[Résolu] Maquette PFSense



  • Bonjour,

    Je souhaite mettre en place PFSense pour faire un serveur VPN. Pour le moment je n'en suis pas là, je veux juste mettre en place une maquette. Je m'explique:
    J'ai un PC dédié à pfsense.
    J'ai un PC côté LAN relié à l'interface LAN de pfsense.
    J'ai un PC coté WAN relié à un switch. Ce switch est relié à l'interface WAN de pfsense.

    Vous l'aurez compris je veux faire croire à pfsense qu'internet c'est mon PC relié au switch. Donc j'ai branché le tout. J'ai essayé d'ajouter une règle dans le firewall pour le LAN et WAN pour faire tout passer mais je n'arrive pas jamais à pinguer mes PC. Il faut savoir que j'administre bien pfsense par l'interface graphique côté LAN ça ok donc ça ping bien. Et de l'autre coté (coté WAN), le pc ping bien le switch mais ne ping pas l'interface WAN de pfsense. J'ai tenté d'ajouter des regles mais je n'y arrive pas. C'est donc pour cela que je viens vous demander de l'aide : reussir à pinguer le WAN à partir du LAN et inversement.

    Comment faire pour mettre à disposition le schema de ce que j'ai fais svp ?

    Le but final est de mettre en place une connexion VPN entre le PC du LAN et le PC du WAN mais comment c'est possible s'il n'y a pas internet ? Tout celà est flou dans ma tete. J'ai pourtant lu déjà pas mal de chose mais pour trouver comment faire une maquette de ce type j'ai pas trouvé.

    Merci d'avance pour vos réponses.

    Raptor45.



  • Sous réserve que votre adressage soit correct côté Wan, ce dont nous ne savons rien, merci de vérifier :

    Dans la page : Interfaces: WAN, vérifiez que l'option : Block private networks n'est pas cochée.



  • Bonjour,

    Merci pour la réponse rapide.

    Effectivement, j'ai omis de vous indiquer l'adressage que j'ai fait. Mais j'ai fais un schéma, comment je peux le mettre à disposition ? Ce sera plus propre que d'écrire la configuration. J'ai bien vu l'icone insert image mais je pensais que ça m'aurait ouvert un explorateur or ça me met les 2 balises html img. Je mets quoi comme chemin entre les 2 pour mettre mon .jpg ? Comme ça tu verras le schéma ce sera bien mieux.

    Sinon, j'ai regardé dans la page Interfaces: WAN et l'option Block private networks n'est pas cochée.

    Merci. A tout à l'heure.

    Raptor45.



  • Sous le corps de la réponse cliquer "Additional Options…" puis curseur dans "Attach" puis bouton "Parcourir".
    Ce qui n'empêche pas de donner les ip employées côtés Wan ...



  • Ok, merci pour l'info. J'ai donc ajouté le fichier.

    Côté WAN, je sais pas trop s'il faut que je mette pfsense en passerelle ou le switch. Il faut savoir que j'ai testé les 2 et ça me donne le même résultat. Une petite chose également : si je branche le PC côté WAN en direct sur l'interface de pfsense, la carte réseau ne réagit pas; il faut absolument que ce soit le switch sur l'interface WAN c'est normal ?

    Donc, concernant l'adressage, qu'en pensez-vous ?

    raptor45.

    ![schema pfsense.jpg](/public/imported_attachments/1/schema pfsense.jpg)
    ![schema pfsense.jpg_thumb](/public/imported_attachments/1/schema pfsense.jpg_thumb)



  • Alors, biensur je continue de bidouiller ma maquette et il y a du mieux : j'arrive à pinguer la LAN à partir du WAN. J'ai ajouté les règles suivante dans Firewall: Rules: WAN:

    Proto                          Source                  Port              Destination              Port            GW
    TCP/UDP                WAN Address              *                  LAN net                    *                  *
    ICMP                      WAN address              *                  LAN net                    *                  *
    TCP                        WAN address              *                  LAN net                    *                  *

    Bon je suppose que je peux supprimer 2 règles, mais j'ai pas encore testé. Maintenant je veux réussir à pinguer le WAN à partir du LAN mais je n'y arrive pas. Pouvez-vous m'aider svp ? Pour info, sur le PC du WAN, le pare-feu est désactivé.

    Merci d'avance.

    raptor45.



  • L'adressage est possible tant que votre maquette n'est pas connectée à internet. L'ip 130.130.255.252 appartient à Australia Wollongong University Of Wollongong.

    Côté WAN, je sais pas trop s'il faut que je mette pfsense en passerelle ou le switch.

