Serveur DNS PfSense

Bonjour,

Au niveau de la machine qui a un problème réseau, que donnent les commandes suivantes ?

ip route
cat /etc/resolv.conf
ping -c2 www.google.fr

Bonne chance

Bonjour,

En fait je pense d'ailleurs qu'à ce stade, il ne faut pas raisonner par rapport au fait qu'on utilise pfSense ou non. Le Linux qui s'y trouve "s'en fiche" et soit la configuration réseau est correcte dans l'absolu, soit elle ne l'est pas. Si elle ne l'est pas, alors il faudra se demander si pfSense peut expliquer pourquoi elle n'est pas correcte.

ip route

À première vue la table de routage reportée dans le message #3 me paraît correcte.

Par rapport aux messages #4 et #5, je pense qu'en fait il y a un quiproquo.

• En routage IP, on regarde l'IP destination et on choisit la route dont le préfixe est le plus spécifique et contient l'adresse destination.
  • L'interface mise en jeu (réelle, virtuelle, ethernet, wifi, VPN) n'a aucune importance, le raisonnement ne change jamais. Pas besoin de poser des questions existentielles et de parler de WAN ou de LAN.
  • Le raisonnement reste vrai quelque soit la manière dont a été configurée ou apprise la route. Pas besoin de se demander si la route est apprise par DHCP, configurée manuellement, ou apprise par un protocole de routage.
• Dans ton cas, ta table de routage montre qu'il y a deux cas de figure :
  • Si l'IP commence par 192.168.1.* et donc elle appartient au réseau 192.168.1.0/24. Comme ce préfixe est le plus spécifique dans la table de routage, c'est la route correspondante qui est utilisée. Les IP dans ce préfixe sont directement joignable (pas de passerelle, d'où le 0.0.0.0) par ens18 car elles font partie du même préfixe (192.168.1.0/24)
  • Sinon, l'IP appartient au préfixe 0.0.0.0/0 (default) et c'est donc la route par défaut qui est mise en jeu. Celle-ci doit impliquer une passerelle (gateway) routable. En l'occurrence, la passerelle est 192.168.1.1 et elle est routable grâce à l'autre route, donc a priori tout est correct. Reste à savoir si 192.168.1.1 existe et est capable de faire office de gateway.

ping (passerelle)

Parviens-tu à pinguer ta passerrelle.

• Si oui passe au test suivant
• SInon, il y a de fortes chances pour que tout le reste ne marche pas, car si tu ne peux pas atteindre la passerelle, tu ne pourras pas atteindre le reste.
  • Vérifie que tu arrives à pinger ta propre machine. Si ça n'est pas le cas, tu as peut-être un problème de pare-feu sur ta propre machine (qui bloque l'émission ou la réception des paquets ICMP mis en jeu par ping).
  • Vérifie que l'adresse IP de la passerelle est correcte. Si ça n'est pas le cas, il faut sans doute revoir la manière dont elle a été configurée (configuration locale ou configuration côté serveur DHCP)

ping (DNS)

Parviens-tu à pinguer le serveur DNS ?

ping -c2 172.0.0.53

• Si oui, passe au test suivant
• Sinon, est-ce que l'IP du DNS te paraît correcte ?
  • Note que ping n'est pas un test parfait pour savoir si le routage est correct (si ça ne répond pas, ce peut être parce qu'un pare-feu bloque le ping. Dans ce cas fais quand même le test avec nmap). Si le ping marche, c'est que le routage est correct.

nmap

Il se peut que le serveur DNS normalement hébergé sur 172.0.0.53 ne réponde pas il se peut que la requête DNS soit filtrée par un pare-feu, soit sur la machine que tu es configuré, soit sur 172.0.0.53, soit sur une machine intermédiaire localisée entre les deux (par exemple la passerelle 192.168.1.1).

Pour vérifier si le port DNS (53) est visible depuis la machine que tu configures, installe nmap et lance :

nmap -p 53 127.0.0.53

À titre indicatif, voici ce que nmap retourne pour mon propre serveur DNS (dans mon cas, 192.168.0.254) :

(mando@silk) (~) $ nmap -p 53 192.168.0.254
Starting Nmap 7.92 ( https://nmap.org ) at 2022-09-13 19:32 CEST
Nmap scan report for 192.168.0.254
Host is up (0.0031s latency).

PORT   STATE SERVICE
53/tcp open  domain

Nmap done: 1 IP address (1 host up) scanned in 0.06 seconds

Dans ton cas, est-ce que ta machine voit le port 53 pour 172.0.0.53 ?

• Si oui, alors le problème n'est a priori ni lié au routage, ni à un pare-feu, ni au lancement du serveur DNS. Il faudrait alors vérifier au niveau des logs du serveur DNS ce qui ne marche pas.
• Sinon, vérifie que le serveur DNS 172.0.0.53 est lancé.
• S'il est bien lancé, vérifie ce qui se passe si tu configures un autre serveur DNS.

Test avec un autre DNS

Peu importe la manière dont est obtenue ta configuration DNS (par DHCP ou manuellement), tu peux temporairement remplacer ton serveur DNS dans /etc/resolv.conf de sorte à avoir :

nameserver 8.8.8.8

Cela correspond à l'adresse anycast des DNS de google.

Est-ce que ça marche ?

• Si oui, le problème est probablement dû au serveur DNS 172.0.0.53 lui-même. Il faudrait contrôler ses logs.
• Sinon, il est possible qu'une machine (soit celle que tu configures, soit le serveur DNS, soit une machine entre les deux) filtre la requête avec son pare-feu.

Bonne chance

Bonjour,

> une LAN avec adresse 192.168.1.1/24 (gateway : 192.168.1.254)

Aucune passerelle doit être configurée sur l'interface LAN de pfSense.
Et pour les machines connectées à ce LAN, la passerelle et le DNS sont le routeur pfSense, donc 192.168.1.1

Assures-toi aussi que les informations configurées dans le serveur DHCP soient cohérentes avec cela.