Discussion :

[myredo]

Bonjour,

Voici un topo rapide de mon architecture réseau :

- Site principal : 192.0.1.x - passerelle/routeur 192.0.1.251

+ 1 routeur firewall 192.0.1.253
+ 1 proxy 10.0.0.2
+ 1 DMZ en 10.0.0.0

- Site secondaire : 192.168.5.x - passerelle/routeur 192.168.5.254


Les 2 sites sont reliés par des antennes avec un réseau en 10.69.254.xx


Mon problème est le suivant:

Si j'indique le proxy dans les paramètres IE sur le site principal, aucun problème.

Par contre sur le site secondaire si je renseigne le proxy, impossible de surfer sur internet.

Je précise que si rien est indiqué dans les paramètres proxy, tout fonctionne normalement (sauf qu'on ne passe pas par le proxy donc l'objectif n'est pas atteint).
Aucun problème d'accès entre les 2 réseaux, les échanges datas et voies entre les 2 sites ne posent pas de souci.

D'où mes questions :

Quelle route dois-je créer? et sur quel équipement?


Je vous remercie par avance de m'éclairer!!

[Invité]

Probablement dû au fait que le routeur qui connecte ton site secondaire sur le réseau 10.69.254.xx ne connait pas le réseau 10.0.0.0/8. Il faut lui entrer une route statique pour joindre ce réseau en mettant l'interface 10.69.254.xx du routeur du site principal comme next hop.

Si c'est pas clair, on peut entrer dans les détails mais il faudrait un schéma du réseau avec les adresses IP et les tables de routage des routeurs connectés sur 10.69.254.xx.

Steph

[myredo]

salut,

Tout d'abord merci pour ta réponse!

Donc j'ai créé la route suivante sur le routeur de mon site distant :

10.0.0.0 mask 255.255.255.0 nexthop 10.69.254.10 (qui est l'interface 10.69.254.xx du routeur/switch du site principal, sur lequel arrive l'antenne Wifi).

Toujours impossible de joindre le proxy virtuel...

Petite précision : j'ai derrière ce routeur/switch du site principal, un routeur/firewall en 192.0.1.253, avec une de ses pattes réseau sur laquelle est configuré ma DMZ en 10.0.0.0, et donc mon proxy virtuel en 10.0.0.2.

Je précise également que du site principal, aucun souci pour accéder au proxy.

Pour info j'ai un serveur web en 10.0.0.3 qui est pingable des 2 sites.

On m'a conseillé de voir sur le switch/routeur de la mairie ( qui est la gateway avec IP 192.0.1.251 / 10.69.254.10 ), car ca pouvait éventuellement être le retour des requêtes émises par le site distant qui ne pouvait pas se faire.

J'ai fait une capture d'écran des tables de routage mais on ne peut pas mettre d'images??

Merci pour votre aide en tout cas!

[Invité]

Effectivement, il faut maintenant la route statique suivante sur le routeur 10.69.254.10 :

192.168.5.0 mask 255.255.255.0 nexthop 10.69.254.x (adresse IP du routeur du site secondaire).

Et là, ça devrait marcher.

Quant à la publication d'images, il faut passer par un hébergeur. Perso, j'utilise www.casimages.com. Ca prend 5 minutes pour créer un compte puis si tu veux publier une image sur un site Web, il te donne le lien à copier/coller dans ton message.

Voilà

Steph

[myredo]

l'adresse IP du routeur du site secondaire est 10.69.254.60.

Ca ne marche toujours pas....
voici le lien vers la capture d'écran des mes routes sur les 2 routeurs:
http://nsm05.casimages.com/img/2012/...3319545012.png

(les différentes autres routes créés concernent d'autres site distants)

Je ne comprends pas, d'autant plus qu'en effectuant un tracert 10.0.0.0 ou 3 depuis 192.168.5.xx, pas de souci.
Mais dès que je tente un tracert de 10.0.0.2, ca bloque à partir de 192.0.1.253. (Délai d'attente dépassé...)

Je penche donc pour un blocage au niveau de mon firewall 192.0.1.253?

[Invité]

> Mais dès que je tente un tracert de 10.0.0.2, ca bloque à partir de 192.0.1.253. (Délai d'attente dépassé...)

Si le tracert marche depuis le site secondaire vers ton Web 10.0.0.3, alors a priori on a la connectivité IP entre les 2 sites. Rapproches-toi maintenant de l'admin du firewall, ça ressemble à une ouverture de flux entre 192.168.5.0/24 et le réseau 10.0.0.0.

Steph

[myredo]

Là par contre ça va me dépasser...l'administration d'un routeur/firewall Arkoon c'est pas mon fort!
Je vais voir avec une personne qui saura résoudre, et je posterai la solution...

Merci en tout cas!

Myredo

[sevyc64]

Attention 192.0.x.x n'est pas une adresse de réseau privée, c'est une adresse Internet publique

Probablement que le routeur, par défaut, redirige les requêtes vers cette adresse sur le WAN et non pas sur le LAN.

