Netgate Discussion Forum
    • Categories
    • Recent
    • Tags
    • Popular
    • Users
    • Search
    • Register
    • Login

    Bloquer accès administration d'un point d'accès aux clients Wifi ???

    Scheduled Pinned Locked Moved
    Français
    3
    11
    4.9k
    Loading More Posts
    • Oldest to Newest
    • Newest to Oldest
    • Most Votes
    Reply
    • Reply as topic
    Log in to reply
    This topic has been deleted. Only users with topic management privileges can see it.
    • T
      Trisogol
      last edited by

      Bonsoir,

      J'ai configuré un portail captif a l'aide d'un point d'accès (AP) et je voudrais faire en sorte que le WLAN (172.16.1.0/24) n'accéde à aucune ressource du réseau "WAN" (192.168.1.0/24).
      J'ai donc créé une règle pour bloquer tous trafic en provenance du LAN net vers WAN net qui fonctionne très bien.

      Par contre je voudrais trouver un moyen pour faire en sorte que les client WIFI du AP ne puisse pas accéder à la page d'administration ou effectuer des ping sur le AP.

      J'ai beau retourner le problème dans tous les sens il me semble que ce n'est pas possible.

      Si quelqu'un à une idée  ???

      Merci

      Box .1
          |
          | WAN = 192.168.1.0/24
          |
      PfSense
          |
          | LAN = 172.16.1.0/24
          |
        AP .254

      1 Reply Last reply Reply Quote 0
      • J
        jdh
        last edited by

        Il n'y a pas à chercher longtemps : ce trafic ne passe pas dans pfSense !

        (Le trafic décrit ne concerne que l'AP et le client.)
        Il est peut-être judicieux d'affecter une adresse interne de l'AP qui ne soit pas dans la range de l'interface WIFI de pfSense …

        Albert EINSTEIN : Si vous ne pouvez pas l'exprimer simplement, c'est que vous ne le comprenez pas assez bien. (If you can’t explain it simply, you don’t understand it well enough.)

        1 Reply Last reply Reply Quote 0
        • C
          ccnet
          last edited by

          D'une façon générale, l'administration devrait utiliser un réseau filaire séparé. Pfsense devrait donc être configuré avec 3 interface et l'ap devrait être connecté sur opt1. L'administration se faisant via l'interface l'an.

          1 Reply Last reply Reply Quote 0
          • T
            Trisogol
            last edited by

            @jdh:

            Il n'y a pas à chercher longtemps : ce trafic ne passe pas dans pfSense !

            (Le trafic décrit ne concerne que l'AP et le client.)
            Il est peut-être judicieux d'affecter une adresse interne de l'AP qui ne soit pas dans la range de l'interface WIFI de pfSense …

            La solution de l'adresse dans un autre réseau pour l'AP en plus du log et password me semble suffisant dans mon cas.

            Pour ce qui est d'une configuration avec 3 interfaces je ne vois pas bien comment faire.

            Encore merci pour vos réponses

            1 Reply Last reply Reply Quote 0
            • C
              ccnet
              last edited by

              Pour ce qui est d'une configuration avec 3 interfaces je ne vois pas bien comment faire.

              Cela me semble asse évident pourtant.
              L'interface Wan reste connecté comme actuellement.
              L'ap est connecté à OPT1
              L'interface Lan est utilisée avec une connexion filaire pour administrer Pfsense. Éventuellement vous le port pour l'accès à l'administration de Pfsense si l'utilisation de TCP/443 vous pose un problème.

              1 Reply Last reply Reply Quote 0
              • T
                Trisogol
                last edited by

                @ccnet:

                Pour ce qui est d'une configuration avec 3 interfaces je ne vois pas bien comment faire.

                Cela me semble asse évident pourtant.
                L'interface Wan reste connecté comme actuellement.
                L'ap est connecté à OPT1
                L'interface Lan est utilisée avec une connexion filaire pour administrer Pfsense. Éventuellement vous le port pour l'accès à l'administration de Pfsense si l'utilisation de TCP/443 vous pose un problème.

                Je me suis mal exprimé, c'est surtout que je ne vois pas ce que ça va m'apporter de plus de le faire avec 3 interfaces plutôt que 2.
                Si ce n'est bien sur que d'avoir pfSense entre mon LAN privé et ma box.

                Mon LAN privé étant également l'accès WAN, mon objectif est juste de faire en sorte que les invités WIFI puissent se connecter à internet sans pouvoir accéder à des ressources du LAN privé (WAN), ni à la page d'administration du AP.

                Je précise que l'administration est uniquement possible par le port 443 via le LAN privé (WAN).

