-351 Membres 1347 Contributions

Open Community

Questions

Non résolue

CLI ET CIPHER LIST

Posée par Marc Chevalier dans Securité

Bonjour, j'ai une lègère incompréhension lorsque je modifie les cipherlist via le CLI.

Grâce à la commande "conf auth https cipherlist= cipherlist choisie" , je configure la suite cryptographique je veux. Cependant quand j'effectue la commande "conf auth show". Toutes les suites restent en "undefined" cependant mon équipement à bien en compte ma commande.

 

Le problème est donc ou trouvé l'information de la bonne configuration de la suite?Est-ce un bug d'affichage? 

Cordialement

Non résolue

Débogage du trajet d'un paquet traversant un Stormshield

Posée par Bruno Tréguier dans Trucs et Astuces

Bonjour,

Je souhaiterais savoir quelles techniques vous utilisez pour arriver à tracer le trajet d'un paquet au travers d'une appliance, de l'nterface d'entrée, à l'interface de sortie (en passant par les étapes de filtrage/NAT et les décisions de routage).

La raison de ma question est la suivante: j'ai un paquet (un SYN/ACK en réponse à un SYN) que je vois entrer (via un tcpdump), mais pas ressortir par l'interface vers laquelle il aurait dû être envoyé. Pour autant, les logs de filtrage montrent bien une action "pass"...

Donc pour l'instant, à ma disposition j'ai:

- tcpdump

- les logs

Et puis c'est tout. ;-)

Je suis preneur d'autres idées qui pourraient me permettre d'arriver à tracer ce paquet récalcitrant...

L'appliance est un Stormshield SN910, pour info.

Merci ! :-)

Bruno

Non résolue

Configuration BGP pour exporter tous les réseaux directement connectés

Posée par Ludo Daix dans Administration

Bonjour à tous!

Pouvez vous m'indiquer le meilleur moyen pour configurer bird afin d'exporter les réseaux directement connectés à l'appliance (toutes les interfaces réseaux). 

Pour l'instant je fais ça avec un filtre que j'appelle dans la conf du protocol bgp.

Mon fichier de conf fonctionnel est le suivant:

# The direct protocol automatically generates device routes to
# all network interfaces.
protocol direct {
}

# This pseudo-protocol performs synchronization between BIRD's routing
# tables and the kernel.
protocol kernel {
learn; # Learn all alien routes from the kernel
persist; # Don't remove routes on bird shutdown
scan time 20; # Scan kernel routing table every 20 seconds
import all; # Default is import all
export all; # Default is export none
preference 254; # Protect existing routes
}

# This pseudo-protocol watches all interface up/down events.
protocol device {
scan time 10; # Scan interfaces every 10 seconds
}

filter out_BGP { if net ~ [ 10.2.2.0/24 ] then accept; else ...

Voir la suite
Non résolue

Déclaration d'un VLAN au travers de plusieurs switchs

Posée par Cyril Kerrec dans Administration

Bonjour,
J'ai déployé plusieurs switchs Cisco (3850 et 2960-X) et interconnecté ces switchs via fibres optiques et ports trunk.
Dans ces trunk, j'ai autorisé une liste de VLAN.
L'un d'entre eux, par exemple VLAN 5, déclaré sur chaque swich comme port Admin, fonctionne parfaitement avec chaque switch; les pc connectés y fonctionne parfaitement sur le port 23 chaque switch. (ou 11 avec gbic RJ45 sur 3850).
Mes PC Admin sont sur un réseau 10.0.10.x/24. (GW : 10.0.10.254) (les IP ne représentent pas la réalité).
 
J'ai ensuite déclaré un nouveau VLAN pour mes utilisateurs, disons VLAN 100, sur chaque switch.
Via SSH :
conf t
vlan 100
name USERS
exit
do wr mem
end
show vlan
... et ce , sur chaque switch.
 
et sur au moins 2 switchs, j'ai testé avec des PC utilisateurs, via le port 1, avec ajout du vlan (switchport access vlan 100), mais la communication ne passe pas.
Mes PC utilisateurs sont sur un réseau 10.0.49.x/24 .(GW : 10.0.49.254)
 
Derrière ces swichs, il ya des serveurs dont les...

Voir la suite
Non résolue

Certificat et StormShield

Posée par Jean Korn dans Administration

Bonjour

je souhaiterais acquérir un certificat SSL chez Gandi par exemple pour l'accès mon StormShield (portail captif, interface d'administration).

 

Chez Gandi, on me demande de générer un CSR. 

Dois je le faire sur le Stormshiedl et comment faire ?

Ou je peux le faire à partir de n'importe quelle poste ?

Merci

Non résolue

remplacement boitier dans un HA

Posée par Nicolas Julien

Bonjour,

 

Je dois changer un Sn710 présent dans un HA et je voudrais connaitre la meilleur méthode pour intégrer le nouveau boitier dans le cluster ?

 

Merci

 

Nicolas

Résolue

DHCP multiples à faire passer dans VTI Stormshield

Posée par Thomas Authier dans Administration

Bonjour à tous.

J'ai un firewall Stormshield sur un site A et un autre sur un site B.

Actuellement un tunnel VPN IPSec est en place sur les deux Storms.

Sur le site A nous avons 3 DHCP à faire acheminer sur le site de B.