Toujours prendre la précausion, sur un réseau privé, de ne pas utiliser d'adresses publiques, uniquement des adresses dans les plages privées spécialement réservé par la norme.

[Invité]

Attention 192.0.x.x n'est pas une adresse de réseau privée, c'est une adresse Internet publique

Probablement que le routeur, par défaut, redirige les requêtes vers cette adresse sur le WAN et non pas sur le LAN.

Toujours prendre la précausion, sur un réseau privé, de ne pas utiliser d'adresses publiques, uniquement des adresses dans les plages privées spécialement réservé par la norme.

Le fait qu'une adresse soit RFC1918 ou non ne devrait pas intervenir dans le travail d'un "routeur pur". Le routeur scrute sa table de routage et forwarde au travers de la meilleure interface pour atteindre la destination.

A la vue des derniers tests réalisés :

> tracert 10.0.0.0 ou 3 depuis 192.168.5.xx, pas de souci
> Mais dès que je tente un tracert de 10.0.0.2, ca bloque à partir de 192.0.1.253. (Délai d'attente dépassé...)

je suis assez confiant sur le fait qu'une intervention sur le firewall devrait fixer le problème de notre ami.

Steph

[sevyc64]

Le fait qu'une adresse soit RFC1918 ou non ne devrait pas intervenir dans le travail d'un "routeur pur". Le routeur scrute sa table de routage et forwarde au travers de la meilleure interface pour atteindre la destination.

Sauf si le routeur a une interface WAN. Certains sont préprogrammés pour router tout ce qui n'est pas privé vers l'interface WAN ou vers la passerelle.

Quoiqu'il en soit, quelque soit le travail du routeur, les adresses publiques ne devraient jamais être utilisée en réseau privé

[Invité]

Certains sont préprogrammés pour router tout ce qui n'est pas privé vers l'interface WAN ou vers la passerelle.

Ah, dans ce cas, okay

Alors ce sont des routeurs "out of spec" à bannir du marché.

Tu as des exemples en tête ?

Steph

[sevyc64]

Non, je n'ai pas de référence ni de marque. Je tiens l'info de l'ingé système de mon ancienne boite.

D'après ce qu'il m'avait expliqué, la plupart des routeurs sont configuré pour que, en l'absence de règles de routage spécifiques, ils routent les requêtes sur les adresses publiques vers l'interface WAN ou la passerelle par défaut.

Certains d'autres eux, malgré la création de règles spécifiques, continueraient à router que vers le WAN ou une des passerelles (en fait, ils ignoreraient les règles qui ne dirigeraient pas vers une passerelle déclarée).

Il m'avait expliquer cela, à l'occasion d'une remise à plat du réseau d'un client où une partie du réseau avait été faite sur la base d'IP publique. Et pour que cette partie du réseau soit accessible, la personne qui l'avait fait avait bricolé une petit machine, qui ne faisait rien d'autre que jouer le rôle de passerelle pour que le routeur accepte les règles de routage.
Un truc complètement bancal, qui plantait tous les 4 matins.

Une fois après avoir refait le réseau tout en ip privé, il n'y a plus jamais eu de problème.

[Invité]

Très intéressant, merci pour l'info.

Basé sur mon expérience, Cisco, Huaweï, HP et Nortel sont insensibles à l'appartenance d'entrées de tables de routage à la RFC1918. Mais je connais pô tout

Je toruve ça extrêmement tordu de la part de concepteurs de codes routeurs d'implémenter ce genre d'artifice. Les effets de bord peuvent être désastreux.

Steph

[myredo]

Chose promise, chose due!

Le problème est résolu, voici l'origine:

En plus du routage manquant sur les Switches/routeur, il y avait également un souci de blocage de flux dans mon Firewall, qui n'autorisait QUE le site principal à accéder au 10.0.0.2 (le proxy virtuel).
Les autres sites n'y accédaient que par redirection des flux http et https.

La config du Firewall a dû être laissée dans sa config de "test" en attendant d'avoir valider le bon fonctionnement du proxy. Période de test qui du coup ne portait que sur le site principal, permettant aux autres sites de fonctionner sans problème.

Merci à tous, j'espère que cela pourra aider d'autres!

Et personnellement, un bon cours de réseau pour le novice que je suis dans ce domaine!

[Invité]

Merci pour ton retour myredo !

Surtout quand c'est pour annoncer de bonnes nouvelles

Faites quand même gaffe à la sécu. Une config de test sur un FW, ça fait toujours un peu hérisser le poil

Et n'oublie de cliquer en bas sur le bouton "Résolu"

Steph

[myredo]

Faites quand même gaffe à la sécu. Une config de test sur un FW, ça fait toujours un peu hérisser le poil

Effectivement, je garderais l'oeil ouvert la prochaine fois! même si pour le coup c'était une config test pour des accès "internes" au réseau, et pas une question d'ouverture vers le Web.

Vraiment merci, je coche résolu de suite!

Myredo