                Voir le schéma ci-dessous

                ![Portail captif.jpg](/public/imported_attachments/1/Portail captif.jpg)
                ![Portail captif.jpg_thumb](/public/imported_attachments/1/Portail captif.jpg_thumb)

                1 Reply Last reply Reply Quote 0
                • J
                  jdh
                  last edited by

                  Avec un tel schéma, il y a 2 inconvénients majeurs :

                  • il n'y a pas de firewall interne (ce qui n'est pas du tout bon),
                  • il y a accès presque normal au micro entre le routeur et le firewall (sauf règle précise).

                  Il me semble absolument nécessaire, compte tenu du besoin exprimé (pas d'accès au LAN) de placer le firewall immédiatement près du routeur avec un schéma traditionnel :

                  Internet <-> routeur <-> (WAN) pfsense (LAN) + (OPT1=WIFI).

                  Il y a 2 méthodes simples : soit changer l'adressage du LAN soit celui du routeur.

                  NB : le schéma indiqué en premier post est donc erroné et nous a envoyé sur de fausses pistes …

                  Albert EINSTEIN : Si vous ne pouvez pas l'exprimer simplement, c'est que vous ne le comprenez pas assez bien. (If you can’t explain it simply, you don’t understand it well enough.)

                  1 Reply Last reply Reply Quote 0
                  • T
                    Trisogol
                    last edited by

                    @jdh:

                    Avec un tel schéma, il y a 2 inconvénients majeurs :

                    • il n'y a pas de firewall interne (ce qui n'est pas du tout bon),
                    • il y a accès presque normal au micro entre le routeur et le firewall (sauf règle précise).

                    Il me semble absolument nécessaire, compte tenu du besoin exprimé (pas d'accès au LAN) de placer le firewall immédiatement près du routeur avec un schéma traditionnel :

                    Internet <-> routeur <-> (WAN) pfsense (LAN) + (OPT1=WIFI).

                    Il y a 2 méthodes simples : soit changer l'adressage du LAN soit celui du routeur.

                    NB : le schéma indiqué en premier post est donc erroné et nous a envoyé sur de fausses pistes …

                    Le schéma du premier post est le même, mais je conviens que les dénominations sont ambigües.
                    J'ai adopté cette topologie pour deux raisons.

                    1. Le matériel mis à ma disposition pour pfSense ne dispose que de deux NIC.

                    2. Le choix de ne pas mettre le firewall entre le LAN privé (WAN) et le routeur ne me semble pas indispensable étant donné que la configuration initial avant mise en place du portail captif était que le réseau privé était directement relié à la box.

                    Mais je comprend parfaitement qu'il serait plus sécure et plus logique de mettre en place une topologie comme vous la décrivez mais elle me demanderai 3 interfaces.

                    1 Reply Last reply Reply Quote 0
                    • C
                      ccnet
                      last edited by

                      pfSense ne dispose que de deux NIC.

                      Coût d'une carte réseau ? Cinq euros sur Ebay pour une carte Intel, dix peut être ? Pour une carte Gigabit on monte carrément à près de vingts euros.

                      L'argument n'est pas sérieux pas plus que celui qui consiste à dire que c'était comme cela avant.

                      Il me semble aussi absolument nécessaire (indispensable) de placer le firewall après le routeur et avant tous les réseaux accédant (ou non) à internet.

                      J'ai beau retourner le problème dans tous les sens il me semble que ce n'est pas possible.

                      Il suffit juste d'utiliser une architecture adaptée.

                      1 Reply Last reply Reply Quote 0
                      • T
                        Trisogol
                        last edited by

                        ::) Ma config est a base de carte mère mini-ITX ayant un seul port PCI, il faudra que je jette un oeil sur le prix des cartes multi NIC.

                        Je prend note de vos suggestions pour faire évoluer cette maquette dans ce sens.

                        Merci pour vos réponses

                        1 Reply Last reply Reply Quote 0
                        • J
                          jdh
                          last edited by

                          Installer un firewall derrière le routeur est une bonne action.
                          (Le schéma idéal sera bien sur avec 3 cartes réseau : ccnet donne des pistes mais certains hardware ne sont pas adaptés.)

                          Il faut penser à valoriser en interne cette action :

                          • cela apporte une sécurisation : filtrage en sortie, filtrage en entrée puisque on doit écrire chaque règle, …
                          • cela permet un ajout fonctionnel : le réseau wifi (avec portal) n'aura pas accès au réseau interne,
                          • cela apportera d'autres fonctions : vpn, mise en réseau vers d'autres sites, ...

                          Cela est factuel et montrera votre implication personnelle.

                          Albert EINSTEIN : Si vous ne pouvez pas l'exprimer simplement, c'est que vous ne le comprenez pas assez bien. (If you can’t explain it simply, you don’t understand it well enough.)

                          1 Reply Last reply Reply Quote 0
                          • First post
                            Last post