Netgate Discussion Forum
    • Categories
    • Recent
    • Tags
    • Popular
    • Users
    • Search
    • Register
    • Login

    Pb d'accès entre zones

    Scheduled Pinned Locked Moved Français
    36 Posts 6 Posters 4.9k Views
    Loading More Posts
    • Oldest to Newest
    • Newest to Oldest
    • Most Votes
    Reply
    • Reply as topic
    Log in to reply
    This topic has been deleted. Only users with topic management privileges can see it.
    • J
      jdh
      last edited by

      Le titre aurait être 'Problème d'accès entre zones'. (pas de routage)

      La règle de retour est inutile. Renommez l'interface en WIFI !

      Vous ignorez la nature de TCP et UDP : ce sont des protocoles IP, qui sont utilisés ensuite par d'autres : ex HTTP=80/TCP
      cf http://www.frameip.com/entete-ip

      En particulier, ping utilise un autre protocole ip, que votre règle 1 n'autorise pas !

      Je ne saurais que conseiller la lecture approfondie de Christian CALECA …

      Albert EINSTEIN : Si vous ne pouvez pas l'exprimer simplement, c'est que vous ne le comprenez pas assez bien. (If you can’t explain it simply, you don’t understand it well enough.)

      1 Reply Last reply Reply Quote 0
      • N
        nomiss
        last edited by

        Bonjour,

        Merci pour vos réponses, effectivement j'ai omis le fait que pour le ping il s'agit d'icmp. Mea culpa.

        Voici la regle que j'ai modifié sur mon LAN :

        1 Reply Last reply Reply Quote 0
        • C
          chris4916
          last edited by

          1 - je pense que tu comprends bien que la règle suivante recouvre cette règle, donc même si tu supprimes cette règle, tu devrais avoir accès avec la règle suivante.
          2 - cette règle à un log activé => que vois tu dans le log ?
          3 - active également un log pour "tout" afin de voir ce qui se passe
          4 - quelles sont les routes ?  ;)

          Jah Olela Wembo: Les mots se muent en maux quand ils indisposent, agressent ou blessent.

          1 Reply Last reply Reply Quote 0
          • N
            nomiss
            last edited by

            4- routes :

            je découvre totalement PFSENSE, j'ai conscience que le pb est au niveau de la couche 8 ^^

            Pour mes interfaces : em0 = WAN  // em1 = LAN // em2 = OPT1

            Question : à quoi correspondent les link#x ?

            2- Effectivement j'ai activé le log au cas où, j'imagine qu'on trouve le résultat ici (system logs / Firewall), comme ci dessous

            3- Tu veux que j'active un log sur chaque regles du LAN ?

            1 Reply Last reply Reply Quote 0
            • C
              chris4916
              last edited by

              Il y a une option dans la conf système qui permet d’activer le log "pour tout" de mémoire

              Jah Olela Wembo: Les mots se muent en maux quand ils indisposent, agressent ou blessent.

              1 Reply Last reply Reply Quote 0
              • J
                jdh
                last edited by

                Attention, si j'ai écrit règle 1 et 2, c'était en regard des lignes surlignées !

                Prenez de bonnes habitudes : évitez les * dans les règles !

                • une règle de l'onglet LAN : la source devrait LAN net ou une valeur précise
                • un port 80 ou 443 implique TCP car HTTP=80/tcp et HTTPS=443/tcp
                • une règle pour icmp et une règle pour les proto tcp

                Albert EINSTEIN : Si vous ne pouvez pas l'exprimer simplement, c'est que vous ne le comprenez pas assez bien. (If you can’t explain it simply, you don’t understand it well enough.)

                1 Reply Last reply Reply Quote 0
                • N
                  nomiss
                  last edited by

                  Bonjour  :)

                  Pour le port source, je suis bien obligé de laissé *. Les trois autres règles affichées dans l'onglet LAN ont été créée par pfsense.

                  Ma borne s'administre uniquement via le port 80. Selon vous, ma règle est bonne ?
                  Rappel :

                  Concernant mes routes je n'ai pas constaté de pb (voir screenshot ci-dessus)

                  1 Reply Last reply Reply Quote 0
                  • J
                    jdh
                    last edited by

                    Sur ce screenshot (12h46),

                    La règle 1 : le proto devrait être TCP, la source devrait être 'LAN Net'
                    La règle 2 (surlignée) : est correcte mais est inutile puisque située après une règle qui 'la couvre' ! A placer avant de préférence (du particulier au général) avec l'explication.