Les 3 DHCP ne sont pas dans le même adressage. Est-il possible de parmètrer pour que le DHCP passe par les interfaces VTI du Storm ?

Résolue

INFORMATION SIGNATURE IPS

Posée par Marc Chevalier dans Securité

Bonjour,

je suis novice sur les équipements StormShield. Dans la partie Applications et Protections,il y a les profils d'inspection avec les signatures pour les applications, protections et malwares.

Souhaitant modifier ces règles je cherche à accèder à la base d'aide des signatures. En effet lorsque l'on clique sur aide on peux accéder à une description de la signature(détaillés ou non).

J'aimerais accéder à ces aides autre part qu'en passant sur le stormshield directement. Car pour interdire ou autoriser il faut queje comprenne le protocole etc.

 

Merci d'avance

Non résolue

Wifi Stormshield SN210W - Pas d'accès aux ressources internes

Posée par Yves Rampon dans Securité

Bonjour,

 

Nouveau sur le matériel Stormshield, je n'arrive pas à accèder aux ressources internes du réseau en connexion Wifi.

J'utilise le relai DCHP (un serveur interne) qui renvoi bien les bonnes adresses IP pour se connecter et cela fonctionne très bien.

Mais pas d'accès aux ressources internes, lecteurs mappés etc.

Je ne trouve pas la bonne règle de filtrage à mettre en place. avec la règle PASS ALL, évidement ca fonctionne.

Merci pour vos idées.

 

Résolue

Latence openvpn

Posée par Pascal Le Bihan dans Administration

Bonjour à toutes et à tous, 

J'ai activé le service openvpn en TCP sur des stormshield 710 pour permettre à mes collègues de télétravailler. J'observe des latences énormes vers les machines de mon lan

A titre d'exemple j'ai un ping qui tourne vers la pate Lan et un autre vers la pate WAN

je peux monter jusqu'a 375ms sur la pate Lan alors que mon ping WAN est à 40ms environ. Mon ping Wan est un peu pourri car je suis en 4G.

J'ai tenté en IPSec, les latences sur la pate lan sont tres proches des latences WAN

 

Est ce un bug openvpn ? Paramétrage client ? 

J'utilise openvpn en mode TCP , l'accès WAN de mon routeur est une FTTB 100M et mes firewall sont en 3.9.0.

 

Merci pour vos idées et vos conseils

Pascal

Résolue

Active directory et VPN IPSEC

Posée par Gaëtan Lagraviere dans Fonctionnalités et système

Bonjour à tous,

Administrateur système et réseaux au sein d'une entreprise, je souhaite mettre en place un nouveau site distant (site B) avec un controleur de domaine pour mon active directory qui est localisé sur le site A.

J'ai donc monté un VPN IPSEC entre les 2 sites et j'ai autorisé via les règles de filtrage ces machines à parler ensemble.

Jusque là, pas de problème, les machines communiquent bien entre elles, elles se ping, je peux faire des bureaux à distance de l'une sur l'autre etc... La seule chose que je ne peux faire est d'intégrer le serveur site B dans le domaine du site A et le nslookup me renvoie un server unknown aussi.

Sur l'active directory du site A, j'ai bien rajouté le site B dans les sites ainsi que son sous réseau utilisé, et également entré sa plage ip dans la recherche inversée et j'ai mis l'inspection sur la règle de filtrage en IDS afin de ne pas me faire bloquer (je verrais cette inspection par la suite).

J'ai également monté un autre...

Voir la suite
Résolue

NAT Static - Points importants

Posée par Jean-Marie Horel dans Fonctionnalités et système

Bonjour,

Avant toute remaques je précise ma situation, je suis technicien d'amélioration continue en entreprise, j'ai un DUT GEII et une licence pro mécatronique. Mon travail tourne autour de l'automatisme, de l'informatique de la robotique et forcément du réseau.. Bref

Nous avions mis en place un boitier pour Natter plusieurs adresse du réseau OT vers le réseau IT. Nous souhaitons migrer ces translation vers le stormshield. Mais là après multiple essai rien n'y fait.

J'ai installé la plateforme virtuelle de formation EVA1 et refais le LAb sur les translation et plouf.. Je cherche donc depuis 3/4 semaines. Avez-vous une liste de prérequis à vérifier ou de points importants ?

 

Voici la configuration de la virtualisation :

 

Out : 192.168.1.142/24
IN : 10.0.0.254/24
DMZ1 : 172.16.2.1/24

VM debian avec les IP 11/12/... montée

Politique Pass All copiée puis ajout d'une translation statique 172.16.2.11 <> 192.168.1.143 avec publication ARP.

La route par défaut est...

Voir la suite
Résolue

Vlan et bridge, mais un peu en mode tordu

Posée par Lgrain25 dans Administration

Bonjour à tous.

A une heure tardive ( c'est peut être pas le meilleur moment), en réfléchissant à une infra client ou je configure un vlan  pour isoler mon NAS de sauvegarde et ainsi bénéficier de mon firewall pour le protéger un peu plus, je me suis posé la question:

Imaginons un lan en 192.168.1.0/24 par ex avec des pc et un serveur. Dans mes 10 pc , j'ai par exemple 5 de productions et 5 administratifs.

Je crée un vlan ou je mets mes 5 administratifs et un vlan ou je mets mes 5 productions et un vlan ou je mets mon serveur.

