Problème de connexion à pfSense

[vpierre]

Bonjour,
tout d'abord un grand merci pour ce forum qui m'a été et qui m'est très utile.

J'ai installé un pfsense 1.2.2 en octobre 2009 connecté côté wan (static) à une neufbox et côté lan (dhcp) à un point d'accès Wifi Linksys.
Le serveur pfSense a le portail captif activé, proxy Squid 2.6.21_10 et squidGuard 1.3-2. Tout fonctionne apparemment correctement.

Mais depuis quelques semaines deux utilisateurs n'arrivent plus à se connecter à Internet via le serveur.
Ils détectent bien et se connectent bien au point d'accès wifi mais ne vont pas plus loin "Page web introuvable"...
Pas d'accès au formulaire web du portail captif.
J'ai vérifié leur config, tout paraît être OK (adresse IP dynamique...).
Auparavant ces mêmes PC arrivés à se connecter au serveur et à Internet.
Pendant ce temps d'autres portables arrivent sans problème à se connecter.

Il y a un mois j'ai résolu ce problème en supprimant le compte de l'utilisateur dans le portail captif et en le recréant, mais pour ces 2 là je sèche.

Si vous avez une piste de réflexion... je suis preneur.
Pierre

[jibe]

Salut,

L'expérience montre que souvent, ces problèmes bizarres sont dûs à un bug situé entre la chaise et le clavier => répertorier et vérifier toutes les interventions survenues entre le moment où la connexion s'établissait correctement et celui où elle n'était plus possible.

Si une recherche de ce côté ne donne rien, un bon point de départ peut être l'analyse des logs

Mon aversion personnelle pour cette mode idiote me pousse aussi souvent à soupçonner les connexions wifi. Il arrive que ce ne soient que des préjugés déplacés, mais l'essai d'une connexion directe par câble est si simple qu'il ne faut jamais s'en priver ! Il m'arrive aussi d'avoir raison de dire qu'une connexion par câble est nettement plus fiable...

[vpierre]

Bonjour Jibe,

merci pour ta réponse.
Je suis bien d'accord avec toi, le filaire est bien plus fiable que le wifi, mais là c'est dans une résidence hôtelière et pas question de passer des câbles pour le proprio.

Au niveau des logs je ne vois apparemment aucune trace de leur tentative de connexion, mais je ne sais pas vraiment dans quelle log je peux voir ces tentatives.

Pierre

[ccnet]

Ce qui est tout aussi certain est que cette architecture est impropre.
Le réseau Wifi de la résidence hôtelière devrait absolument être séparé du réseau d'administration, celui utiliser par exemple pour administrer Pfsense.
Le point d'accès devrait être connecté à une interface opt1 alors que l'administration se ferait, en filaire sur Lan. Ce qui permettrait de s'affranchir des problèmes Wifi au moins pour établit un diagnostique.

[vpierre]

Bonjour,
je ne vois pas ce que tu veux dire.

Je n'administre pas pfSense via le wifi.
Je me connecte sur pfSense depuis l'extérieur via la neufbox par un dyndns, et donc en filaire...

Les utilisateurs, eux, se connectent par le wifi.

[jdh]

Pourtant ce qu'écrit ccnet me semble limpide.

Dans ce genre de contexte, il faut dissocier wifi et filaire (respectivement Blue et Green pour Ipcop).
Il faut un pfSense avec 3 interfaces : WAN, LAN (filaire), OPT1 (wifi). (On peut renommer OPT1 en WIFI !)

Bien évidemment, les réseaux LAN et WIFI seront différents (adressage du genre 192.168.1.0/24 et 192.168.2.0/24).
Et on veillera à ajuster au mieux les règles/rules selon les besoins (et donc forcément dans l'onglet LAN ou WIFI).

NB : Il est préférable d'administrer pfSense de l'intérieur (donc du LAN). S'il faut vraiment le faire de l'extérieur, on créera un VPN de (forte) préférence.

[vpierre]

Oui, c'est bien beau tout ça, mais le lan en filaire ne sert pas à grand chose dans ce cas là.

Et je ne vois pas ce qui change aux problèmes de connexion wifi.

Merci quand même pour le temps passé.
Pierre

[jdh]

Bien sur un découpage (plus) rationnel des réseaux ne change rien à l'affaire !

Il n'empêche le problème décrit semble nettement aléatoire. Comment indiquer une piste particulière ?

Je ne vois aucun élément incriminant le poste client, ni une recherche dans des logs.
Je n'ai jamais essayé un portail captif mais il doit bien y avoir des logs quelque part ?
Puis Squid a ses propres logs. De surcroit, on doit bien pouvoir regarder ce qu'il se passe avec des outils type tcpdump.
Quels sont les règles définies ? Cela dépend-t-il de l'"ordre d'arrivée" entre 2 PC ?