                    L'intérêt de pfSense est de pouvoir utiliser des 'alias' : à utiliser sans modération !
                    (Alias : vous prévoir une règle de dénomination : srvXXXX, portXXX, lanXXX, …)

                    Si vous passer la ligne 2 en 1ère position, la faire précéder d'une ligne pour le proto icmp / echo request=8 : vous pourrez vérifier ainsi que le ping fonctionne.

                    Petit point de détail : êtes vous sûr de la config du boitier wifi ? toujours les 4 paramètres : ip, masque, passerelle et dns !

                    Albert EINSTEIN : Si vous ne pouvez pas l'exprimer simplement, c'est que vous ne le comprenez pas assez bien. (If you can’t explain it simply, you don’t understand it well enough.)

                    1 Reply Last reply Reply Quote 0
                    • N
                      nomiss
                      last edited by

                      Pour info :

                      Cette regle a été ajouté par PFSENSE lors de l'install.

                      Ok merci, je regarde ma borne ce soir. Je pense que la conf est bonne car elle fonctionne bien, je l'ai administré depuis un pc que j'ai mis dans son network. Je vais rajouter une regle de ping pour faire des tests.

                      1 Reply Last reply Reply Quote 0
                      • J
                        jdh
                        last edited by

                        Mea culpa, j'ai mal lu : 'anti-lockout' est une règle de sécurité : explicitement cela autorise l'accès en admin au pfSense !
                        (Pourtant il y a l'indication Destination=LAN Address = l'ip LAN du firewall)

                        Donc il faut lire

                        La règle 2 (surlignée) : est correcte mais est inutile puisque située après une règle qui 'la couvre' !

                        Je maintiens le conseil :
                        la faire précéder d'une ligne identique pour le proto icmp/echo request, pour pouvoir tester la réponse au ping

                        NB : au cas où le ping ou http ne répondrait pas, bien vérifier les 4 infos du point d'accès Wifi !

                        Albert EINSTEIN : Si vous ne pouvez pas l'exprimer simplement, c'est que vous ne le comprenez pas assez bien. (If you can’t explain it simply, you don’t understand it well enough.)

                        1 Reply Last reply Reply Quote 0
                        • C
                          chris4916
                          last edited by

                          @nomiss

                          • Le fait que tes règles se superposent ne te permet pas de déduire rapidement si il y a bien une activité au niveau pfSense pour les sources et destinations en question dans la colonne "state".
                          • tu devrais par ailleurs être en mesure de voir, dans les logs, si ta requête vers ton point d'accès Wifi est acceptée au niveau de l'interface LAN (ce qui doit être de tout évidence le cas compte tenu des règles), mais tu devrais ensuite voir si il y a bien un retour. Et le retour dépend de :
                          • tes règles au niveau de l’interface OPT1
                          • de la route par défaut sur le point d'accès wifi lui-même

                          Jah Olela Wembo: Les mots se muent en maux quand ils indisposent, agressent ou blessent.

                          1 Reply Last reply Reply Quote 0
                          • N
                            nomiss
                            last edited by

                            J'ai mis une route static sur ma borne wifi :

                            Destination : 192.168.15.50 (mon pc)
                            Subnet : /24
                            Gateway : 192.168.16.254

                            Et quand je veux accéder j'ai un acces forbidden .. c'est bon signe, mais je dois voir pourquoi je suis en forbidden ..

                            1 Reply Last reply Reply Quote 0
                            • C
                              chris4916
                              last edited by

                              @nomiss:

                              Et quand je veux accéder j'ai un acces forbidden .. c'est bon signe, mais je dois voir pourquoi je suis en forbidden ..

                              Forbidden… sur l'interface web ?
                              Peut-être simplement parce que l'interface web n'accepte pas de connexion de réseau autre que le "LAN" de ton point d'accès  ;)

                              Jah Olela Wembo: Les mots se muent en maux quand ils indisposent, agressent ou blessent.