Je ne change pas le plan d'adressage IP des équipements. Sur mon switch je configure 3 ports en untag sur chacun des Vlans sur lequel je viens brancher un cable par vlan sur mes interfaces de mon firewall qui sont toutes dans le même bridge.

Si je gère des règles de flux par segment de réseau , est ce que je peux autoriser/bloquer des flux entre mes vlans.

Je ne vois pas ce qui m'empêcherais de le faire, mais on ne sait jamais ;) Y a quand même...

Voir la suite
Résolue

Blocage HotSpot d'un partage de connexion Smartphone ?

Posée par Eric Gallou dans Matériels et performances

Bonjour,

Nouvel utilisateur, en confinement, mon entreprise m'a installé Stormfield SSL VPN Client sur mon PC portable W10.

Il semble que depuis (?) je ne puisse plus me connecter au WiFI hotspot de mon Smartphone 4G (en partage de connexion).

1) Mon PC sur la connexion WiFI domicile est OK

2) Mon Pc sur la connexion partagé du SmartPhone de mon conjoint est OK

3) Le PC de mon conjoint sur mon Smartphone en partage de connexion est OK également

Est ce que Stormfield peut etre la cause du blocage de mon PC sur mon Smartphone ?

J'ajoute que mon PC liste bien le wifi de mon Smartphone HotSpot, mais lorsque je tente de me connecter, dès la saisie du mot de passe wifi du partage, le PC me rejette.

Est ce que ce VPN peut en etre la cause ???

Comment vérifier ?

Merci d'avance

Non résolue

Ansible et stormshield

Posée par Seb Do dans Securité

Bonjour,

 

j'ai en charge un parc de stormshield et j'ai découvert deux liens pour me faciliter le travail.

J'ai commencé à lire comprendre et mettre en oeuvre mais je bloque et je voudrais savoir si des personnes utilisent ces scripts.

https://github.com/stormshield/ansible-SNS

https://github.com/stormshield/python-SNS-API

 

Je connais bien les stormshield mais je ne connais pas ansible et je ne connais pas python donc j'aurais voulu savoir si des gens utilsent ces outils ?

Car les github ne sont pas assez explicites pour moi je bloque sur les histoires de module library etc ?

Merci beaucoup de votre aide

 

 

 

Non résolue

VPN SSL Stormshield réservation ip client

Posée par Palma Alexandre dans Administration

Bonjour , 

J'ai configuré les accès vpn ssl sur un firewall stormshield sn 510 , j'ai également configuré un réseau pour les clients. Ma question : est il possible de gérer la diffusion des adresses ip du réseau renseigné dans la config VPN SSL ? Je souhaiterais effectivement fixer / réserver une ip à certains users ( actuellement les ips sont distribuées aléatoirement je ne sais pas comment ). Merci d'avance.

Non résolue

VPN-SSL stormshield et user authentifié

Posée par Cédric Guic dans Securité

Bonjour à tous, j’aurais besoin d’aide de la communauté. Je dispose d’un Stormshield SN710 et avec le confinement nous avons dû déployer en urgence la solution VPN SSL à nos users munis de PC portable (client 2.8.0) sous Windows 10 et disposant de la bonne versions des logiciels et antivirus. Après les configuration du parfeu adéquatent pour accepter le accès VPN, nos users se loguent et seulement les utilisateurs du groupes (reliés à l’Active Directory) ont le droit se connecter. Jusque a tout fonctionne à merveille.

Or je viens d’avoir des personnes qui ont oubliés leurs ordinateurs portables au bureau, qui ont récupéré l'exécutable du client Stormshield VPN SSL, l’on installé sur leur PC personnel ou tablette et donc ne disposant pas dans la majorité des cas d’antivirus, de Firewall et autres outils de protection adéquate.

Ma question est la suivante, afin qu’ils ne polluent pas notre réseau interne je souhaiterais pouvoir authentifier les...

Voir la suite
Résolue

Alertes firewall

Posée par Seb Patte dans Administration

Bonjour,

j'ai régulièrement ces alertes sur mon SN510 :

  1. Débordement de la file de données TCP
  2. Mauvais protocole LDAP (syntax error)
  3. Débordement dans une URL
  4. NTP : taille du message supérieure à la valeur autorisée (NTPv3 length)
  5. DNS id spoofing
  6. Protocole DNS invalide (maximum pipelined request reached)

Une idée de ce qu'elles signifient et de leurs degrés d'importance ?

Comment les résoudre ?

Non résolue

CLI ET CIPHER LIST

Posée par Marc Chevalier dans Securité

Bonjour, j'ai une lègère incompréhension lorsque je modifie les cipherlist via le CLI.

Grâce à la commande "conf auth https cipherlist= cipherlist choisie" , je configure la suite cryptographique je veux. Cependant quand j'effectue la commande "conf auth show". Toutes les suites restent en "undefined" cependant mon équipement à bien en compte ma commande.

 

Le problème est donc ou trouvé l'information de la bonne configuration de la suite?Est-ce un bug d'affichage? 

Cordialement

Non résolue

Débogage du trajet d'un paquet traversant un Stormshield

Posée par Bruno Tréguier dans Trucs et Astuces

Bonjour,

Je souhaiterais savoir quelles techniques vous utilisez pour arriver à tracer le trajet d'un paquet au travers d'une appliance, de l'nterface d'entrée, à l'interface de sortie (en passant par les étapes de filtrage/NAT et les décisions de routage).

