Je ne peux pas sortir avec ces règles …

Chriztophe

Salut à tous

J'ai installé PfSense sur une configuration "Alix".
Mon réseau est simple :

Internet ==> Modem/Router Linksys ==>Box Alix avec Pfsense ==> Mon LAN avec mes clients et une DMZ avec mon serveur de mail, web …

Internet : IP dynamique
Modem/Routeur Linksys : 10.10.10.10
Box Alix Pfsense WAN : 10.10.10.9

Box Alix Pfsense LAN : 10.0.0.10
Clients du LAN : 10.0.0.x

DMZ : 192.168.10.250

Je n'arrive pas à sortir avec ces règles plus bas dont vous trouverez une capture.
Pour internet, j'ai seulement besoin de HTTP et DNS non ?

Merci

ccnet

Internet ==> Modem/Router Linksys ==> Mon LAN avec mes clients

C'est certain, dans cette configuration rien n'est filtré. Où est Pfsense ? Tant que nous y sommes donnez la suite des informations, topologie, adressage, …

Chriztophe

Pffff complètement à côté de la plaque ! :-[

C'est corrigé …. et je me suis aperçu que j'avais créé une règle qui faisait tout passer parce que ces règles ne fonctionnent pas :

Voici ce que j'ai au niveau des règles LAN et WAN :

[url=http://www.hiboox.fr/go/images/informatique/lan,b4f57b70ba98aa32e8d0b71e09f61102.png.html]

ccnet

Box Alix Pfsense WAN : 192.168.1.2
Box Alix Pfsense LAN : 192.168.1.5

Dans un fonctionnement classique de Pfsense Lan et Wan doivent être dans des réseaux différents. A moins que vous n'ayez configuré Pfsense en bridge.

Dans le première règle LAN la destination est en principe any.
Dans la seconde règle LAN, remplacez TCP/UDP par UDP. Bien que pour la résolution dns des clients un accès à la pate LAN suffit. Si vous êtes en DHCP pour les clients utilisez d'abord 192.168.1.5 comme dns.
Il vous faut aussi https : 443.
Sur Wan vous ne devez pas bloquer les adresse RFC 1918 compte tenu de votre adressage.

Chriztophe

Je ne suis pas en DHCP.
J'ai édité les règles comme ceci et supprimé la règle WAN RFC 1918

Je n'arrive toujours pas à sortir

je ne dois ajouter aucunes règles dans "WAN" ?

ccnet

Avez vous corriger l'adressage employé sur le firewall ?
Par ailleurs merci de remplacer Lan address par Lan net.
Pour les règles Wan aucune n'est nécessaire pour sortir. Comme vous avez une dmz avec des services http, smtp, il y aura des règles et des translations à ajouter, maus nous verrons cela plus tard lorsque votre adressage sera correct.
Le Modem/Router Linksys peut il être employé en modem simple de telle façon que l'ip publique soit sur la carte Wan de Pfsense ? Ce serait hautement préférable. Quel type d'abonnement avez vous ?

Chriztophe

J'ai attribué à mon LAN un adressage en 10.0.0.x

J'ai un abonnement ADSL mobistar avec IP dynamique (login+mdp). J'avais déjà pensé mettre mon modem/routeur Linksys en mode "Bridged Only" mais alors il ne me demande plus de login/mdp à inscrire et ce mode désactive le NAT et le routage.
Comment l'authentification chez mon provider est elle alors possible ?
Peut être pourrez vous m'aider si cela est possible de le passe en bridged. C'est un linksys WAG354G
Voici ce que j'ai :

ccnet

ce mode désactive le NAT et le routage.

C'est bien le but.
Avant de tout changer arrivez vous à vous connecter sur le net actuellement ?

Chriztophe

Pas avec les deux règles ci-dessus en tout cas.

ccnet

Un redémarrage de Pfsense après le changement d'adressage ne peut pas nuire. Ensuite activez les logs sur toutes les règles et consultez les journaux et dites nous.

