regles pfsense 2.0.3 Fermé

Question

Bjr 

Voila je vais être plus clair et je vais reformuler ma question:

J'utilse pfsense avec 8 Vlans (192.168.10.0/24; 192.168.11.0/24 etc......jusqua 8ieme vlan)

je veux que tous les postes des différents Vlans puissent accéder à Internet et bloquer en même temps le trafic entre les différents vlans (bloquer le trafic intervlan).

quelles sont les règles a mettre en place sur pfsense?

Merci encore

brupala · Answer

Salut,
J'utilse pfsense avec 8 Vlans (192.168.10.0/24; 192.168.11.0/24 etc......jusqua 8ieme vlan) 
ça ce ne sont pas des vlans, mais des réseaux ip chez moi ...
je ne sais pas trop comment ça se présente dans pfsense, mais globalement:
bloquer explicitement le traffic entre tes vlans
autoriser explicitement le traffic vers le net
pour diminuer le nombre règles tu peux des alias et regrouper tes réseaux par blocs (type network ou url table)
et ... Voili  Voilou  Voila !

ayouda2013 · Answer

Merci brupula pour ta réponse et commeme je vais confirmer que les s.réseaux données appartiennent chacun à un VLAN (v1, v2, .....et V8)!!!!!!!!!!!!!!!

Tout à fait d'accord avec ta logique pour les règles et dailleurs c'est identique à la mienne sauf que pfsense n'a pas de règle directe autoriser le trafic vers le net (comme IPCOP si tu le connais).  et meme si j'autorise un s.réseau de l'un des vlan vers wan subnet comme il l'ecrit ça passe pas!!!! tu vois mon probleme.

Pour l'alias c confirmé et je l'utilise en network!!!!

t'a une idée?!!!!et merci encore pour ta piste

voileu voilen voilu!!!!

ayouda2013 · Answer

proposition vers any en bas essayés et autorise ts c ce que je ne veux pas.

je pense à une 2ieme piste plutot (travailler avec les ports TCP en destination!!!!!! exemple 80, 443 , 8080, etc) n'est ce pas prup.

ctà une autre idée !!!!!

C t gentil de ta part

ayouda2013 · Answer

Bonjour brupula

Merci pour la piste. je confirme l'idée que pfsense utilise un filtrage dynamique.

J'ai testé avec l'alias réseau mais malheureusement ça marche pas.

Je vais bosser sur le mecanisme de filtrage qu'utilise pfsense (netfilter ou iptables etccc... suis pas sur jusquà maintenant et jte donne retour dès que trouve la solution la plus adéquate)

Merci encore

ayouda2013 · Answer

salut brupula

voila mes vlans
v1 : 172.16.8.0/24, v2: 172.168.9.0/25,v3 :172.16.9.128/25,v4: 172.168.10.0/25
v5:172.16.10.128/25, v6:172.16.11.0/25, 7:172.16.11.128/25,v8:172.16.12.0/25, v9:172.16.12.128/25, 10:172.16.13.0/24,v11:172.16.14.0/24,v12:172.16.15.0/24

essayes de créer un alias qui englobe les s.réseau de 172.16.9.128/25 à 172.16.15.0/24 et le s.réseau 172.16.15.0 . et donne moi retour. essayes encore de créer un alias qui permet au réseau 172.16.11.128/25 de naviguer sur internet et qui bloque le trafic vers les autres vlans excepté le réseau 172.16.8.0 appartenant au vlan 1.

je vois que c'est un peu compliqué donc peut etre que je dois procéder à bloquer le trafic vlan par vlan (bco d'entrées dans les regles.!!!!)

ayouda2013 · Answer

Saut
Merci bcp brupula pour tes données très consistantes.

Oui je confirme ce que tu as écrit mais au lieu créer un alias qui englobe tous les réseaux et ensuite faire des règles je vois un peu risqué donc j'ai procédé à créer des aias dont chacun se compose des vlans à bloquer et ainsi de suite du fait que j'ai un vlan qui comporte les serveurs (telque w2008 pour le dhcp ,AIK  et GPO + un serveur kaspersky client / server) : cette zone est à laisser joingnable par tous les vlans avec un any.

et justement le any me dérange un peu car je dois controler aussi le passage vers internet et j'ai trouvé comme une solution : créer un alias t 53:avec les ports 80:http et 53:DNS et reste à jouer avec l'ordre des règles.

Je confirme aussi de mettre une règle en tete pour autoriser le passage d'au moins un poste des vlans pour permettre la configuration de pfsense.

Je te donne retour tout au long de l'avancement de la configuration
Merci encore pour tes idées très precieuses.
A +++++

Regles pfsense 2.0.3

6 réponses

Discussions similaires

Newsletters