    A vous lire il semble que vos connaissances réseau et tcp ip sont beaucoup trop lacunaires pour envisager l'utilisation de Pfsense. La passerelle par défaut du pc wan, dans votre cas, est l'ip wan de Pfsense.

    il faut absolument que ce soit le switch sur l'interface WAN c'est normal ?

    Rien à voir avec Pfsense, c'est une question de câblage, (droit, croisé, etc …) et de carte plus ou moins récente.

    La troisième règle ne sert à rien. Mettre Any dans "protocole" permet de ne conserver qu'une seule règle.



  • Effectivement, je ne suis pas ingénieur réseaux sinon je ne serai pas là. Je suis en BTS IG option administrateur reseaux donc j'apprends. Je le fais en alternance. C'est pour ça que j'ai besoin d'aide de personnes comme vous. Merci d'avance pour continuer de m'aider.

    Comme j'indiquais sur un poste précédent, j'arrive à pinguer le LAN à partir du WAN mais je n'arrive pas à pinguer le WAN à partir du LAN. Dans firewall: rules: LAN, j'ai mis ceci:

    Proto                        Source                            Port                          Destination                                Port                                  GW
    TCP/UDP                    LAN net                            *                                      *                                          *                                      *
    ICMP                          LAN net                            *                                      *                                          *                                          *
    TCP                            LAN net                              *                                      *                                        *                                          *

    Mais le ping ne passe pas.

    raptor45.



  • Et là je viens de redémarrer PFSense sans modifier quoi que ce soit et le WAN n'arrive de nouveau plus à pinguer le LAN, je comprends pas pourquoi là. Pouvez-vous m'expliquer svp ? Alors que juste avant le reboot ça fonctionnait bien. Y a t il quelque chose à relancer lors du redémarrage ?

    raptor45



  • Pas d'explication. Rien à relancer manuellement. Regardez vos logs. Je ne serai pas étonné de problème matériel. Vérifiez votre connectivité réseau.



  • alors justement j'ai regardéles logs et il y a environ 1 heure que je l'ai relancé et dans les logs systems je vois ceci:

    kernel : airlookup 130.130.255.254 failed : host is not on local network
    kernel : airlookup 130.130.1.192 failed : host is not on local network

    Ces 2 machines ont les même adresses IP que quand ça fonctionnait juste avant que je redémarre. Donc c'est pas un souci de configuration. Que veulent dire ces 2 log pour vous ? Et question de defaillance machine, vous pensez à quoi en particulier ? Le switch que j'utilise ?

    merci d'avance pour votre aide et vos réponses.

    raptor45.

    ps : peut-on se tutoyer pour que ce soit plus simple pour écrire ?



  • Je viens de nouveau de regarder les logs après avoir reboot le switch coté WAN cette fois-ci et il me met les même log que j'ai indiqué précédemment mais aussi cela : kernel: sis0: applying short cable fix (reg=0= qu'est-ce que ça signifie ?

    raptor45.



  • J'ai encore une nouveauté ! Tout à l'heure le ping vers le WAN ne fonctionnait pas du tout et là j'ai ceci quand je ping le pc coté WAN ainsi que le switch coté WAN:

    envoi d'une requete ping sur 130.130.255.254:

    reponse de 192.168.1.1 : durée de vie expirée lors du transit (je l'ai 4 fois)

    Par contre si je ping l'interface WAN de pfsense à partir du LAN ça fonctionne alors que tout à l'heure ça ne fonctionnait pas. Merci pour votre aide, sincèrement !

    raptor45.



  • kernel : airlookup 130.130.255.254 failed : host is not on local network
    kernel : airlookup 130.130.1.192 failed : host is not on local network

    Quel masque avec ces ip ?



  • un /16 : 255.255.0.0

    et dans mon switch, dans la config reseau : la passerelle j'ai mis ça : 130.130.255.253 c'est à dire l'interface WAN de pfsense c'est bon ça ?



  • Le masque est bon.
    La configuration ip du switch n'a aucune importance dans votre cas.



  • je suis retourné dans les logs et j'ai de nouveau ce message:

    kernel: arlookup 130.130.1.192 failed: host is not on local network

    Donc toujours le PC du coté WAN qui va pas. Pouvez-vous me dire pourquoi il me dit qu'il n'est pas dans le réseau local alors que justement je ne veux pas qu'il y soit puisque c'est du côté WAN !

    raptor45.



  • Comment est configurée l'interface wan (copie d'écran) , comment tout cela est il physiquement connecté ?



  • Alors les captures d'écrans sont attachées. Concernant la passerelle pour l'interface WAN je suis presque sur de m'être trompé mais je ne sais pas quoi mettre.

