Auteur Sujet: UPnP-IGD et NAT Loopback en Double NAT ? (Lu 24258 fois)

kgersen · « **Réponse #24 le:** 01 mai 2017 à 12:43:50 »

Citation de: Hakujou le 01 mai 2017 à 11:41:21

Je joins une capture de l'interface de création de règle, au cas où...

Sinon, un autre moyen d'arriver à ce résultat ?

difficilement. peut-etre avec des regles pf faites a la main mais ca va etre coton de cohabiter avec l'interface de pfsense.

Tu veux du lookback statique ou dynamique déjà? si c'est que statique autant partir sur une solution sans loopback avec du dns par exemple.

y'a 2 difficultés ici:

(A) translater ou router les paquets dont "dest=IPPUB" de facon a ce qu'ils ne quittent pas le pfsense pour aller sur la fbx.
(B) gérer le loopback pour ces paquets (ie les renvoyer sur le lan avec dest qui correspond a la machine qui gere le port)

B ce fait via le NAT loopback (reflection en jargon pfsense).

en general dans un routeur/firewall les routages/transformations (NAT) s'effectue en entrée ou sortie des interfaces.

ici vu qu'on veut A+B et vu que B marche en sortie de l'interface WAN, pour réaliser A il va falloir impérativement agir en entrée de l'interface LAN.

il faut donc une regle de redirection qui change la destination des paquets entrants dans le pfsense. C'est une simple regle de "destination NAT 1:1" : si destination = IPPUB alors destination = 192.168.1.2.

une regle pf du style:

Code: [Sélectionner]

rdr on LAN inet proto any from any to IPPUB -> 192.168.1.2

mais y'a des restrictions il me semble quand on met une IP locale en destination.

Hakujou · « **Réponse #25 le:** 01 mai 2017 à 12:54:51 »

Le dynamique serait idéal, mais je pourrais m'en passer si nécessaire, le statique étant plus important.

Je pensais que c'était l'idée originale. Pour moi l'idée était de transformer les paquets à destination de "IPPUB" en "192.168.1.2" en sortie des LAN, vu que le NAT Reflection est actif sur PfSense (et fonctionnel quand il est en seul routeur), il devrait rerouter les paquets sans souci.
Par contre je n'ai aucune idée de comment translater les paquets "IPPUB" en "192.168.1.2". J'ai essayé deux-trois trucs sur l'interface NAT 1:1, sans succès.

kgersen · « **Réponse #26 le:** 01 mai 2017 à 12:56:45 »

comme déjà indiqué, on ne peut pas avec l'interface web, elle ne fait que du 'source' NAT (modification de l'adresse source). Ce qu'on veut c'est modifier l'adresse de destination.

Hakujou · « **Réponse #27 le:** 01 mai 2017 à 13:07:55 »

Il faut ajouter une règle iptables à la main donc ?
Une idée d'à quoi elle ressemblerait ?

EDIT : Apparemment, PfSense (en tous cas, les versions modernes) n'utilise pas iptables. Il va falloir que je regarde comment je peux faire...

kgersen · « **Réponse #28 le:** 01 mai 2017 à 13:11:38 »

pfsense c'est sur Freebsd et pas Linux, y'a donc pas iptables. L’équivalent c'est 'pf' d'ou pfsense tire son nom d'ailleurs mais pfsense utilise une version spéciale de pf. J'ai indiqué la règle dans mon précédent post mais je n'ai pas de garantie sur son fonctionnement.

Hakujou · « **Réponse #29 le:** 01 mai 2017 à 13:25:11 »

Effectivement, je m'en suis rendu compte juste après.

J'ai essayé un "echo 'rdr on bridge0 inet proto any from any to ippub -> 192.168.1.2' | pfctl -f -" en SSH, ça n'a pas fonctionné :

Code: [Sélectionner]

stdin:1: syntax error
pfctl: Syntax error in config file: pf rules not loaded

kgersen · « **Réponse #30 le:** 01 mai 2017 à 13:44:09 »

faut lire la doc , la je n'en sais pas plus pour la version freebsd/pfsense de pf. je suis plus souvent sur OpenBSD ce n'est pas la meme.

apres comme indiqué, la moindre modif dans l'interface web de pfsense va surement reset les modifs faites a la main dans la config de freebsd. voir: https://doc.pfsense.org/index.php/How_can_I_edit_the_PF_ruleset

Hakujou · « **Réponse #31 le:** 14 mai 2017 à 21:27:57 »

Je reviens vers vous parce que j'ai une enième question (toujours pas réussi à faire ce malheureux NAT source, je me débrouille comme je peux en attendant avec du split DNS, qui fonctionne assez mal).