La raison de ma question est la suivante: j'ai un paquet (un SYN/ACK en réponse à un SYN) que je vois entrer (via un tcpdump), mais pas ressortir par l'interface vers laquelle il aurait dû être envoyé. Pour autant, les logs de filtrage montrent bien une action "pass"...

Donc pour l'instant, à ma disposition j'ai:

- tcpdump

- les logs

Et puis c'est tout. ;-)

Je suis preneur d'autres idées qui pourraient me permettre d'arriver à tracer ce paquet récalcitrant...

L'appliance est un Stormshield SN910, pour info.

Merci ! :-)

Bruno

Non résolue

Configuration BGP pour exporter tous les réseaux directement connectés

Posée par Ludo Daix dans Administration

Bonjour à tous!

Pouvez vous m'indiquer le meilleur moyen pour configurer bird afin d'exporter les réseaux directement connectés à l'appliance (toutes les interfaces réseaux). 

Pour l'instant je fais ça avec un filtre que j'appelle dans la conf du protocol bgp.

Mon fichier de conf fonctionnel est le suivant:

# The direct protocol automatically generates device routes to
# all network interfaces.
protocol direct {
}

# This pseudo-protocol performs synchronization between BIRD's routing
# tables and the kernel.
protocol kernel {
learn; # Learn all alien routes from the kernel
persist; # Don't remove routes on bird shutdown
scan time 20; # Scan kernel routing table every 20 seconds
import all; # Default is import all
export all; # Default is export none
preference 254; # Protect existing routes
}

# This pseudo-protocol watches all interface up/down events.
protocol device {
scan time 10; # Scan interfaces every 10 seconds
}

filter out_BGP { if net ~ [ 10.2.2.0/24 ] then accept; else ...

Voir la suite
Non résolue

Déclaration d'un VLAN au travers de plusieurs switchs

Posée par Cyril Kerrec dans Administration

Bonjour,
J'ai déployé plusieurs switchs Cisco (3850 et 2960-X) et interconnecté ces switchs via fibres optiques et ports trunk.
Dans ces trunk, j'ai autorisé une liste de VLAN.
L'un d'entre eux, par exemple VLAN 5, déclaré sur chaque swich comme port Admin, fonctionne parfaitement avec chaque switch; les pc connectés y fonctionne parfaitement sur le port 23 chaque switch. (ou 11 avec gbic RJ45 sur 3850).
Mes PC Admin sont sur un réseau 10.0.10.x/24. (GW : 10.0.10.254) (les IP ne représentent pas la réalité).
 
J'ai ensuite déclaré un nouveau VLAN pour mes utilisateurs, disons VLAN 100, sur chaque switch.
Via SSH :
conf t
vlan 100
name USERS
exit
do wr mem
end
show vlan
... et ce , sur chaque switch.
 
et sur au moins 2 switchs, j'ai testé avec des PC utilisateurs, via le port 1, avec ajout du vlan (switchport access vlan 100), mais la communication ne passe pas.
Mes PC utilisateurs sont sur un réseau 10.0.49.x/24 .(GW : 10.0.49.254)
 
Derrière ces swichs, il ya des serveurs dont les...

Voir la suite
Non résolue

Certificat et StormShield

Posée par Jean Korn dans Administration

Bonjour

je souhaiterais acquérir un certificat SSL chez Gandi par exemple pour l'accès mon StormShield (portail captif, interface d'administration).

 

Chez Gandi, on me demande de générer un CSR. 

Dois je le faire sur le Stormshiedl et comment faire ?

Ou je peux le faire à partir de n'importe quelle poste ?

Merci

Non résolue

remplacement boitier dans un HA

Posée par Nicolas Julien

Bonjour,

 

Je dois changer un Sn710 présent dans un HA et je voudrais connaitre la meilleur méthode pour intégrer le nouveau boitier dans le cluster ?

 

Merci

 

Nicolas

Non résolue

Wifi Stormshield SN210W - Pas d'accès aux ressources internes

Posée par Yves Rampon dans Securité

Bonjour,

 

Nouveau sur le matériel Stormshield, je n'arrive pas à accèder aux ressources internes du réseau en connexion Wifi.

J'utilise le relai DCHP (un serveur interne) qui renvoi bien les bonnes adresses IP pour se connecter et cela fonctionne très bien.

Mais pas d'accès aux ressources internes, lecteurs mappés etc.

Je ne trouve pas la bonne règle de filtrage à mettre en place. avec la règle PASS ALL, évidement ca fonctionne.

Merci pour vos idées.

 

Non résolue

Ansible et stormshield

Posée par Seb Do dans Securité

Bonjour,

 

j'ai en charge un parc de stormshield et j'ai découvert deux liens pour me faciliter le travail.

J'ai commencé à lire comprendre et mettre en oeuvre mais je bloque et je voudrais savoir si des personnes utilisent ces scripts.

https://github.com/stormshield/ansible-SNS

https://github.com/stormshield/python-SNS-API

 

Je connais bien les stormshield mais je ne connais pas ansible et je ne connais pas python donc j'aurais voulu savoir si des gens utilsent ces outils ?

Car les github ne sont pas assez explicites pour moi je bloque sur les histoires de module library etc ?