    Concernant les connexions physiques c'est comme sur le schéma que je t'ai envoyé dans un des posts précédent:

    PC du LAN –---------------------------Interface LAN-----PFSENSE-----Interface WAN-----------------------------------Switch-----------------PC du WAN

    Merci encore.




  • je t'envoie les autres captures à part car c'est trop volumineux, ça passe pas sinon.




  • et la dernière.




  • vous en pensez quoi ?



  • La configuration Wan n'est pas bonne. La gateway doit être, en principe, un routeur situé sur internet, dans le même sous réseau que l'ip Wan. Dans votre cas c'est impossible. Remplacez la valeur par celle du pc côté wan. Cela n'a pas grand sens mais au moins ne perturbera pas le routage de Pfsense. Et vous n'aurez plus de boucle de routage.



  • J'ai hésité à mettre la même IP que le PC en GW mais je savais pas trop. Merci pour le renseignement. Alors il ya du mieux après cette modification: je ping le WAN à partir du LAN.

    En revanche, je n'arrive toujours pas à pinguer le LAN à partir du WAN. Il me dit : delai d'attente de la demande dépassée. Qu'est-ce que je peux faire pour ça svp ?



  • Ce que vous pouvez faire ? Apprendre comme fonctionnent les protocoles, dont icmp. Pour cela : http://christian.caleca.free.fr/
    Comprendre comment fonctionne Pfsense en lisant la doc.



  • Ca je veux bien, mais comment expliquez-vous que tout à l'heure je pinguais le LAN à partir du WAN et que suite au reboot ça ne ping plus ? Je n'ai rien modifié sauf la plage d'adresse IP du DHCP pour le LAN c'est tout.



  • Je ne l'explique pas parce que je n'ai pas votre configuration sous la main et parce que votre configuration était complètement erronée sur le plan du routage avec , à la clé, des comportements imprévisibles.
    Par ailleurs votre config est un peu "spéciale" pour dire les choses gentiment. En fait elle ne correspond pas aux conditions d'utilisation prévues pour Pfsense. Du moins pas à des conditions d'utilisation basiques.
    Enfin je n'ai aucune raison de penser que votre méthodologie de test est fiable, et que votre configuration ne comporte pas d'autres erreurs comme des problèmes de câblage.



  • Qu'entendez-vous par ma configuration est "spéciale" ? Si je fais ça c'est que je veux ensuite mettre en place OpenVPN. Sera-t-il possible de mettre en place OpenVPN dans mon cas de figure ?

    Concernant les câbles, il faut un câble croisé entre le PC LAN et l'interface LAN de pfsense c'est ça ?
    Et un câble droit entre le PC côté WAN et le switch. Et un câble droit entre le switch et l'interface WAN de pfsense c'est ça ?



  • Wan est prévu pour être connecté à internet. Sur Wan la translation d'adresses est active par défaut. Si vous n'avez besoin que d'un serveur vpn alors installez un serveur vpn (Debian + Openvpn par exemple) et pas Pfsense.



  • oui c'est sur que je peux partir sur du debian + openvpn mais j'ai envie de connaitre ce produit qu'est pfsense. Rien ne m'empeche de monter openvpn sur une debian plus tard egalement pour voir.

    Mais en le configurant de la sorte dans mon cas, il est tout à fait possible de monter un lien VPN entre mon LAN et mon WAN non ? Par contre vu qu'il n'y a pas de connexion internet je ne vois pas comment c'est faisable. Moi ce que je veux faire vraiment c'est monter un VPN sur pfsense mais comment faites-vous pour tester ça quand vous ne connaissez pas ? Car je ne peux pas passer à travers le net pour faire ça (je travaille à 50 km de chez moi) donc pour faire les tests il faut bien que j'ai les 2 machines devant moi: à savoir une côté LAN et une côté WAN c'est pour ça que je me suis lancé dans cette configuration. Pouvez-vous me dire comment je peux faire pour faire une maquette VPN svp ? A part avec une clé 3g car je n'en ai pas.

    Merci pour vos réponses.



  • petit up svp

    raptor45.



  • Je m'y suis remis ce matin et c'est bon ça fonctionne. J'ai supprimé la règle dans firewall: rules: WAN et j'ai mis celle-ci:

    Proto                          Source                  Port              Destination               Port             GW
    ICMP                       130.130.1.192             *                   LAN net                    *                  *

    Donc c'est ok. Je ping dans les 2 sens.

    2ème phase : créer un lien VPN entre les 2 et vérifier que c'est crypté. Mais avant créer une connexion sans VPN et vérifier que c'est pas crypté. Pour cela, j'ai mis un nouveau post sur le forum. Merci d'avance.

    raptor45.


Log in to reply