Il faut être extrêmement analytique dans un tel cas : chaque détail peut compter, et surtout ne rien considérer comme acquis ...

[jibe]

Salut,

Je suis bien d'accord avec toi, le filaire est bien plus fiable que le wifi, mais là c'est dans une résidence hôtelière et pas question de passer des câbles pour le proprio.

Comment ça, pas question ? Quand on veut quelque chose, il faut en prendre les moyens et si possible les bons moyens. Je ne vais pas rouvrir un troll sur le sujet, mais la wifi ce n'est bien que pour ceux qui en vendent. Pour tous les autres, c'est une mode au mieux inutile, au pire perverse pour bien des raisons. Cela dit, je reconnais que dans certains cas (dans certains cas seulement !) on ne peut guère faire autrement, voire que ça peut être utile.

Pour l'utilisation : il n'y a pas le téléphone, dans les chambres ? On peut passer un câble pour le téléphone et pas pour la connexion ethernet ? Si les gaines ne permettent pas le passage de deux câbles, la solution est de remplacer le câble téléphone par du catégorie 5 ou 6 dont on utilisera une paire pour le téléphone et les deux habituelles pour ethernet. Le tour est joué, on a une installation fiable et bien plus facilement sécurisable.

Pour le dépannage : il s'agit de tirer un câble pendant quelques minutes à travers les couloirs et escaliers pour s'assurer que le problème ne vient pas de la wifi. Cet essai doit être fait. Quoi qu'en dise le proprio : veut-il ou non être dépanné, et le plus vite possible ?

Autre point sur lequel une réponse s'impose : qu'y a-t-il eu de fait juste avant la panne ? Je sais que ce n'est pas toujours facile à déterminer, mais c'est très souvent là qu'on trouve l'origine du problème, et donc la solution. Ça vaut le coup de se poser la question et de faire quelques recherches.

[tito]

Salut,

est-ce que ce ne serait pas le parefeu des PC en question qui empêchent la connexion?

[jibe]

Salut,

Peut-être... Mais si l'imagination et l'intuition peuvent parfois être utiles en dépannage, elles peuvent aussi être très dangereuses. La priorité dans ce cas est d'être très méthodique.

J'ai demandé de procéder à quelques vérifications (jdh aussi...) dont certaines devraient mettre très rapidement sur la piste des firewalls s'ils sont effectivement incriminés... ou sur une autre piste s'ils ne le sont pas :
- La vérification des modifications effectuées au moment de l'apparition du problème,
- L'étude des logs

J'ai aussi demandé qu'il soit procédé à un essai en connexion filaire, ce qui permettrait de vérifier s'il ne s'agit pas tout bêtement d'un problème lié à la wifi, et en même temps si c'est le cas d'éliminer la cause firewalls...

Il serait intéressant d'avoir le résultat de ces diverses vérifications, ainsi que les autres demandées, pour qu'on puisse avancer sur ce problème...

[vpierre]

Bonjour à tous,

résultat des tests :
-un locataire avec un portable n'arrivait plus à se connecter en wifi : plus d'accès à la page de login du portail captif, malgré sa bonne connexion au réseau wifi, et donc aucun accès internet. La configuration de son portable paraissait correcte, j'ai réinitialisé sa couche réseau (netsh ... et ipconfig...) et rebooté, avec ou sans pare feu...
- mon portable à côté du sien se connectait normalement.
- reboot du pfsense et du point d'accès wifi : idem
- suppression et recréation de son compte user du portail captif : idem
- connexion filaire à la place du point d'accès sur le pfsense, ça fonctionne
- sa connexion wifi bougeait sans arrêt, une fois il ne repérait plus le ssid, une fois il avait en très bon, d'autres fois en très faible... J'ai mis ça sur le compte de son PC et de sa carte wifi intégrée... Packard Bell.

En un mois, 2 autres locataires ont eu les mêmes problèmes, le seul fait de supprimer et recréer leurs comptes user du portail captif a suffit à ce qu'ils puissent de nouveau se reconnecter...
Ce type de problème est apparu sur une période très courte en septembre. Le serveur tourne depuis plus d'un an sans autres problèmes, et depuis pas de nouveaux cas.

Voilà et encore merci à vous.
Pierre

[jibe]

Salut,

Donc, si on se résume :
- Un essai en connexion filaire semble indiquer un problème wifi,
- La suppression/recréation du compte semble indiquer que le problème est ailleurs.

Bref, pas d'avance !

jdh et moi avions préconisé d'autres tests et vérifications... Et j'avais indiqué que tous devaient être faits !

C'est ton problème : à toi de voir si tu veux le résoudre ou si tu te contentes de supprimer/recréer les comptes qui ne fonctionnent pas du premier coup... Puisque c'est un moyen de contournement qui a fait ses preuves, après tout pourquoi pas ?