# 2021/04/25 (Neutriton) : pfsense NAT

* [Réunion précédente](https://wiki.neutrinet.be/fr/rapports/2021/04-03)
* [Pad de la réunion](https://pad.libre.brussels/neutrinet-neutriton-2021-04-25)
* [Liste des sujets Neutriton](https://pad.libre.brussels/mXBNhtS_R5ONoq2ZOkhwSw#)

Présences : 

- HgO
- tierce (gollum)
- Tharyork
- Célo
- niko (nikel)

Jitsi : https://jitsi.belnet.be/neutriton
Caldarium : https://caldarium.be/fr:contact

## Météo

*Moment informel durant lequel on exprime **en peu de mots** comment on se sent et si on a une attente forte pour la réunion.*
//**Ce n'est pas un moment de discussion mais d'expression individuelle et ce n'est pas obligatoire :-)**//

### Attente(s) forte(s)

*Si l'une ou l'autre personne exprime une attente forte, merci de vous en occuper en priorité ou de la noter dans le hub ou dans un point approprié.*

## Ordre du jour

### pfsense NAT

Comment est configuré pfSens aujourd'hui.

On a 4 interfaces:

- Routing (vlan 20)
- Management (vlan 100)
- Neutrinet (vlan 10)
- Patata (vlan 11)

Schéma du réseau : 
![](https://pad.libre.brussels/uploads/upload_0efee4ef1d17101698318989c8ede36a.png)

Pour Neutrinet, on a mis le MTU à 1500 au lieu de 9000 (Jumbo Frame). On peut se permettre de monter le MTU puisque la qualité des interfaces (hardware) est bien meilleure aujourd'hui, surtout « en interne ». 

Pour pfSense on filtre toujours les paquets sur l'interface par laguelle ils rentrent.

Pour Patata, on n'a rien configuré pour le moment, c'est normal puisque c'est le but de ce Neutriton :stuck_out_tongue_winking_eye: 

Le NAT kézako ? Convertir une IP privée en une IP publique. Quand le paquet va vouloir sortir du réseau interne, pfSense va noter l'IP interne et le port de sortie. Ensuite pour l'extérieur, le paquet aura l'IP publique (celle du NAT). Quand le paquet reviendra à la maison, le NAT saura à quel port est associé l'IP interne.

Au niveau des machines on n'a que des IP privées mais on veut pouvoir sortir sur internet. Un paquet a son IP privée, il arrive au Pfsense. Pfsens prend son calpin et attribue un port. Il envoit ensuite le paquet avec son IP. Quand le paquet revient par ce port, il sait qu'il doit l'envoyer à la machine. 

En ipv6, il n'y a pas de NAT, parce que toutes les IPv6 sont routable sur les Zinternet et on joue sur des règles de *forward*.


#### DNS dans pfSense

Les machines prennent le nom au format machine.cluster.dc.neutri.net *(ex test.patata.louise.neutri.net)*
C'est une convention qu'on s'est donnée. neutri.net est un domaine qui ne sert que pour les machines. 
On ajoute d'abord la machine en ipv4 puis en ipv6.

* enregistrer l'adresse de la machine de test dans:
  Services > DNS resolver > General Setting > Add host
* idem en ipv6

#### On configure la machine de test

* en lui fixant une IPv4 (pour commencer)

#### On configure des Virtuals IP 

* pour avoir des ip flotantes entre 2 pfsense, on utilise des IP en CARP

#### Quelques règles nécessaires

![](https://pad.libre.brussels/uploads/upload_fa1a3a8a7e6212966d6e909f9a2f7014.png)

Là on permet au réseau PATATA à faire des requêtes DNS et répondre aux pings.

Maintenant on va autoriser PATATA a accéder à Internet™

![](https://pad.libre.brussels/uploads/upload_d4f8257ba17bcd0ca18b1598e2fe7128.png)

### NAT

Forwarding : bête redirection de port vers une autre machine. Par exemple, si on avait un serveur mail dans notre réseau, on voudrait rediriger le port 25 du pfsense vers le port 25 du serveur mail (donc c'est depuis internet vers réseau interne)
1:1 : pas suivi et tout le reste non plus mdr

Nous on va faire du outbound. Attention, on veut pas passer par l'interface Routing, mais bien l'interface Neutrinet !

On peut tester nos changements avec Diagnostics > Ping ;) On cible une IP externe, et on fait le ping depuis localhost.




## Prochaine réunion

Prochain Neutriton : 23/05 de 10h à 17h
Sujet : Installation des VMs (avec Ansible)

Lieu : Caldarium

## Météo de fin

*Moment informel durant lequel on exprime **en peu de mots** comment, à titre personnel, la réunion a été vécue que ce soit positif ou négatif.*
*Si une ou plusieurs **tension est née** durant la réunion, il est peut-être nécessaire d'envisager l'une ou l'autre réunion pour y remédier.*