Chriztophe

Voilà cela passe avec cette config et le LAN net comme préconisé

ccnet

Ajoutez https pour être tranquille. Vous en aurez sans doute besoin.

Chriztophe

J'ai ajouté ceci également afin que l'on puisse accéder à mon serveur WEB mais cela ne va pas …

J'ai laissé également la règle 'inscrire automatiquement dans les rules WAN

Dois je changer quelque chose ?

ccnet

Vous avez toujours votre routeur/modem nat devant l'interface Wan ?
Il faudrait être certain que le Linksys envoie bien le trafic entrant vers Wan. Créez une régle qui autorise tout sur wan et activez les logs capturer le trafic. Placez la règle en haut de la liste.

Chriztophe

Oui le linksys fait toujours NAT devant l'interface WAN de pfsense.
Je n'ai jamais mis ce modem/router en "bridge" …. si vous pouvez m'aider pour cela .... ?

C'est un WAG354G. La fonction existe et quand je me met en RFC 1483 Bridged j'ai ceci :

Je peux donc introduire plus bas login/mdp mais cela ne semble pas être concluant. Je n'ai pas de connexion à mon FAI.
En mode bridged only j'ai ceci :

Mais alors je ne sais plus introduire nulle part mon login/mdp. Dès lors où devrais je effectuer cela ?

Merci beaucoup

Edit : VPI/VCI est bien en 8/35 (belgique)

ccnet

Avez vous regardé la page Interfaces: WAN dans Pfsense ? Puis choisir le type de connexion et vous pourrez entrer login et mot de passe dans la bonne rubrique.

Chriztophe

Oui je peux aller dans Interfaces ==> WAN et j'ai alors ceci :

J'ai choisi PPPoE et entré mon login/mdp.
Ceci étant mon linksys est en mode Bridge only et ne fait donc plus de NAT.

Pouvez vous me dire quelle(s) règle(s) appliquer à Pfsense pour faire du NAT et autoriser pfsense à s'authentifier car en l'état il ne se passe rien

merci

Chriztophe

Personne ne peut m'aider ? svp …..

ccnet

Tout le trafic sortant est automatiquement naté. Vérifiez que Wan obtient bien une adresse ip.

Chriztophe

WAN ne semble pas obtenir d'adresse IP si je passe mon linksys en "Bridged"

Est ce la box Alix qui envoie les paramètres d'authentification vers mon modem/routeur linksys en mode bridged ?
Est elle capable de cela ? Je ne sais pas si elle est prévue pour cela.

Gertjan

Pour voir ce qui ce passe, il suffit de regarder dans les logs !
Status => System logs => System.

En plus, j'utilise un logger (Kiwi) sur un des mes PC's 'LAN' pour logger en permanence les événements de pfSense. C'est quasi indispensable tout façon, mon pfSense n'a pas de clavier, ni écran depuis des années déjà - c'est un boite dans un armoire informatique)

Il faut lire cette liste de BAS (événement le plus vieux) vers le HAUT (plus récent) !
J'ai coupé dans mes logs la séquence qui montre la connexion par PPPOE (mon FAI est Orange - je n'utilise PAS un LiveBox mais un Speedtouch 540 en mode Bridge ~ PPPOE)

…..

Tout est UP de nouveau - le tout prend env. 5 secondes.

