Redirection de port (2 fs en fo et 1whs 2011)

[Tatave]

Bonjour,

J'ai petit soucis avec mes ports forward et l'accès vers un whs 2011

• Internet ==> bbox
  Router    ==> deux pfsense 2.1 release cpu and
  Serveur  ==> un whs 2011
  Clients    ==> windows 7 et 8

Les ports en TCP que je dois rediriger sont :

• 80
  443
  4125

Schéma :

bbox –--- 2 pfsense --- lan

Avant de vous demander conseil, j'ai fait quelques petites vérifications :

• le whs 2011 derrière la box j'ai accès aux sites qui sont sur le whs 2011
• le whs 2011 derrière les deux pfsense
• un client en directe sur la zone de la box
• un client en directe sur la zone lan des pfsense

Les paramètres de Nat

WAN TCP * * WAN address 80 (HTTP)         192.168.3.16 80 (HTTP)  
WAN TCP * * WAN address 443 (HTTPS)         192.168.3.16 443 (HTTPS)  
WAN TCP * * WAN address 3389 (MS RDP) 192.168.3.16 3389 (MS RDP)  
WAN TCP * * WAN address 4125                 192.168.3.16 4125

Les paramètre des règles sur la carte wan

IPv4 TCP * * 192.168.3.16 80 (HTTP)         * none   NAT 
IPv4 TCP * * 192.168.3.16 443 (HTTPS)         * none   NAT 
IPv4 TCP * * 192.168.3.16 3389 (MS RDP) * none   NAT 
IPv4 TCP * * 192.168.3.16 4125                 * none   NAT

si j'ai bien suivi ce qui se disait sur le forum et d'autre site traitant le sujet, d'où ma demande de conseil, j'ai beau retourner le problème dans ma caboche, j'ai l'impression de tourner en rond.

merci

[baalserv]

Bonjour,

Dans vos règles de Nat, essayez en remplacant dans la destination ''Wan Adresse'' par ''Any''

Cordialement

[Tatave]

Re,

@ baalserv

je fais les modifications et je vois

merci

[jdh]

(Je ne pense pas que c'est WAN address ni Any !)

Vous n'insistez pas assez sur "2 pfsense" !

Est ce un "cluster" de 2 pfSense ?

Si c'est le cas, cela signifie que chaque pfsense du cluster dispose de sa propre "WAN Address" et partage la vraie ip publique (p.e. ipWAN en alias).
Si c'est la cas, la règle NAT (et la règle WAN induite) doivent indiquer comme adresse de destination … ipWAN !

[Tatave]

Re

@Baalserv ==> nok

@jdh

• effectivement c est un cluster de deux pfsense en failover

les deux pf ont 4 cartes réseaux (dont une qui sert de synchro pf/pf)

• 1 wan
  1 lan
  1 synchro
  1 non attribué pour l'instant

• par contre je suis pas sûr de comprendre , en faite non je ne comprends pas se que vous voulez dire par " la règle NAT (et la règle WAN induite) doivent indiquer comme adresse de destination … ipWAN ! "

Les paramètres de Nat

WAN    TCP    *    *    WAN ipcarp    80 (HTTP)            192.168.3.16    80 (HTTP)       
WAN    TCP    *    *    WAN ipcarp    443 (HTTPS)            192.168.3.16    443 (HTTPS)       
WAN    TCP    *    *    WAN ipcarp    3389 (MS RDP)    192.168.3.16    3389 (MS RDP)       
WAN    TCP    *    *    WAN ipcarp    4125                    192.168.3.16    4125

Les paramètre des règles sur la carte wan

IPv4 TCP    *    *    192.168.3.16    80 (HTTP)            *    none        NAT     
IPv4 TCP    *    *    192.168.3.16    443 (HTTPS)            *    none        NAT     
IPv4 TCP    *    *    192.168.3.16    3389 (MS RDP)    *    none        NAT     
IPv4 TCP    *    *    192.168.3.16    4125                    *    none        NAT

• autre question ne faudrait il pas que je mets en place des alias ou un dns forwarder ?

[Tatave]

re all, j'ai ne parti trouvé

merci a vous deux

il fait que dans le nat je fasse

If         Proto Src. addr Src. ports Dest. addr         Dest. ports NAT IP         NAT Ports Description

WAN TCP           *          *                 alisa ou ip public 80 (HTTP) 192.168.3.16 80 (HTTP)

WAN TCP           *          *                 alisa ou ip public 443 (HTTPS) 192.168.3.16 443 (HTTPS)

WAN TCP           *          *                 alisa ou ip public 3389 (MS RDP) 192.168.3.16 3389 (MS RDP)

WAN TCP           *          *                 alisa ou ip public 4125 192.168.3.16 4125

bon apres restera le soucis du changement d'ip si mon fai le fait

[jdh]

Les alias sont absolument nécessaires, surtout avec un cluster !

Le principe du cluster, c'est de partager des adresses ip : le master les possèdent, le slave les récupèrent quand le master ne répond plus.

Dans les règles NAT ou les règles d'interfaces classiques, on utilisera non pas "WAN Address" mais l'alias de l'ip WAN partagée.

Cluster :

• machine 1 : ipWAN1, ipLAN1, ipDMZ1
• machine 2 : ipWAN2, ipLAN2, ipDMZ2
• adresses partagées : ipWAN, ipLAN, ipDMZ

Les règles doivent être écrites en utilisant les alias des adresses partagées !
Par contre, on utilisera "LAN subnet", "WAN subnet" ou "DMZ subnet" puisque c'est la même valeur pour chaque machine !

NB : on ajoute normalement des règles "croisées" d'accès à l'interface d'administration d'une machine vers l'autre, pour permettre l'échange "CARP" !

(Je présume que vous n'avez pas mis en place vous-même le cluster …)