Pfsense et QuinQ

Sylvain 0

Bonjour,
Je suis en charge de l’informatique dans une association assez grande.
Nous disposons aujourd’hui de plusieurs sites distants reliés chez nous par des liens de niveaux 2 en fibre optique.
Prestataire : Covage
C’est le site principal qui sert de transit IP et qui distribue la connexion internet aux autres sites
Sur chaque site distant, nous avons des switchs qui envoient des tags vlans différents selon le besoin.
Sur le site principal, nous avons une pfsense en version 2.4.3. Chaque vlan est bien raccroché à une interface, elle-même lié à un dhcp.
Il est entendu que chaque site distant peut donc transporter des vlans selon les besoins et donc partager un même adressage.
La solution marche parfaitement.
Nous avons décidé d’upgrader les débits de plusieurs sites. Les liens sont activés et semblent fonctionner.
La nouveauté est que les liens sont transités en QinQ. Le fournisseur nous a donc donné les vid des sites. Quand je passe le switch en monde natif (sans vlan de configurer), et que je configure les vlans selon les vid fournis, cela fonctionne. Les liens sont donc actifs.
Quand je re-parametre mes switchs pour pouvoir faire transiter mes vlans, je ne vois rien remonter.
C’est la première fois que je travaille avec du QinQ, d’où mes interrogations
J’ai essayé plusieurs tests dans le mode QinQ de la pfsense, (création du qinq avec les vid de l’opérateur, en indiquant mes vlans) mais impossible d’obtenir une ip du dhcp.
Je ne vois pas où se trouve le souci. Certainement dans les assignations d’interface, ou dans des règles de pare feu.
Quelqu’un peut il m’éclairer sur le fonctionnement des vlans en mode QinQ sur pfsense ?
Merci de vos lumières.

Ps : j’espère avoir été clair dans mes explications

ccnet

Quoi de mieux que le doc éditeur :
https://www.netgate.com/docs/pfsense/interfaces/qinq-interfaces.html

Quand je re-parametre mes switchs pour pouvoir faire transiter mes vlans

Ce qui n'a pas de rapport avec Pfsense.

Sylvain 0

Merci de ton aide O combien précieuse
Si j ai posté ici, c est que j ai déjà parcouru plusieurs fois la doc et tester.
Quand au Switch , c est pour être plus précis pour connaître l environnement du probléme. Ce n est peut être pas l endroit pour parler de switch mais ça me semblait important d y référer surtout quand on parle de vlan. Si tu as lu la doc sur Qinq et les vlans, ce dont je ne doute pas un seul instant , ils en font référence ; je ne crois pas être si loin du sujet.
Donc oui je bloque un peu sur le qinq sur pfsense malgré avoir testé pas mal de choses, et que je me permet de demander de l’aide.

jdh

Pourquoi cette haine ?

Ccnet fournit un lien vers la doc (car beaucoup de monde oublie de commencer par ça, et beaucoup est une litote).

Au lien de répondre sur votre ton de mépris (puisque à plusieurs reprises), vous auriez dû écrire 'j'ai déjà lu cette doc mais elle ne fournit que peu d'informations utiles à mon cas' voire ajouter 'merci'.

Cette façon de répondre, en tant que nouveau, à des gens pui participe de leur temps et de leur savoir depuis des années (et ce n'est pas exagéré), est juste très mal supporté par les anciens. Il n'y a d'ailleurs plus beaucoup d'anciens : la plupart ont lâché face à ce type de comportement ou d'autres ...

Dans une première lecture, j'ai été assez choqué. Ne sous-estimez pas cet aspect. Rien ici n'est dû sauf le respect élémentaire de ceux qui prennent le temps de répondre ...

Sur le fond :
Le QinQ ou VLAN stacking est une technique permettant d’encapsuler des trames 802.1 Q dans une trame 802.1Q. cf https://www.randco.fr/actualites/2013/qinq/

De cette définition (et du schéma du lien), on comprend que chaque extrémité doit 'décapsuler' les vlan encapsulés. Or pfSense être une extrémité (à la place d'un switch QinQ aware).

Pour vous aider, encore faudrait-il comprendre ce que vous faites, mais votre post ne décrit rien de tout cela (contrairement au formulaire que je recommande) : exemple, switchs, où sont-ils ? et quel est leur rôle ? Je peux supposer que SEUL pfSense devrait avoir un rôle dans QinQ et pas les switchs : pfSense en entrée avec QinQ, et les flux repartent vers le LAN dispatchés selon le VLAN.

Sylvain 0

Bonjour,
Je suis désolé, si le ton du post est pris comme de la haine, c'est à 100 milles lieux de mes pensées.
C'est tout au plus un agacement.
J'ai passé pas mal de temps à lire la doc sur certains sites et celui-ci en particulier, et je n'ai pas trouvé ou compris ce que je cherchais. Alors après avoir passé du temps à lire des documents ou références, j'ai oublié d'écrire que j'avais lu la documentation. Mea Culpa
Après je comprends bien par expérience que l'on soupçonne vite les personnes de ne pas chercher avant de demander....
Si mon second message a été mal pris, je m'en excuse (surtout à ccnet)...

Sur le fond :
Bref historique avant migration :
Plusieurs sites distants raccordés à mon site principale. Ces liens sont fournis en niveau 2 par Covage en fibre optique.
Sur chaque sites distants j'ai un switch d-Link sg-1100, dans lesquels sont paramétrés mes vlans.
Mes différents Vlans sont remontés sur la pfsense,le réseau marche bien, les dhcps sont bien actifs sur mes vlans.
Tout marche nickel.

En cours de migration : (mon problème :) )
Nous avons décidé d'upgrader nos sites en terme de débit.
Le fournisseur est venu installer un nouveau tronc de collecte, et nous fournit aujourd'hui les liens toujours en niveau 2.
Aujourd'hui, le fournisseur fournit ses liens en QinQ avec un vid distinct pour chaque site.
Si le switch est vierge de toute configuration, je récupère bien sur la pfsense les différents vlans fournisseurs et je peux travailler avec.
Seulement sur certains sites avec un switch configuré pour faire passer plusieurs vlans (port trunk vers le rad optique) je ne voyais arriver sur la pfsense.
Je pense avoir compris la décapsulation du côté de la pfsense, en créant un interface QinQ et en lui associant mes vlans, bien que je ne sois pas sûr quels interfaces assignés (ceux des vlans encapsulés et/ou le QuinQ lui-même).
Du côté du switch (site distant) par contre je sèche, après avoir essayé plusieurs config ; dès que je 'trunk' le port du switch vers le rad ou que je le met explicitement en tagged, je n'ai plus rien... Je me demande en fait si mon switch est bien compatible ou bien si c'est moi :) J'ai cherché sur le net, mais les réponses sont parfois contradictoires.

J'espère avoir fourni + d'explications.

dsl encore du mauvais ton qui n'en était pas un ;)