Bonsoir
Une des denrieres phrases que vous dite est ' Il nous reste simplement à penser à autoriser ou filtrer nos flux transitant à travers notre nouvelle interface OpenVPN.'
y a t-il un exemple? pour les parametres par exemple pour autoriser un ensemble de client du site B sur le reseau du Pfsense qui est connecté en tant que client vpn a l'autre PFsense?
cordialement
et merci pour le tuto
@Guillaume :
Bonjour Guillaume,
je vous présente mes meilleurs vœux pour cette nouvelle année ainsi qu'à votre famille.
Merci de votre aide !
C'est exactement la manière dont j'ai monté ma configuration.
J'ai aussi renseigné un serveur dns pour chaque passerelle dans les configurations générales.
En même temps j'ai tenté de créer une règle NAT sortante pour orienté le trafic du port OPENVPN vers la bonne passerelle. Mais à chaque fois cela s'est soldé par un échec. ;-)
Une bonne journée à vous !
Pierre
@Wookiee :
Bonjour,
Je comprends mieux votre architecture. Pour relier votre unique interface WAN à deux box Internet, le plus simple est de procéder ainsi (peut-être est-ce déjà ce que vous avez fait ?) :
- configurer votre interface WAN en adresse IP statique (ex : 192.168.99.100/24)
- configurer la BOX 1 en adresse IP statique sur le même plan d'adressage (ex : 192.168.99.1/24)
- configurer la BOX 2 en adresse IP statique sur le même plan d'adressage (ex : 192.168.99.2/24)
- configurer deux gateway sur le pfSense : l'une pointant sur la BOX 1 (192.168.99.1) et l'autre pointant sur la BOX2 (192.168.99.2)
Ainsi, vos deux connexions Internet seront accessible via votre unique interface WAN.
Vous pourrez ensuite choisir de router le trafic sortant via l'une ou l'autre gateway.
Est-ce cela que vous avez fait ?
Cette configuration fonctionne-t-elle ? Si elle ne fonctionne pas, alors c'est que le routage se fait de manière asymétrique et qu'il faudra passer par une règle de floating.
Cordialement,
Guillaume
--
Provya
@Guillaume :
Bonjour et merci pour votre réponse :-)
Au départ aussi je pensais que je n'aurais juste rien à ajouter.
Mais le VPN fonctionnait avec un seul accès internet. Lorsque j'ai basculé sur le 2nd accès cela a bloqué l'accès au serveur VPN.
Oui le Pfsense héberge le serveur OpenVPN.
Comme mon Pfsense est une machine physique avec 1 interface LAN et 1 interface WAN je pensais qu'il fallait que je rajoute une interface ( une carte réseau) ou alors que je virtualise la machine pour me libérer de cela.
J'ai sûrement un problème de routage. Mais comme la machine est en production je ne peux pas faire ce que je veux ^^
Merci en tout cas. Je vais ré-épluché les articles car la solution doit être là quelque part ;-)
Cordialement.
Wookiee
@Mickelebof :
Parfait,
Merci d'avoir indiqué la solution mise en œuvre.
Cordialement,
Guillaume
--
Provya
@Guillaume :
Merci pour votre aide, je viens juste de trouver le problème !
En fait avec le paquet capture, j'avais des erreurs de checksum.
Je les avais mis de côté vu que le ping passait bien.
Je suis revenu sur ma configuration initiale, qui correspond donc à votre tuto et j'ai désactivé la case : Disable hardware checksum offload
Et là, miracle, tout fonctionne parfaitement !
En vous souhaitant un très bon week end :)
Cordialement,
Mick
@Mickelebof :
Je comprends mieux votre schéma avec votre explication.
Vous ne devez pas remplacer le 1:1 NAT par du Outbound NAT, mais faire les deux : vous conservez la configuration 1:1 NAT et vous ajoutez une règle d'Outbound NAT pour votre interface WAN (à faire sur chaque pfSense).
Cordialement,
Guillaume
--
Provya
@Guillaume :
Effectivement, en utilisant le pfsense comme gateway par défaut, ça prend tout son sens (je n'y avais pas pensé) :-)
Je me doutais que ça n'allait pas vous plaire cette histoire de LAN et WAN sur mon schéma, je ne savais pas comment les représenter :-P
En fait ce sont juste les noms de mes interfaces sur le pfsense (qui est une VM).
J'ai donc juste une interface avec comme adresse 192.168.1.12 (site A) qui s'appelle "WAN" dans pfsense.
L'interface LAN (logique) est celle qui porte l'IP du tunnel 10.0.8.1 (site A)
Ok donc si j'ai bien compris, votre tuto implique d'utiliser le pfsense comme default gw pour que ça fonctionne et donc dans mon cas ne pas faire du NAT 1:1 mais du Outbound. Je vais donc essayer ça de ce pas, merci :)
Cordialement,
Mick
@Mickelebof :
Je voulais parler de 1:1 NAT et non pas d'Outbound NAT dans ma réponse précédente.
Si pfSense est la passerelle par défaut de vos équipements alors vous n'avez pas besoin d'ajouter de routes sur vos postes A et B. Mais vu ce que vous décrivez, je comprends que ce n'est visiblement pas le cas.
Si pfSense n'est pas la passerelle par défaut alors à votre place je ferais du SNAT : c'est-à-dire configurer une règle d'Outbound NAT sur le pfSense du site B pour que les paquets en provenance du site A et à destination du LAN du site B prennent l'adresse IP du pfSense du site B.
Idem dans l'autre sens sur le pfSense du site A.
Je ne comprends pas très bien votre schéma où LAN et WAN semblent inversés et surtout où il semble que la gateway du pfSense (le routeur fibre) soit sur le même réseau que votre LAN (192.168.1.0/24). Vous ne pouvez pas avoir le même plan d'adressage côté LAN et côté WAN ; ou alors c'est que vous aimez réellement vous créer des problèmes ;-)
Cordialement,
Guillaume
--
Provya
Bonjour @Guillaume
Merci pour la réponse rapide !
J'utilise pfsense (2.4.5):)
Alors en fait, si depuis le site A (192.168.1.119) je veux joindre 192.168.1.152 du site B, il faut donc que j'atteigne 192.168.200.152 depuis mon site A, correct ?
Donc sur ma machine 192.168.1.119, il me faut une route pour lui dire d'atteindre 192.168.200.0/24 en passant par 192.168.1.12 (IP pfsense) ?
Sinon j'ai un network unreachable.
J'ai essayé de faire un schéma de mon besoin, j’espère qu'il est compréhensible :)
Schéma : https://nextcloud.sboule.fr/s/p9DQQ2cBQPMNcXA/preview
Sans cette route, je ne vois pas comment je peux joindre 192.168.200.0/24 depuis mon réseau A en 192.168.1.0/24.
J'ai bien sur mis la route retour sur la machine du réseau B.
"Les règles d'Outbound NAT sont-elles bien configurées sur la bonne interface (l'interface logique OpenVPN) ?" =>
Alors justement c'est bien là la question, vous ne parlez pas de règle Outbound dans le tuto et je dois avouez que j'ai du mal avec ça, donc il en faut bien ?
J'ai essayé pas mal de règles, sur l'interface logique OpenVPN, mais rien y fait.
Je pense que je ne dois pas faire comme il faut à ce niveau :(
Mick