                              1 Reply Last reply Reply Quote 0
                              • J
                                jdh
                                last edited by

                                Le fil (inratable) A LIRE EN PREMIER indique un formulaire type à utiliser et sous-entend qu'il faut donner de l'info.
                                A vous de vous remettre en cause …

                                J'ai recommandé d'ajouter une règle pour le ping et de vérifier les 4 infos fondamentales ip d'un matériel.
                                Pas de retour ! Pourtant c'est la base de ce qu'il faut faire avec tout matériel ...

                                administrer ma borne wifi (router configuré en point d'acces)

                                Si vous ne décrivez rien de mieux sur votre façon de 'configurer', il n'est pas impossible que pfSense n'y soit pour rien ! Selon votre branchement, la passerelle (gateway) imaginée n'est peut-être même pas accessible, alors une route statique …

                                Albert EINSTEIN : Si vous ne pouvez pas l'exprimer simplement, c'est que vous ne le comprenez pas assez bien. (If you can’t explain it simply, you don’t understand it well enough.)

                                1 Reply Last reply Reply Quote 0
                                • N
                                  nomiss
                                  last edited by

                                  @chris4916 Oui c'est ce que je me disais .. c'est fort dommage si c'est ça. Ceci dit une fois que la borne est configurée, je n'ai pas besoin d'y retoucher…  ::)

                                  1 Reply Last reply Reply Quote 0
                                  • N
                                    nomiss
                                    last edited by

                                    @jdh:

                                    Le fil (inratable) A LIRE EN PREMIER indique un formulaire type à utiliser et sous-entend qu'il faut donner de l'info.
                                    A vous de vous remettre en cause …

                                    J'ai recommandé d'ajouter une règle pour le ping et de vérifier les 4 infos fondamentales ip d'un matériel.
                                    Pas de retour ! Pourtant c'est la base de ce qu'il faut faire avec tout matériel ...

                                    administrer ma borne wifi (router configuré en point d'acces)

                                    Si vous ne décrivez rien de mieux sur votre façon de 'configurer', il n'est pas impossible que pfSense n'y soit pour rien ! Selon votre branchement, la passerelle (gateway) imaginée n'est peut-être même pas accessible, alors une route statique …

                                    J'ai connecté mon laptop sur mon réseau bleu (celui de la borne), je le ping bien depuis mon réseau vert et inversement. Ma passerelle fonctionne puisque j'ai acces à internet.

                                    Je mettrais à jour mon post ce soir avec mes nouvelles règles.

                                    Pour l'instant, je ne comprend pas trop pourquoi j'ai du rajouter une route statique sur ma borne pour communiquer avec le réseau vert (LAN). Je vais continuer de creuser ce soir.

                                    1 Reply Last reply Reply Quote 0
                                    • J
                                      jdh
                                      last edited by

                                      Je pense que vous ne comprenez pas le sens de ce que veux dire, à moins que je m'exprime mal.

                                      Il existe des point d'accès Wifi et des routeurs Wifi.

                                      Le point d'accès comporte, généralement, une prise d'alimentation électrique, un port réseau RJ45, et c'est tout.
                                      Le routeur  comporte, généralement, un prise d'alimentation électrique, un port réseau RJ45 WAN et un bloc de prises RJ45 LAN (souvent 4).

                                      Exemple chez Netgear :

                                      • point d'accès (soho) WAC120 / 1 prise RJ 45 : http://netgear.fr/business/products/wireless/soho-wireless/wac120.aspx
                                      • routeur wifi (soho) JWNR2010 / 1 prise RJ45 W + 4 prises RJ45 L : http://netgear.fr/home/products/networking/wifi-routers/jwnr2010.aspx

                                      Un routeur Wifi peut devenir point d'accès, dans les conditions suivantes :

                                      • on ne connecte rien sur WAN, mais on définit quand même WAN en adressage statique du genre 192.168.254.254/24,
                                      • on connecte l'interface pfSense sur une prise LAN,
                                      • on définit la passerelle par défaut du routeur comme interface pfSense (pas toujours possible !!).
                                        (Cela fonctionne bien avec la 3ième condition remplie, mais c'est un seul signal SSID !).

                                      (En entreprise, j'ai parfois configuré des routeurs en point d'accès, je ne le fait plus : j'achète des points d'accès, directement multi-ssid.)

                                      Albert EINSTEIN : Si vous ne pouvez pas l'exprimer simplement, c'est que vous ne le comprenez pas assez bien. (If you can’t explain it simply, you don’t understand it well enough.)

