20/07/2022 07:58 Recettes de configuration du logiciel pfSense® — Exemple de configuration haute disponibilité avec multi-WAN | Document…

Sur cette page

Déterminer les attributions d'adresses IP
Adressage IP WAN et WAN2
Adressage LAN
Adressage DMZ
Adressage de l'interface de synchronisation
Configuration NAT
Configuration du pare-feu
Multi-WAN HA avec diagramme DMZ

Exemple de configuration haute disponibilité avec

multi-WAN
La haute disponibilité peut également être déployée pour la redondance du pare-feu dans une
configuration multi-WAN. Cette section détaille la configuration VIP et NAT nécessaire pour un
déploiement double WAN HA. Cette section couvre uniquement les sujets spécifiques à HA et multi-
WAN.

Voir également

Exemple de configuration haute disponibilité

Connexions WAN multiples

Déterminer les attributions d'adresses IP

Cet exemple utilise quatre adresses IP sur chaque WAN. Chaque pare-feu a besoin d'une adresse IP,
plus un VIP CARP pour le NAT sortant, plus un VIP CARP supplémentaire pour une entrée NAT 1:1 qui
sera utilisée pour un serveur de messagerie interne dans le segment DMZ.

Adressage IP WAN et WAN2

Le tableau Adressage IP WAN affiche l'adressage IP pour les deux WAN. Dans la plupart des

environnements, il s'agira d'adresses IP publiques.

Adressage IP WAN

Adresse IP Usage

198.51.100.200 VIP CARP partagé pour NAT sortant

198.51.100.201 Pare-feu principal WAN

198.51.100.202 WAN de pare-feu secondaire

198.51.100.203 VIP CARP partagé pour 1:1 NAT

https://docs.netgate.com/pfsense/en/latest/recipes/high-availability-multi-wan.html 1/4
20/07/2022 07:58 Recettes de configuration du logiciel pfSense® — Exemple de configuration haute disponibilité avec multi-WAN | Document…

Adressage IP WAN2

Adresse IP Usage

203.0.113.10 VIP CARP partagé pour NAT sortant

203.0.113.11 Pare-feu principal WAN2

203.0.113.12 Pare-feu secondaire WAN2

203.0.113.13 VIP CARP partagé pour 1:1 NAT

Adressage LAN

Le sous-réseau LAN est  192.168.1.0/24 . Pour cet exemple, les adresses IP LAN sont attribuées comme
décrit dans le tableau Attribution d'adresses IP LAN :

Attribution d'adresses IP LAN

Adresse IP Usage

192.168.1.1 VIP LAN partagé CARP

192.168.1.2 LAN de pare-feu principal

192.168.1.3 LAN de pare-feu secondaire

Adressage DMZ

Le sous-réseau DMZ est  192.168.2.0/24 . Pour cet exemple, les adresses IP DMZ sont attribuées
comme décrit dans le tableau Attribution d'adresses IP DMZ :

Attribution d'adresses IP DMZ

Adresse IP Usage

192.168.2.1 CARP partagé DMZ VIP

192.168.2.2 DMZ du pare-feu principal

192.168.2.3 Pare-feu secondaire DMZ

Adressage de l'interface de synchronisation

Il n'y aura pas de VIP CARP partagé sur l'interface Sync car il n'y en a pas besoin. Ces adresses IP sont
utilisées uniquement pour la communication entre les nœuds HA. Pour cet exemple,  172.16.1.0/24 est le
sous-réseau Sync. Les deux nœuds ne nécessitent que deux adresses IP , mais l'exemple
https://docs.netgate.com/pfsense/en/latest/recipes/high-availability-multi-wan.html 2/4
20/07/2022 07:58 Recettes de configuration du logiciel pfSense® — Exemple de configuration haute disponibilité avec multi-WAN | Document…

utilise  /24 pour être cohérent avec les autres interfaces internes. Pour le dernier octet des adresses IP,
utilisez le même dernier octet que l'adresse IP LAN sur ce nœud pour plus de cohérence.

Synchroniser les attributions d'adresses IP

Adresse IP Usage

172.16.1.2 Synchronisation du pare-feu principal

172.16.1.3 Synchronisation du pare-feu secondaire

Configuration NAT
La configuration NAT lors de l'utilisation de HA avec Multi-WAN est la même que celle de HA avec un
seul WAN, sauf que les règles sont répétées afin qu'il y ait un ensemble pour chaque WAN. Assurez-
vous que seuls les VIP CARP sont utilisés pour le trafic entrant ou le routage.

Voir également

Voir Traduction d'adresses réseau pour plus d'informations sur la configuration NAT.

Configuration du pare-feu
Avec Multi-WAN, une règle de pare-feu doit être en place pour transmettre le trafic aux réseaux locaux à
l'aide de la passerelle par défaut. Sinon, lorsque le trafic tente d'atteindre l'adresse CARP ou du LAN
vers la DMZ, il sortira à la place d'une connexion WAN.

Ajoutez une règle en haut des règles de pare-feu pour toutes les interfaces internes qui dirigera le trafic
de tous les réseaux locaux vers la passerelle par défaut. La partie importante est que la
passerelle doit être par défaut pour cette règle et non l'un des groupes de passerelles de basculement
ou d'équilibrage de charge. La destination de cette règle serait le réseau LAN local ou un alias
contenant tous les réseaux accessibles localement.

Multi-WAN HA avec diagramme DMZ

En raison des éléments WAN et DMZ supplémentaires, un diagramme de cette disposition est beaucoup
plus complexe, comme on peut le voir dans la Figure Diagramme de Multi-WAN HA avec DMZ .

https://docs.netgate.com/pfsense/en/latest/recipes/high-availability-multi-wan.html 3/4
20/07/2022 07:58 Recettes de configuration du logiciel pfSense® — Exemple de configuration haute disponibilité avec multi-WAN | Document…

Schéma de Multi-WAN HA avec DMZ

https://docs.netgate.com/pfsense/en/latest/recipes/high-availability-multi-wan.html 4/4