Merci beaucoup de votre aide

 

 

 

Non résolue

VPN SSL Stormshield réservation ip client

Posée par Palma Alexandre dans Administration

Bonjour , 

J'ai configuré les accès vpn ssl sur un firewall stormshield sn 510 , j'ai également configuré un réseau pour les clients. Ma question : est il possible de gérer la diffusion des adresses ip du réseau renseigné dans la config VPN SSL ? Je souhaiterais effectivement fixer / réserver une ip à certains users ( actuellement les ips sont distribuées aléatoirement je ne sais pas comment ). Merci d'avance.

Non résolue

VPN-SSL stormshield et user authentifié

Posée par Cédric Guic dans Securité

Bonjour à tous, j’aurais besoin d’aide de la communauté. Je dispose d’un Stormshield SN710 et avec le confinement nous avons dû déployer en urgence la solution VPN SSL à nos users munis de PC portable (client 2.8.0) sous Windows 10 et disposant de la bonne versions des logiciels et antivirus. Après les configuration du parfeu adéquatent pour accepter le accès VPN, nos users se loguent et seulement les utilisateurs du groupes (reliés à l’Active Directory) ont le droit se connecter. Jusque a tout fonctionne à merveille.

Or je viens d’avoir des personnes qui ont oubliés leurs ordinateurs portables au bureau, qui ont récupéré l'exécutable du client Stormshield VPN SSL, l’on installé sur leur PC personnel ou tablette et donc ne disposant pas dans la majorité des cas d’antivirus, de Firewall et autres outils de protection adéquate.

Ma question est la suivante, afin qu’ils ne polluent pas notre réseau interne je souhaiterais pouvoir authentifier les...

Voir la suite
Non résolue

2 liens entrants sur SN510

Posée par Seb Patte dans Administration

Bonjour,

aujourd'hui connecté par un lien d'un FAI, j'ai ajouté un second lien à mon Firewall.

ça fonctionne, via une règle mon PC utilise le nouveau lien pour sortir sur internet, le reste de l'entreprise utilise mon premier lien.

Par contre, j'aimerai configurer mon VPN pour utiliser les 2 liens:

chez mon provider j'ai dans mes DNS vpn.xxxx.eu qui a son entrée A sur l'IP du lien 1. En ajoutant vpn.xxxx.eu avec une entrée A sur l'IP du lien 2, je ne vois pas de changements.

En me connectant j'ai l'impression de toujours prendre le lien 1 : je ne vois pas de traffic sur mon lien 2

je teste https://vpn.xxxx.eu/auth ça marche
je teste https://IP_lien1/auth ça marche
je teste https://IP_lien2/auth ça ne fonctionne pas

Une idée ?

Non résolue

cannot reach DNS 192.168.0.248 as it's private network

Posée par Antoine Poussard dans Matériels et performances

Hello everyone,
We have a VPN SSL setup in our office, using StormShield. We have setup 11 connection (windws&mac&linux) with succes. But, in one MacOS things went wrong.We use TunnelBlick. The connection works, but it display "cannot reach DNS 192.168.0.248 as it's private network"But :
- Internet works
- Whatismyip gives the office IP (and not the remote IP)
- ping to LAN equipment (gateway, DNS, and a desktop) DOESNT work (timeout)We tried :
- Refresh DNS cache from macOS
- change the internet connection (using cellphone 4G)

- we can ping another computer from the same sub-network

Non résolue

Accès esxi distant via VPN SSL au travers d'un tunnel IPSEC

Posée par Joffrey B dans Administration

Bonjour à tous,

Depuis vendredi je suis face à un problème que je n'arrive pas à résoudre.

J'ai un monté un tunnel IPSEC entre un SN300 et une pfsense en front sur un ESXI. Ce tunnel fonctionne et j'ai bien accès aux différentes VM de l'ESXI via mon bridge. 

Toutefois en ces temps difficiles, nous recourons au télétravail. J'ai donc des clients qui se connecte via le logiciel ssl stormshield et ça fonctionne. Mes clients ont bien accès au réseau local dans mon bridge, mais je n'arrive pas à accéder aux VMs de mon esxi. 

Côté configuration VPN IPSEC, mon réseau SSL est bien présent dans un objet réseau local (de même que mon réseau interne).

Côté filtrage et NAT, j'ai une règle qui laisse passer tout mon traffic depuis mon réseau SSL vers mon remote (réseau coté esxi).

J'ai une route statique qui indique la passerelle à utilisé pour mon remote (réseau esxi).

La je coince un peu niveau idée.

Auriez vous une piste que je puisse explorer svp ?

Je vous...

Voir la suite
Non résolue

STORMSHIELD VPN

Posée par 1412 Tech dans Securité

Bonjour,

Je souhaiterais utiliser le portail captif de mon Stormshield SN510 pour attaquer une ferme rds mais cela ne fonctionne pas et je ne trouve pas de documentations. Je l'ai fait en serveur Applicatif cela ne fonctionne que si l'on se connecte sur une machine directement mais dans le cas d'une ferme cela ne fonctionne pas....Quant au serveur web rien ne passe.


Merci

Non résolue

Superviser la qualité du lien sur stormshield

Posée par Dem Sy dans Administration

Bonjour,

Je cherche sur Stormshield une fonctionnalité qui permettrait de mettre des indicateurs (seuils) qui seront vérifiés en continu pour savoir si la lien satisfait aux critères.