mpd: [pppoe] IFACE: Up event
mpd: [pppoe] exec: /usr/local/sbin/ppp-linkup ng0 inet 86.201.236.45 86.201.236.1 fti/xxxxxx dns1 80.10.246.130 dns2 81.253.149.10
mpd: [pppoe] exec: /sbin/route add 0.0.0.0 86.201.236.1
mpd: [pppoe] exec: /sbin/route add 86.201.236.45 -iface lo0
mpd: [pppoe] exec: /sbin/ifconfig ng0 86.201.236.45 86.201.236.1 netmask 0xffffffff -link0
mpd: [pppoe] setting interface ng0 MTU to 1492 bytes
mpd: [pppoe] IFACE: Up event
mpd: 86.201.236.45 -> 86.201.236.1
mpd: [pppoe] IPCP: LayerUp
mpd: [pppoe] IPCP: state change Ack-Rcvd –> Opened
mpd: IPADDR 86.201.236.1
mpd: [pppoe] IPCP: SendConfigAck #15
mpd: 86.201.236.1 is OK
mpd: IPADDR 86.201.236.1
mpd: [pppoe] IPCP: rec'd Configure Request #15 link 0 (Ack-Rcvd)
mpd: [pppoe] IPCP: state change Req-Sent –> Ack-Rcvd
mpd: SECDNS 81.253.149.10
mpd: PRIDNS 80.10.246.130
mpd: IPADDR 86.201.236.45
mpd: [pppoe] IPCP: rec'd Configure Ack #8 link 0 (Req-Sent)
mpd: SECDNS 81.253.149.10
mpd: PRIDNS 80.10.246.130
mpd: IPADDR 86.201.236.45
mpd: [pppoe] IPCP: SendConfigReq #8
mpd: SECDNS 81.253.149.10
mpd: PRIDNS 80.10.246.130
mpd: 86.201.236.45 is OK
mpd: IPADDR 86.201.236.45
mpd: [pppoe] IPCP: rec'd Configure Nak #7 link 0 (Req-Sent)
mpd: SECDNS 0.0.0.0
mpd: PRIDNS 0.0.0.0
mpd: IPADDR 0.0.0.0
mpd: [pppoe] IPCP: SendConfigReq #7
mpd: COMPPROTO VJCOMP, 16 comp. channels, no comp-cid
mpd: [pppoe] IPCP: rec'd Configure Reject #6 link 0 (Req-Sent)
mpd: SECDNS 0.0.0.0
mpd: PRIDNS 0.0.0.0
mpd: COMPPROTO VJCOMP, 16 comp. channels, no comp-cid
mpd: IPADDR 0.0.0.0
mpd: [pppoe] IPCP: SendConfigReq #6
mpd: [pppoe] error writing len 32 frame to bypass: Network is down
mpd: SECDNS 0.0.0.0
mpd: PRIDNS 0.0.0.0
mpd: COMPPROTO VJCOMP, 16 comp. channels, no comp-cid
mpd: IPADDR 0.0.0.0
mpd: [pppoe] IPCP: SendConfigReq #5
mpd: [pppoe] IPCP: state change Starting –> Req-Sent
mpd: [pppoe] IPCP: Up event
mpd: [pppoe] up: 1 link, total bandwidth 64000 bps
mpd: [pppoe] setting interface ng0 MTU to 1492 bytes
mpd: [pppoe] LCP: phase shift AUTHENTICATE –> NETWORK
mpd: [pppoe] LCP: authorization successful
mpd: MESG: CHAP authentication success, unit 8963
mpd: [pppoe] CHAP: rec'd SUCCESS #1
mpd: [pppoe] CHAP: sending RESPONSE
mpd: Using authname "fti/xxxxxx"
mpd: Name: "BSBPN168"
mpd: [pppoe] CHAP: rec'd CHALLENGE #1
mpd: [pppoe] LCP: LayerUp
mpd: [pppoe] LCP: auth: peer wants CHAP, I want nothing
mpd: [pppoe] LCP: phase shift ESTABLISH –> AUTHENTICATE
mpd: [pppoe] LCP: state change Ack-Sent –> Opened
mpd: MAGICNUM 714f6e00
mpd: MRU 1492
mpd: [pppoe] LCP: rec'd Configure Ack #3 link 0 (Ack-Sent)
mpd: [pppoe] LCP: state change Req-Sent –> Ack-Sent
mpd: MAGICNUM 16323199
mpd: AUTHPROTO CHAP MD5
mpd: MRU 1492
mpd: [pppoe] LCP: SendConfigAck #171
mpd: MAGICNUM 16323199
mpd: AUTHPROTO CHAP MD5
mpd: MRU 1492
mpd: [pppoe] LCP: rec'd Configure Request #171 link 0 (Req-Sent)
mpd: MAGICNUM 714f6e00
mpd: MRU 1492
mpd: [pppoe] LCP: SendConfigReq #3
mpd: [pppoe] LCP: phase shift DEAD –> ESTABLISH
mpd: [pppoe] LCP: state change Starting –> Req-Sent
mpd: [pppoe] LCP: Up event
mpd: [pppoe] link: origination is local
mpd: [pppoe] link: UP event
mpd: [pppoe] device is now in state UP
mpd: [pppoe] device: UP event in state OPENING
mpd: [pppoe] PPPoE connection successful
mpd: [pppoe] rec'd ACNAME "BSBOR158-B2234340702746"
mpd: [pppoe] device is now in state OPENING
mpd: [pppoe] device: OPEN event in state DOWN
mpd: [pppoe] LCP: LayerStart
mpd: [pppoe] LCP: state change Initial –> Starting
mpd: [pppoe] LCP: Open event
mpd: [pppoe] link: OPEN event
mpd: [pppoe] opening link "pppoe"…
mpd: [pppoe] device is now in state DOWN
mpd: [pppoe] device: CLOSE event in state DOWN
mpd: [pppoe] LCP: LayerFinish
mpd: [pppoe] LCP: state change Starting –> Initial
mpd: [pppoe] LCP: Close event
mpd: [pppoe] link: CLOSE event
mpd: [pppoe] closing link "pppoe"…
mpd: [pppoe] device is now in state DOWN
mpd: [pppoe] pausing 6 seconds before open

