J'avoue que je ne comprends pas pourquoi le double NAT te pose problème. Je l'ai déjà fait, ça fonctionne bien, y compris pour du https, y compris en accédant depuis le LAN1 et depuis le LAN2 à l'IP publique WAN, qui elle même redirige vers des machines du LAN1 ou du LAN2 (double NAT / Double redirection de ports).

sinon, j'entends déjà les amis du forum arriver au loin qui vont te dire que c'est enfantin en IPv6. Perso, je n'en sais rien...

Sur les PC connectés en direct sur la Bbox on peut faire une règle permanente avec la commande "route". par contre tu peux faire ca que sur les PC...et je trouve pas ca très propre mais au moins ca a le mérite de marcher. il y a peut etre d'autres solutions qui ne me traversent pas l'esprit pour l'instant.

Une solution alternative, pour permettre à des machines du réseau 1.0 (BBOX) d'accéder au réseau 2.0 (ubiquiti) c'est de mettre dans le DHCP une option 121 "route statique".
DHCP Option 121, c'est un truc puissant et assez peu connu!
Ma BBox (modèle ancien) a une option pour ça mais elle est 100% bugguée.
J'avais fait un sujet là dessus : https://lafibre.info/installation-ftth/parametrage-options-dhcp-121-dans-la-bbox/
J'avoue que je ne sais même pas comment remonter un bug aux équipes de développement BBox!
A toi de voir si l'option fonctionne dans ta BBox plus récente.

Si tu as le même problème, en alternative, il faudrait désactiver le serveur DHCP de la BBox, et rendre l'ubiquiti serveur DHCP aussi sur le réseau 1.0, et faire des entrées "DHCP option 121" dessus. C'est pas simple, et difficile à maintenir, à débugguer, à comprendre. Mais c'est sans doute faisable.

Honnêtement, le plus simple serait de tout mettre d'un seul côté de tes réseaux.

Leon.

Si je comprends bien, ton problème est plutôt lié au hairpin NAT qu'au double NAT (utiliser l'ip publique en interne pour accéder à un service derrière cette ip publique).
Honnêtement, je sais pas si il est possible de le faire sur une BBOX.

Cherche si il est possible de mettre en place ce hairpin NAT sur BBOX, mais d'après Leon ça a l'air déjà en place.

Bonjour à tous et merci pour vos réponses .
J’ai teste l’option avec le DHCP sans grand succes. En fait, j’ai voulu proceder comme ça pour garder un réseau domestique d’un cote et de l’autre un réseau plus avec mon NAS, mon serveur de test qui est isolé de tous les appareils sauf certains comme le PC portable. Dans ma situation, je ne peux pas changer le routeur Bbox.

Bonjour à tous et merci pour vos réponses .
J’ai teste l’option avec le DHCP sans grand succes. En fait, j’ai voulu proceder comme ça pour garder un réseau domestique d’un cote et de l’autre un réseau plus avec mon NAS, mon serveur de test qui est isolé de tous les appareils sauf certains comme le PC portable. Dans ma situation, je ne peux pas changer le routeur Bbox.

Pourquoi tu souhaites "isoler" ce réseau [NAS + serveur], vu que tu as de toutes façon besoin d'accéder au NAS (et au serveur) depuis ton LAN principal? Ca n'est pas clair pour moi.
Tu as besoin de fonctions avancées de l'ubiquiti cloud gateway?
C'est pas clair pour moi ton "cahier des charges".

Leon.

Salut,

Avec ton proxmox tu peux déjà mettre en place une machine virtuelle avec un DNS, ce qui te réglera le soucis d'accès par ton nom de domaine : ton DNS donnera les IP locales et non pas l'IP publique. Enfin... avec la bbox qui doit sans doute annoncer ses DNS en IPv6, ça va marcher 1 fois sur 2... à moins que ça soit désactivable ?

Quant au fait que tes services derrière l'ubiquiti sont inaccessibles par les machines en 192.168.1.0/24, c'est dû au NAT. Le cloud gateway s'attend à recevoir des requêtes sur son IP WAN (192.168.1.180), pas d'autres. Il faudrait donc faire une conf hybride, qui fait du NAT pour le net, mais autorise le routage simple entre les 2 LAN.

C'est quelques lignes d'iptables/nftables sur un Linux lambda, mais sur le cloud gateway, je ne sais pas si c'est aussi facilement configurable.

Ce qui est certain, c'est que tu dois avoir accès au NAS depuis le réseau 1 (BBox) en tapant l'adresse du routeur Ubiquiti https://192.168.1.180:8080/ par exemple, si tu as fait la redirection, et si tu as accès depuis internet. J'aurais du mal à comprendre que ça ne fonctionne pas.
Leon.

Entièrement d'accord.
Es-tu sur que tu n'essaye pas d'accéder à 192.168.2.10:port depuis le réseau 192.168.1.0 ? Lorsque tu es dans le réseau "1" tu dois taper l'IP de NAT, donc https://192.168.1.180:port

Donc pour essayer de mieux t'aider:

Avec une IP en 192.168.2.X, tu peux accéder à 192.168.2.10:port ? A priori oui d'après ton message
Avec une IP en 192.168.1.X, tu peux accéder à 192.168.1.180:port ? Ce qui serait logique, mais tu sembles dire non ? ou alors tu essaye directement l'Ip en 192.168.2.0 ce qui ne marchera jamais sans route (ce qui règlerait tout tes soucis mais pas configurable sur une box opérateur comme Bouygues. Et encore avec ce setup il faudra gérer le routage asymétrique).
Depuis internet, tu peux accéder avec le nom DNS ? A priori oui. Ça veut dire que les deux NAT semblent bon.
Avec une IP en 192.168.1.X, tu peux accéder avec le nom DNS ? A priori Non.
Avec une IP en 192.168.1.X, tu peux accéder avec l'IP publique au service ? A priori Non plus ?
Avec une IP en 192.168.2.X, tu peux accéder avec le nom DNS (immich.x.x) ? A priori Non
Avec une IP en 192.168.2.X, tu peux accéder avec l'IP publique au service ? A priori non


Si mes a priori sont correct, le NAT fonctionne aux deux niveaux. Donc je maintiens ce que je dis depuis le début, à mon avis c'est un problème de hairpin NAT (ou loopback NAT comme dit Leon). En gros ta redirection de port fonctionne quand tu viens de l’extérieur mais pas quand tu es en interne. A moins que la box Bouygues ait une option hairpin NAT ou lookpback NAT, tu ne pourras pas utiliser le nom DNS en interne du reseau "1".
Pour le réseau "2", sur à 100% que l'Ubiquiti te permet de faire une règle NAT du style "dst IP publique" vers "Dst IP du serv interne" avec du hairpin/loopback.

Il te faudrait déployer d'autres solutions, comme un DNS interne etc pour éviter ces règles NAT supplémentaires.

L'autre solution c'est faire de l'IPv6  Dans ce cas tu n'aurais plus ce problème  Le firewall bridgé devrait fonctionner aussi, mais j'ai jamais trop utilisé.