                                      1 Reply Last reply Reply Quote 0
                                      • N
                                        nomiss
                                        last edited by

                                        @jdh:

                                        Je pense que vous ne comprenez pas le sens de ce que veux dire, à moins que je m'exprime mal.

                                        Il existe des point d'accès Wifi et des routeurs Wifi.

                                        Le point d'accès comporte, généralement, une prise d'alimentation électrique, un port réseau RJ45, et c'est tout.
                                        Le routeur  comporte, généralement, un prise d'alimentation électrique, un port réseau RJ45 WAN et un bloc de prises RJ45 LAN (souvent 4).

                                        Exemple chez Netgear :

                                        • point d'accès (soho) WAC120 / 1 prise RJ 45 : http://netgear.fr/business/products/wireless/soho-wireless/wac120.aspx
                                        • routeur wifi (soho) JWNR2010 / 1 prise RJ45 W + 4 prises RJ45 L : http://netgear.fr/home/products/networking/wifi-routers/jwnr2010.aspx

                                        Un routeur Wifi peut devenir point d'accès, dans les conditions suivantes :

                                        • on ne connecte rien sur WAN, mais on définit quand même WAN en adressage statique du genre 192.168.254.254/24,
                                        • on connecte l'interface pfSense sur une prise LAN,
                                        • on définit la passerelle par défaut du routeur comme interface pfSense (pas toujours possible !!).
                                          (Cela fonctionne bien avec la 3ième condition remplie, mais c'est un seul signal SSID !).

                                        (En entreprise, j'ai parfois configuré des routeurs en point d'accès, je ne le fait plus : j'achète des points d'accès, directement multi-ssid.)

                                        Ok je comprend mieux.

                                        Je possède un routeur wifi TP-LINK Archer D2. Il n'y a rien de branché sur la prise WAN. L'adressage statique du WAN n'est pas définit sur ma borne (pour le moment).
                                        Je regarde ma conf ce soir en rentrant.

                                        Merci beaucoup du temps que vous m'accordez @chris @jdh ;)  :)

                                        1 Reply Last reply Reply Quote 0
                                        • J
                                          jdh
                                          last edited by

                                          Ce modèle est récent et plutôt haut de gamme. C'est un routeur.

                                          Le site tp-link donne quelques indications :

                                          • il y a un port 'ADSL' = ligne tél -> modem ADSL inclus
                                          • il y a 4 ports RJ45, dont le 4 est noté LAN/WAN : c'est le port prévu pour une autre source que l'ADSL : fibre ou autre, cf Datasheet, notation 'ADSL/EWAN'
                                            Le port 4 ne sera donc jamais utilisé !

                                          Je ne vois pas, sur le site, de doc complète sur le paramétrage type 'User Guide'. (Le Quick Install Guide est trop court …)
                                          Naturellement, la config se fait via un port LAN : il faudra suivre l'interface web et s'assurer de suivre la méthode que je préconise (adressage WAN statique + gateway = pfSense/LAN).

                                          Albert EINSTEIN : Si vous ne pouvez pas l'exprimer simplement, c'est que vous ne le comprenez pas assez bien. (If you can’t explain it simply, you don’t understand it well enough.)

                                          1 Reply Last reply Reply Quote 0
                                          • C
                                            chris4916
                                            last edited by

                                            Je ne comprends pas pourquoi il faut (faudrait) configurer le port WAN si celui-ci n'est pas utilisé.

                                            Je n'ai pas regardé la doc de ce modèle mais celle-ci devrait te dire si celui-ci est configurable en mode "access point" (c'est assez courant par exemple chez Cisco / Linksys d'avoir le choix du mode de fonctionnement dans les options de paramétrage) et tu verras par ailleurs si il y a, par défaut, des restrictions d'accès à l'interface d’administration en fonction de l'adresse IP du client qui veut administrer. ça aussi c'est assez courant  ;)

                                            Mais dans tous les cas, ce sont 2 choses différentes  8)

                                            Jah Olela Wembo: Les mots se muent en maux quand ils indisposent, agressent ou blessent.

                                            1 Reply Last reply Reply Quote 0
                                            • First post
                                              Last post
                                            Copyright 2025 Rubicon Communications LLC (Netgate). All rights reserved.