J'ai deux clusters pfSense, l'un est 2.1.4 et l'autre 2.1.3.
En directions suggèrent que NAT sortant manuel est nécessaire, mais le cluster 2.1.3 fonctionne très bien en utilisant le NAT automatique, les serveurs et tout (y compris SSH et OpenVPN).
Le cluster 2.1.4 utilise le NAT sortant manuel et cause des problèmes. Le NAT a trois règles ajoutées automatiquement - étiquetées ainsi :
- Règle créée automatiquement pour ISAKMP - LAN to WAN
- Règle créée automatiquement pour le LAN vers le WAN
- Règle créée automatiquement pour localhost vers WAN
Elles ont également été créées pour notre réseau interne (192.168.6.0/24) et notre réseau de développement (10.2.0.0/8). Il y a deux règles manuelles :
- Les adresses IP des clients OpenVPN (192.168.7.0/24) vers l'extérieur sont NATées.
- Les IP du réseau Internet vers le réseau de développement sont NAT.
Ce cluster de pare-feu était un cluster de test - puis le primaire a été séparé pour un pare-feu de production à système unique - et est maintenant redevenu un cluster.... et a subi un certain nombre de changements d'IP en cours de route.
Les choses sont maintenant NAT à l'adresse du Cluster, mais OpenVPN utilise toujours l'adresse du primaire. Que me manque-t-il ? Dois-je revenir au NAT automatique ? Si, d'autre part, je fais passer le cluster 2.1.4 en NAT manuel (pour gérer la communication avec le secondaire via le VPN), est-ce que je vais causer des problèmes ?
EDIT Je dois noter que tout le reste semble fonctionner - y compris SSH vers l'adresse du cluster, et HTTP sortant montre l'adresse du cluster, et ainsi de suite. SSH est bien sûr le port 22 - et OpenVPN est 1194 (sur 1024). Le client OpenVPN fonctionne (VPN site à site). Il semble que ce soit uniquement le trafic sortant du serveur OpenVPN sur le port 1194 qui ne soit pas NATé.
J'ai essayé d'exécuter OpenVPN sur le port 23 avec les règles de pare-feu appropriées - et il envoie toujours les réponses à partir de l'adresse WAN, et non de l'adresse du cluster.
UPDATE J'ai mentionné ce qui n'allait pas, mais pas de manière explicite. C'est ce que j'attends :
- Le paquet arrive à destination de l'IP du cluster sur le port 1194.
- Le paquet est accepté par le serveur OpenVPN.
- Le paquet est renvoyé à la source depuis IP en grappe sur le port 1194.
C'est ce que je vois :
- Le paquet arrive à destination de l'IP du cluster sur le port 1194.
- Le paquet est accepté par le serveur OpenVPN.
- Le paquet est renvoyé à la source depuis IP primaire sur le port 1194.
Vous avez suggéré de vérifier l'adresse IP à laquelle le serveur OpenVPN est lié. N'IMPORTE QUEL et changé en IP en grappe Je ne l'ai pas encore testé.
