[résolu] failover avec 2 wan > quelques soucis

jackos

Bonjour,

Contexte : Pfsense (2.1.4-RELEASE (i386) a ce jour) en prod depuis sept/2013, niveau autodidacte

Besoin : Mettre en place une ligne sdsl pour failover à coté d'une ligne adsl existante

Schéma :

  .-------------.                 .----------------.
  | SDLS Cisco  |                 | LAN            |
  | IP Fixes    |                 | 192.168.0.0/24 |
  '-------------'                 '----------------'
         |                                 |
         '------------>.---------.         |
                       | pfsense |<--------'
          .----------->| 2.1.4   |<---------.
          |            '---------'          |
   .-------------.                 .-----------------.
   | ADLS PPOE   |                 | WIFI            |
   | Mode Bridge |                 | 192.168.12.0/24 |
   '-------------'                 '-----------------'

règles par défaut rien ne passe
adsl est configuré en gateway par défaut (*)

Règles NAT : aucune

Mise en Place du Failover:

Création d'une interface SDSL en ip fixes et gateway du fournisseur
mise en place des dns sur la gateway de ce dernier dans System: General Setup
création d'un groupe AdslFailoverSdsl dans les gateways avec tiers 1 pour adsl et tiers 2 pour sdls
mise en place des ip de monitoring pour les 2 gateways
renseignement de la gateway dans les rules

Résultat (pas encore tous testé, je découvre le multiwan failover depuis ce WE)
ce qui marche: le débranchement de la ligne adsl revoit bien le trafic internet de Adsl sur Sdsl, le serveur de mail SME8 peut recevoir des mails
ce qui marche pas:

le serveur de mail ne peut plus envoyer de mails lorsque je débranche ADSL (la gateway AdslFailoverSdsl est bien renseigné dans les rules)
les ping entre LAN et WIFI ne fonctionne plus lorsque que je mets AdslFailoverSdsl en gateway dans le rules
une capture de packet me montre que les ping de LAN vers WIFI vont suar l'interface WAN ADSL au lieu de WIFI

Question : je n'ai pas encore testé les NAT (je ne connais pas trop et n'ai pas encore eu l'utilité), pensez vous que ce soit par cette piste que je dois commencer pour résoudre les problèmes?

Cordialement

ccnet

Merci d'avoir suivi es recommandations pour poster un problème.

ce qui marche pas:

le serveur de mail ne peut plus envoyer de mails lorsque je débranche ADSL (la gateway AdslFailoverSdsl est bien renseigné dans les rules)

Il peut y avoir plusieurs raisons à cela. Dans les logs de SME qu'avons nous comme messages d'erreur ? Questions subsidiaires : sme contacte directement le serveur du destinataire ? Quel est, en fonctionnement normal, chemin pour le trafic smtp ?

jackos

@ccnet:

est, en fonctionnement normal, chemin pour le trafic smtp ?

Merci ccnet, en mettant le serveur du smtp du fournisseur sdsl, ca va tout de suite mieux (j'y avais pas pensé :-[ :-[ )
je vais voir avec mon hebergeur ses solutions de smtp demain ( étant donné qu'on peut utiliser le smtp du FAI que si on se connecte à partir de sa ligne)
[i][plus d'info] le serveur SME8 récupère les mails sur un serveur externe, il envoit les mail par le smtp du FAI. A aucun moment il n'est accessible depuis internet [/plus d'info]

sinon pour le problème entre l'interface LAN et WIFI je ne trouve pas ou est le problème:
Rule par defaut

par défaut rien n'est autorisé entre LAN>WIFI et vice versa
en mettant une rules sur les ports 22/80/443 plus le ping avec gateway >*< de LAN vers WIFI >> c'est OK

rules avec renseignement de la gateways

en rajoutant gateway AdslFailoverSdls sur cette même rules >> je ne peut joindre le réseau WIFI
lorsque je fais un packet capture sur pfsense lorsque LAN tente de joindre WIFI, je retrouve les paquets sortant soit sur WAN (Adsl) ou WAN2 (Sdsl) suivant si je suis en failover ou non

jackos

Pour le smtp, j'ai utilisé celui de mon hebergeur internet dans SME8
pour le problème de communication entre LAN et WIFI: j'ai rajouté une rules en gateway "*****" et destination "WIFI net"

edit: en reprenant mes notes, dommage que je n'ai pas lu la doc plus attentivement (je suis pas fortiche en anglais ;D) https://doc.pfsense.org/index.php/Multi-WAN#Firewall_Rules
Policy Route Negation
When a firewall rule directs traffic into the gateway, it bypasses the routing table on the firewall. Policy route negation is just a rule that passes traffic to other local or VPN-connected networks that does not have a gateway set. By not setting a gateway on that rule it will bypass the gateway group and use the routing table on the firewall. These rules should be at the top of the list – or at least above any rules using gateways.