Pardon, mauvais terme. Elle ne route pas vers le PfSense, faute de route, elle ignore que les les réseaux derrière le PfSense existent (et doit probablement router vers WAN à la place).

Pardon, mauvais terme. Elle ne route pas vers le PfSense, faute de route, elle ignore que les les réseaux derrière le PfSense existent (et doit probablement router vers WAN à la place).

D'accord, elle n'a pas de route vers ce sous-réseau.

Tu peux me montrer un exemple de double NAT où l'existence d'une telle route a un effet?

Ce que je ne comprends pas, c'est le besoin de propager l'UPnP jusqu'à la FBX, en fait. Vu que le PfSense est en DMZ, tout devrait passer vers lui de toute façon, non ?

c'est uniquement en NAT 1-1 ca:
exemple:

pc1(10.40.1.2) ---(10.40.1.1)-pfsense NAT1:1-(10.140.1.1)--(10.140.1.254)fbx(NAT N:1)-IP PUB
pc2(10.40.1.3) --|


j'ai 2 pc ou autres derriere le pfsense sur le réseau 10.40.1.0/24
le réseau entre le pfsense et la fbx est 10.140.1.0/24

le NAT 1:1 consiste a mapper 10.40.1.x sur 10.140.1.x (on change que l'IP par les ports)

La freebox verra autant d'ip sur son LAN que de machines sur 10.40.1.x, elle verra donc 10.140.1.1 (pfsense), 10.140.1.2 (pc1) et 10.140.1.3 (pc2) (avec la meme adresse MAC car c'est le pfsense qui porte ces 3 IP).
si tu  veut ouvrir un port pour pc1 en upnp, il faut dire a la freebox de renvoyer ce port sur 10.140.1.2 et pas sur la dmz 10.140.1.1 donc faut bien propager un upnp (modifié par le NAT 1:1 qui plus est):

pc1 envoie un upnp a pfsense: "rediriger le port tcp 80 sur 10.40.1.2". Pfsense doit propager ce message a la freebox mais en changeant: "rediriger le port tcp 80 sur 10.140.1.2".

mais bon on se complique pour rien car je ne pense pas que le NAT 1-1 solutionnera ton souci de 'nat strict'. Apres tu peux toujours essaye pour le fun. Tu peux NAT 1:1 tout un subnet (/24 par exemple) vers un autre subnet de meme taille ou juste une IP vers une IP par exemple (une IP étant un subnet /32).cf: http://blog.stefcho.eu/1-1-nat-in-pfsense-and-dd-wrt/ par exemple

deja faut tester en mettant une console directement derriere la fbx déja pour voir si c'est elle le coupable ou le double NAT.

Par contre, toujours pas de NAT Loopback. Quand je suis connecté directement sur la Freebox, ça ne fonctionne pas mieux, donc je pense qu'elle ne le gère pas. Un moyen de "shunter" ça au niveau du PfSense ?

tu veux du loopback dynamique (aka compatible upnp) ou statique (ouverture d'un port a la main vers toujours la même ip interne) ?

pour du dynamique je ne vois pas (sinon dns menteur).

pour du statique, on doit pouvoir faire ca avec du destination NAT:

pc1(10.40.1.2) ---(10.40.1.1)-pfsense-(10.140.1.1)--(10.140.1.254)-fbx-IPPUB
pc2(10.40.1.3) --|


pc2 est serveur web port 80 par exemple et 10.140.1.1:80 va donc sur 10.40.1.3:80 (configuration ouverture port dans le pfsense).
IPPUB allant toujours sur 10.140.1.1 (DMZ) on a bien pc2 accessible depuis l’extérieur sur le port 80 d'IPPUB.

si pc1 veut accéder a IPPUB:80 sa demande va atteindre la fbx et la ca merdouille car elle ne loopback pas pour renvoyer sur pc2.

il faut donc que pfsense intercepte les demandes pc1 vers IPPUB:80 de facon particuliere.

avec du NAT destination (ou du NAT sur le 'in' de l'interface lan), on peut translater le trafic a destination de IPPUB:80 vers autre chose, par exemple directement PC2:80 ou 10.140.1.1:80.

edit: a la réflexion, peut être qu'on peut même généraliser et translater tout IPPUB vers 10.140.1.1 ce qui ferait le job même en dynamique?

hum a priori ce n'est pas possible avec pfsense je ne vois pas d'option pour faire du 'destination NAT'. A priori on ne peut modifier que l'adresse source.