Il s'agit d'une fonctionnalité identique à celle dite IP-SLA de Cisco ou Link-Monitoring de Fortigate. 

Exemple: Mettre:

- débit = 10 Mbits/s

- gigue = 10ms

- perte =  1%

Et être en mesure de contrôler en continu ces kpi pour qualifier le lien pour des besoins de supervision ou pour basculer le trafic.

Je suis vraiment dans la galère :-(

Merci à vous

 

Non résolue

Certificat Let's encrypt

Posée par Seb Patte dans Securité

Bonjour,

nous avons un SN510 et je cherche un tuto pour générer un certificat Let's encrypt pour mon VPN SSL. Quelqu'un aurait une idée ?

Non résolue

Création de compte sur mystormshield

Posée par Fighter 777 dans Administration

Bonjour,

Est-il possible de créer un compte sans numéro de siret ?

 

Je compte acheter un pare-feu d'occasion pour mon usage personnel et je ne veux pas créer de compte utilisateur perso sur l'entreprise de mon compte pro :S


Merci d'avance.

Non résolue

Lenteur tftp

Posée par Patrice Cuve

bonjour,

Nous avons un sn 3000 qui assure le routage inter vlan. il assure également Le relai dhcp entre le vlan serveur et le vlan client.

enfin nous avons un serveur qui a les rôles dhcp et wds mdt.Les descentes d'image sont très rapides si le client est sur le vlan serveur.

en revanche c'est très long à partir du vlan client, nous avons tout ouvert entre les 2 vlan et pas d'ips sur le stormshield.

Les lenteurs apparaissent au téléchargement de l'image winpe ent tftp.

 

 

 

Non résolue

VPN IPSec Nomade

Posée par Dodga dans Fonctionnalités et système

Bonjour,

Suite à quelques tentatives de mises en service d'une connexion VPN en IPSec Nomade, j'aurais besoin de vos conseils car je n'ai pas de résultats positifs dans mes manoeuvres, 

Matériel : SN210W en version 4.0.1

 

J'aurais donc voulu savoir pour ceux qui l'ont déjà mis en oeuvre, quels sont les paramètres à configurer ? Egalement si vous avez des clients VPN plutôt fiable ?

(Si vous avez le lien pour un tuto complet je suis preneur également ;) )

 

En vous remerciant par avance !

 

Cordialement,

Dodga

 

Résolue

DHCP multiples à faire passer dans VTI Stormshield

Posée par Thomas Authier dans Administration

Bonjour à tous.

J'ai un firewall Stormshield sur un site A et un autre sur un site B.

Actuellement un tunnel VPN IPSec est en place sur les deux Storms.

Sur le site A nous avons 3 DHCP à faire acheminer sur le site de B.

Les 3 DHCP ne sont pas dans le même adressage. Est-il possible de parmètrer pour que le DHCP passe par les interfaces VTI du Storm ?

Résolue

INFORMATION SIGNATURE IPS

Posée par Marc Chevalier dans Securité

Bonjour,

je suis novice sur les équipements StormShield. Dans la partie Applications et Protections,il y a les profils d'inspection avec les signatures pour les applications, protections et malwares.

Souhaitant modifier ces règles je cherche à accèder à la base d'aide des signatures. En effet lorsque l'on clique sur aide on peux accéder à une description de la signature(détaillés ou non).

J'aimerais accéder à ces aides autre part qu'en passant sur le stormshield directement. Car pour interdire ou autoriser il faut queje comprenne le protocole etc.

 

Merci d'avance

Résolue

Latence openvpn

Posée par Pascal Le Bihan dans Administration

Bonjour à toutes et à tous, 

J'ai activé le service openvpn en TCP sur des stormshield 710 pour permettre à mes collègues de télétravailler. J'observe des latences énormes vers les machines de mon lan

A titre d'exemple j'ai un ping qui tourne vers la pate Lan et un autre vers la pate WAN

je peux monter jusqu'a 375ms sur la pate Lan alors que mon ping WAN est à 40ms environ. Mon ping Wan est un peu pourri car je suis en 4G.

J'ai tenté en IPSec, les latences sur la pate lan sont tres proches des latences WAN

 

Est ce un bug openvpn ? Paramétrage client ? 

J'utilise openvpn en mode TCP , l'accès WAN de mon routeur est une FTTB 100M et mes firewall sont en 3.9.0.

 

Merci pour vos idées et vos conseils

Pascal

Résolue

Active directory et VPN IPSEC

Posée par Gaëtan Lagraviere dans Fonctionnalités et système

Bonjour à tous,

Administrateur système et réseaux au sein d'une entreprise, je souhaite mettre en place un nouveau site distant (site B) avec un controleur de domaine pour mon active directory qui est localisé sur le site A.

J'ai donc monté un VPN IPSEC entre les 2 sites et j'ai autorisé via les règles de filtrage ces machines à parler ensemble.

Jusque là, pas de problème, les machines communiquent bien entre elles, elles se ping, je peux faire des bureaux à distance de l'une sur l'autre etc... La seule chose que je ne peux faire est d'intégrer le serveur site B dans le domaine du site A et le nslookup me renvoie un server unknown aussi.

Sur l'active directory du site A, j'ai bien rajouté le site B dans les sites ainsi que son sous réseau utilisé, et également entré sa plage ip dans la recherche inversée et j'ai mis l'inspection sur la règle de filtrage en IDS afin de ne pas me faire bloquer (je verrais cette inspection par la suite).