Tout est down : 6 sec de pause.

mpd: [pppoe] device: OPEN event in state DOWN
mpd: [pppoe] LCP: phase shift TERMINATE –> DEAD
mpd: [pppoe] LCP: state change Stopping –> Starting
mpd: [pppoe] LCP: Down event
mpd: [pppoe] link: DOWN event
mpd: [pppoe] device is now in state DOWN
mpd: [pppoe] device: DOWN event in state UP
mpd: [pppoe] PPPoE connection closed
mpd: [pppoe] LCP: LayerDown
mpd: [pppoe] LCP: SendTerminateAck #2
mpd: [pppoe] exec: /sbin/ifconfig ng0 down delete -link0
mpd: [pppoe] exec: /sbin/route delete 86.201.109.188 -iface lo0
mpd: [pppoe] exec: /sbin/route delete 0.0.0.0 86.201.109.1
mpd: [pppoe] IFACE: Down event
mpd: [pppoe] IPCP: LayerDown
mpd: [pppoe] IPCP: state change Opened –> Starting
mpd: [pppoe] IPCP: Down event
mpd: [pppoe] up: 0 links, total bandwidth 9600 bps
mpd: [pppoe] setting interface ng0 MTU to 1500 bytes
mpd: [pppoe] LCP: phase shift NETWORK –> TERMINATE
mpd: [pppoe] LCP: state change Opened –> Stopping
mpd: [pppoe] LCP: rec'd Terminate Request #6 link 0 (Opened)

La connection existe, mon FAI m'informe qu'il va couper le PPPOE

….

C'est beau tout ça non ?

Pour tester si ton modem est bien dans le bon mode, c'est très simple !
Il suffit de tester avec un PC Windows, car Windows sais faire le PPPOE aussi tout seul !

[Mon exemple ici est valable pour un XP Pro - Home est la même manip je pense, un équivalent existe pour Vista, MAC, etc]

Branche donc le PC directement sur le modem.
Et on y go : Démarrer => Connexions => Afficher toutes les connexions
Créer une nouvelle connexion.
Établir une nouvelle connexion.
Configurer une nouvelle connexion
Se connecter en utilisent une connexion large bande qui nécessite un nom d'utilisateur et un mot de passe
Donne un nom au Hazard - ie "Mobistar" sera ok - valide
Donne nom utilisateur et mot de passe (pour toi xxxx@mobistar et xxx)
Laisse les deux options coché.
Valide.
T'est connecté !! [ SI ton modem est bien en mode PPPOE et que ton FAI supporte cette façon de ce connecter]