc comment dire à mon proxy pour mon/mes interfaces concernées d'appliquer les regles de redirection

Sachant que le but final est de faire du filtrage via squidguard et des logs via lightsquid

Merci de vos réponses éclairées

jdh

Quand on utilise un proxy sur pfSense, les règles de sorties de gateway ne s'appliquent pas !
(Il est très intéressant de s'interroger sur le pourquoi …)

Encore une raison pour ne pas mettre le proxy sur le firewall ...

pmora33

@jdh:

Quand on utilise un proxy sur pfSense, les règles de sorties de gateway ne s'appliquent pas !

:'(

(Il est très intéressant de s'interroger sur le pourquoi …)

Ah ben oui ! Pourquoi ???

jdh

Il est très intéressant de s'interroger, puis de trouver.
Cela permet de mieux comprendre comment fonctionne un firewall, comment il est paramétré, les conséquences de ses propres choix …
Cela permet de prendre plus de recul sur des choix que l'on fait parfois trop instinctivement ...

Donner immédiatement la réponse n'a pas d'intérêt ...
Mais néanmoins, il ne faut pas exagérer la complexité de la réflexion : en 3 minutes, on trouve, à partir du moment où on se pose les bonnes questions ...