J'ai également monté un autre...

Voir la suite
Résolue

NAT Static - Points importants

Posée par Jean-Marie Horel dans Fonctionnalités et système

Bonjour,

Avant toute remaques je précise ma situation, je suis technicien d'amélioration continue en entreprise, j'ai un DUT GEII et une licence pro mécatronique. Mon travail tourne autour de l'automatisme, de l'informatique de la robotique et forcément du réseau.. Bref

Nous avions mis en place un boitier pour Natter plusieurs adresse du réseau OT vers le réseau IT. Nous souhaitons migrer ces translation vers le stormshield. Mais là après multiple essai rien n'y fait.

J'ai installé la plateforme virtuelle de formation EVA1 et refais le LAb sur les translation et plouf.. Je cherche donc depuis 3/4 semaines. Avez-vous une liste de prérequis à vérifier ou de points importants ?

 

Voici la configuration de la virtualisation :

 

Out : 192.168.1.142/24
IN : 10.0.0.254/24
DMZ1 : 172.16.2.1/24

VM debian avec les IP 11/12/... montée

Politique Pass All copiée puis ajout d'une translation statique 172.16.2.11 <> 192.168.1.143 avec publication ARP.

La route par défaut est...

Voir la suite
Résolue

Vlan et bridge, mais un peu en mode tordu

Posée par Lgrain25 dans Administration

Bonjour à tous.

A une heure tardive ( c'est peut être pas le meilleur moment), en réfléchissant à une infra client ou je configure un vlan  pour isoler mon NAS de sauvegarde et ainsi bénéficier de mon firewall pour le protéger un peu plus, je me suis posé la question:

Imaginons un lan en 192.168.1.0/24 par ex avec des pc et un serveur. Dans mes 10 pc , j'ai par exemple 5 de productions et 5 administratifs.

Je crée un vlan ou je mets mes 5 administratifs et un vlan ou je mets mes 5 productions et un vlan ou je mets mon serveur.

Je ne change pas le plan d'adressage IP des équipements. Sur mon switch je configure 3 ports en untag sur chacun des Vlans sur lequel je viens brancher un cable par vlan sur mes interfaces de mon firewall qui sont toutes dans le même bridge.

Si je gère des règles de flux par segment de réseau , est ce que je peux autoriser/bloquer des flux entre mes vlans.

Je ne vois pas ce qui m'empêcherais de le faire, mais on ne sait jamais ;) Y a quand même...

Voir la suite
Résolue

Blocage HotSpot d'un partage de connexion Smartphone ?

Posée par Eric Gallou dans Matériels et performances

Bonjour,

Nouvel utilisateur, en confinement, mon entreprise m'a installé Stormfield SSL VPN Client sur mon PC portable W10.

Il semble que depuis (?) je ne puisse plus me connecter au WiFI hotspot de mon Smartphone 4G (en partage de connexion).

1) Mon PC sur la connexion WiFI domicile est OK

2) Mon Pc sur la connexion partagé du SmartPhone de mon conjoint est OK

3) Le PC de mon conjoint sur mon Smartphone en partage de connexion est OK également

Est ce que Stormfield peut etre la cause du blocage de mon PC sur mon Smartphone ?

J'ajoute que mon PC liste bien le wifi de mon Smartphone HotSpot, mais lorsque je tente de me connecter, dès la saisie du mot de passe wifi du partage, le PC me rejette.

Est ce que ce VPN peut en etre la cause ???

Comment vérifier ?

Merci d'avance

Résolue

Alertes firewall

Posée par Seb Patte dans Administration

Bonjour,

j'ai régulièrement ces alertes sur mon SN510 :

  1. Débordement de la file de données TCP
  2. Mauvais protocole LDAP (syntax error)
  3. Débordement dans une URL
  4. NTP : taille du message supérieure à la valeur autorisée (NTPv3 length)
  5. DNS id spoofing
  6. Protocole DNS invalide (maximum pipelined request reached)

Une idée de ce qu'elles signifient et de leurs degrés d'importance ?

Comment les résoudre ?

Résolue

SN500 Portail VPN Accès sécurisé

Posée par Marie N dans Administration

Bonjour,

J'avais mis en place sur mon SN500 le portail VPN avec accès sécurisé (application et serveurs) : totu fonctionnait correctement et d'un coup (sûrement un mauvais clic) l'onglet Accès sécurisé a disparu. Le portail est toujours accessible mais l'onglet n'apparait plus !

Il est donc imposible d'utiliser l'option ce que bloque l'utilisation de mon portail. Ma demande est plutot critque/urgente.

Merci d'avance.

Marie

SN 500 V 3.7.11

Résolue

Stormshield Virtual Appliance

Posée par Christophe Cherré dans Appliances virtuelles

Bonjour à tous,

Puisque je suis nouveau dans ce forum je me présente donc en premier avant de vous solliciter.

Je travaille dans un établissement hospitalier et je souhaite acquérir des compétences dans les firewalls STORMSHIELD. j'ai décidé de suivre une formation en ligne mais le problème c'est qu'il faut se débrouiller pour obtenir une appliance virtuelle et les maj associées.

Le problème c'est que je ne peux pas m'inscrire sur le site car d'une je ne suis ni revendeur ni certifié et de plus, je suis cette formation dans le cadre privé et non professionnel.