Au niveau de l'IPv6, comment puis-je faire pour que mes PC aient l'IPv6 ? J'ai suivi cette doc : http://vm.damota.net/2015/08/activer-ipv6-avec-pfsense-et-freebox-revolution-en-mode-bridge/ mais ça ne semble pas fonctionner (j'avais lu quelque part que c'était la même config que la freebox soit en bridge ou en router niveau IPv6, mais peut-être est-ce faux ?).

Le ping IPv6 depuis le PfSense fonctionne bien, mais rien sur les PC derrière. Le test me donne un joli 0/10 : http://test-ipv6.com/

kgersen · « **Réponse #32 le:** 14 mai 2017 à 21:34:54 »

oui c'est pareil. il faut choisir un prefix (le 2eme par exemple) et le gerer coté LAN du PfSense et bien mettre l'ip-link local du pfsense comme next-hop dans la freebox.

internet -- freebox -- 1er prefix/64 -- PfSense -- 2eme prefix/64
y'a pas forcement besoin de configurer une IPv6 public (du 1er prefix/64) sur le wan du pfsense, la link-local suffit.

coté lan du pfsense il faut activer SLAAC sur le 2eme prefix/64 et optionnellement un DHCPv6 stateless .

Hakujou · « **Réponse #33 le:** 14 mai 2017 à 23:50:23 »

Je ne peux pas activer de DHCPv6 Stateless si l'interface LAN est en SLAAC...

(J'ai édité comme tu as dit, en supprimant l'IPv6 du WAN, en mettant le LAN en SLAAC, et même après un refresh d'IP sur un des postes, rien, toujours 0/10 au test. D'ailleurs dans l'affichage des interfaces PfSense, toute référence IPv6 disparaît sur le bridge LAN, y compris le link local)

kgersen · « **Réponse #34 le:** 15 mai 2017 à 19:55:32 »

Peut-etre me suis-je mal exprimé: 'lan en slaac' = le pfsense doit faire 'serveur' slaac (c'est a lui d'annoncer le prefix et la gateway par RA).

Le pfsense n'est donc pas en autoconf slaac, ce sont les PC du lan qui le sont.

conf coté lan du pfsense:
- son interface lan doit être en "IPv6 statique", (mettre une IP du "2eme prefix", par exemple "2eme prefix::1/64" )
- annonce le préfixe et la gateway et éventuellement les DNS via RDDNS : menu Services/DHCPv6 Server & RA/onglet router advertisements: choisir Unmanaged ou Stateless DHCP. Si "Stateless DHCP" configurer l'onglet "DHCPv6 server" sinon ne pas y toucher. remplir la conf DNS en bas en mettant l'IPv6 du pfsense ou des serveurs DNS externes)
- optionnellement un stateless DHCPv6 aussi : nb->je ne sais si PfSense peut faire cela. C'est surtout utile pour les PC Windows si y'a pas de conf DNS en IPv4.

Si la conf LAN est ok, les PC doivent recevoir une IPv6 sur "2eme prefix" indépendamment du fait que le coté WAN du PfSense soit configuré ou pas. il doivent recevoir l'IPv6 du pfsense comme route par défaut IPv6.

internet -- freebox (link-local freebox)----(link-local wan) PfSense (2eme prefix::1/64) -- LAN

dans la conf de la freebox indiqué que "2eme prefix" a pour next-hop la "link-local wan"

conf coté wan du pfsense:
- mettre SLAAC ca sera plus simple (le port WAN obtiendra une IPv6 dans "1er prefix::/64" mais aussi une link-local. c'est cette derniere qui nous interesse et qu'il faut mettre dans la freebox).

ps: pour voir l'ip link-local il faut aller dans http://ip-du-pfsense/status_interfaces.php (menu Status puis Interfaces). Le dashboard (page d'acceuil de pfsense) n'affichant pas les link-local.

Hakujou · « **Réponse #35 le:** 15 mai 2017 à 21:55:54 »

C'était sans doute de ma faute, étant très néophyte en IPv6 je commence à lire et apprendre sur son fonctionnement qui diffère tout de même pas mal de l'IPv4. En effet, ça parait logique de ne pas mettre SLAAC côté LAN, j'aurais dû réaliser.

Par contre c'est à peu près la config que j'avais tirée de la documentation, sans succès. Je n'ai pas l'impression que les PC côté LAN tirent une IPv6, en réalité. J'en ai une "link local", mais c'est tout, qui n'a rien à voir avec le préfixe de la Freebox. J'ai essayé de désactiver l'IPv4 de la carte : plus de connexion (ce qui paraît logique).

Je n'ai pas encore de DNS compatible IPv6 (il faudra que je refasse la config des serveurs pour qu'ils prennent une IPv6 aussi, mais ils sont sur un réseau différent), donc j'ai essayé en laissant vide, ou en spécifiant celui de PfSense, sans succès (mais je n'ai pas l'impression que ça vienne de là).

J'ai aussi défini la priorité RA à High, au cas où => aucun changement...

Une idée ?

Merci pour ta précieuse aide, en tous cas !