Bonjour, j'aimerais savoir si c'est possible d'avoir plusieurs passerelles sur OpenVPN pour un client.

L'idée est de faire du VPN avec un seul client sur Pfsense, et utiliser un serveur VPS chez OVH qui a des IP fail-over, car j'ai plusieurs réseaux physiques derrière ma box Pfsense, et je souhaite que chacun d'eux passent par un WAN différent sur le VPS. C'est surtout pratique pour la géolocalisation des IP 

Après, je cherche comment NATer en fonction de la gateway (si possible), le mieux serait de distribuer les IP fail-over directement au client avec le VPN en mode bridge, car la box pfsense fait très bien son boulot de NAT.
Sinon dans une logique inverse, pouvoir attribuer 2 IP au client et en faire 2 interfaces sur Pfsense? le NAT côté serveur serait alors du gâteau ^^

Pour l'instant j'ai une seule IP qui héberge un site web sur le VPS, et il me fournit aussi mon accès VPN.
Je compte migrer sur un VPS d'OVH 2016, malgré que j'ai entendu que leur conf IP est maintenant en DHCP  Actuellement je suis sur un revendeur OVH qui me propose du Gbit et 1 seule IP, là je passerais en 100Mbits pour un peu moins cher, mais je suis encore en ADSL je me pose pas la question du débit max

Une idée de la faisabilité de ce système?, même si c'est un gros bricolage dont j'espère éviter le double NAT comme actuellement, mais je doute qu'on puisse router une IP fail-over
Par la même occasion, avez-vous des retours de leur nouvelle gamme de VPS ?

Merci

j'avoue ne pas avoir bien compris la question   

en reformulant autrement la question/le probleme on arrive souvent a la réponse/solution.

Sinon j'utilise leur nouveau VPS c'est pas mal et compatible Docker contrairement a l'ancien. Par contre on n'a plus IPv6 

par contre on a acces au Canada maintenant... 

bon j'ai relus ton 1er poste et je ne comprend pas le pb du double NAT la..

réseau local --- pfsense (client vpn) --- internet --- vps ovh (serveur vpn) -(NAT)-- internet

en principe quand on fait du VPN "site to site" et on n'a pas qu'un seul NAT, coté VPS.

apres y'a peut-etre une limitation de pfsense que je ne connais pas (c'est pas https://doc.pfsense.org/index.php/OpenVPN_Site_To_Site ?) ?!

Je voudrais NATer vers plusieurs IP publiques (les fail-over) en utilisant 2 passerelles sur openVPN (côté serveur), en ayant par exemple 10.8.0.1 et 10.8.0.2, pour choisir vers quelle IP sortir derrière le VPN.
J'aimerais faire ça sans utiliser 2 clients simultanèment, ce qui prendrait plus de ressources (et un peu plus de bande passante j'imagine)

désolé mais j'ai vraiment du mal a te comprendre... "2 passerelles sur openVPN " ca veut dire quoi ?

t'as 2 LAN (LAN1=192.168.1.0/24 et LAN2=192.168.2.0/24) qui vont sur Internet via un seul pfsense. ce pfsense est en tunnel VPN avec un serveur  VPN qui a 2 IP publiques IPPUB1 et IPPUB2 et tu veux que LAN1 soit NATé sur IPPUB1 et LAN2 soit NATé sur IPPUB2 ? c'est bien ca?

J'aimerais faire ça sans utiliser 2 clients simultanèment, ce qui prendrait plus de ressources (et un peu plus de bande passante j'imagine)

Sauf que si avec ton pFsense tourne sur une machine avec au moins deux cœurs, tu obtiendras probablement de meilleurs perfs en ayant 2 clients OpenVPN dessus: chaque client va utiliser un coeur différent. Sur les connexions THD, c'est souvent le CPU qui est limitant. (bon je lis que tu es en ADSL...)
Je suis franchement pas persuadé que d'avoir un seul tunnel puisse améliorer les performances en faite...
Si tu tient à n'avoir qu'un seul tunnel, perso j'aurai tendance à créer un tunnel niveau 2 et à l'utiliser comme un trunk avec deux VLANs séparés dessus. Mais rien d'obligatoire à cela, tu peux aussi avoir deux plans d'adressage différents, à plat, sur le même tunnel.

Et je cherche à savoir si on peut assigner plusieurs IP côté serveur pour faire un NAT en fonction de cela. Ou l'inverse, mettre 2 IP sur le client?

Pourquoi tu ne pourrais pas ??! :p Je vois absolument pas ce qui risque de coincer la dessus. Par contre, il faudra probablement jouer avec des scripts sur le up/down (ce que permet OpenVPN) pour avoir ça qui remonte correctement quand tu reboot ou perte de connexion.

Sinon, je connais pas bien le principe des ip-failover... mais je sens que tu vas devoir utiliser du proxy ARP tout moche si tu veux amener les IPs de l'autre côté du tunnel...

.