Avez-vous, svp, des pistes à me donner pour obtenir cette vm et ces maj?

Je vous remercie

Résolue

SN300 + fibre orange + IPSEC Fortigate

Posée par Nkc dans Securité

Bonjour,

je me tourne vers la communauté car je fais face à un pb que je n'arrive pas à comprendre.

Je vous explique:

j'avais jusque présent 2 lignes ADSL (ADSL1 et ADLS2) et je viens enfin d'etre éligible à la fibre, j'ai donc maintenant mes 2 lignes ADSL + 1 fibre orange.

J'ai 2 sites distants reliés par des vpn IPSEC en partance de ma ligne ADSL1. Jusqu'ici pas de pb le vpn fonctionne sans pb. Le soucis est que lorsque je bascule sur ma fibre je reste bloqué en phase 1, j'ai pensé que cela venait de la livebox et je l'ai alors shuntée en me raccordant directement au boitier fibre et en montant un VLAN 835 avec modem PPOE sur la patte de mon stormshield... mais toujours bloqué sur la phase 1.

Je ne pense pas que le pb vienne de ma clef car lorsque dans la conf du vpn je remet de sortir sur mon ADSL le VPN se remonte (bien entendu je change aussi la conf sur le fortigate en remettant l'ip de mon adsl1 au lieu de l'ip de ma fibre).

Avez vous des idées?

merci de votre...

Voir la suite
Résolue

Migration Netsak U70 vers Stormshield

Posée par Mathieu Laurence dans Securité

Bonjour

Notre socièté viens de faire l aquisition d 'un FW stormshield SN310 pour remplacer notre netask U70. Une migration est il possible? si ou comment faire en chargent les fichiers de sauvegarde de l 'un vers l autre , cela ne fontionne pas.

 

Merci de votre retours.

Résolue

probleme connexion vpn ipsec site à site entre deux Fortigate 90E

Posée par Zouhair Mansour dans Securité

Bonjour à tous, Je rencontre des difficultés pour faire un VPN IPSEC site à site entre deux FortiGate 90E. j'ai crée un VPN IPSEC via "WIZARD" et depuis le VPN ne mente pas toute en sachant que depuis le Site A, je ping l'adresse IP WAN du site B et l'inverse non.

Suis-je dans le juste, ou vais je me "gauffrer" lamentablement ;)

Merci de votre aide

 

 

 

Résolue

Ping aléatoire en outside

Posée par T H dans Administration

Bonjour, je suis administrateur réseau dans une entreprise et nous avons récemment achetés deux stormshield SN510, sur l'un d'entre eux j'ai configuré :

-une interface outside (qui va vers un autre routeur interne qui renvoie vers internet)

-une interface inside (qui va vers le réseau 192.168.95.X/24)

J'ai configuré les routes et les règles de filtrage d'interface à interface.

J'ai un pc en 192.168.95.100 dans inside qui arrive a ping 8.8.8.8 google.fr par exemple

mais celui-ci ne ping pas psg.fr (exemple), il ping un site sur deux ce que je ne comprends absolument pas ! exemple :

Aucun proxy n'est présent sur le réseau.

le nslookup arrive a tout résoudre.

le traceroute m'indique le bon chemin et part bien sur l'autre routeur interne qui lui n'a aucun problème.

Une fois arrivé sur un navigateur même les ip que j'arrive à ping, je n'arrive pas à les atteindres sur le navigateur.

Pouvez-vous m'aider a comprendre pourquoi ce stormshield bloque la connection ?

 

Résolue

Problème Exchange SN200

Posée par John Doe

Bonjour,

Je viens de mettre en place un SN200 et je rencontre un problème.

Tout fonctionne correctement en interne, les postes ont accès au serveur Exchange et aucun problème d'envoi et réception.

Le problème que je rencontre se trouve au niveau des téléphones mobiles, qui eux n'arrivent plus à se synchroniser.

Avez vous une idée d'ou peut venir le problème.

Merci d'avance pour votre aide.

Résolue

Probleme haute disponibilite

Posée par Harry Elmaleh dans Appliances virtuelles

Bonjour,

 

Je dispose de 2 pare feu stormshield (virtuelles), j'ai bien reusis a faire la haute dispo sur le 1er mais sur le 1eme au moment de rejoindre la haute dispo j'ai le message d'erreur ci joint

 

pour info : j'ai bien verifier le mot de passe et adresse ip c'est les bon

Résolue

SVC : déclarer plusieurs appliances

Posée par Stephane Valibouse dans Administration

Bonjour à tous,

je viens de déployer une vm SVC afin de centraliser les logs de toutes mes appliances installées dans chaque pays où nous avons une entité.

Pour le site maison où est installé SVC la discution avec le cluster SN700 fonctionne parfaitement.

j'ai ensuite configuré mes autres appliances qui sont connectées en IPSEC en implantant de la meme manière les certificats pour la discussion en TLS j'ai créé l'objet host de mon SVC avec l'ip de mon site centrale qui est bien joignable depuis les réseaux distants par les tunnels ipsec.

mais visiblement le syslog ne semble pas passer par le tunnel, y a t'il une règle de filtrage+NAT à faire afin de faire transiter les logs des firewalls distants vers le site central où SVC est hosté.

 

merci pour vos commentaires

Messages d'alerte