Messages

On peut tout à fait faire ce que tu veux avec WireGuard + OPNsense, mais il y a plusieurs points à bien aligner : routage, NAT et règles de firewall sur les deux sites.

Je vais appeler :

Site A = celui par lequel le .63 doit sortir sur Internet
Site B = celui où se trouve le périphérique 192.168.B.63 (j'invente un /24 pour l'exemple)
Tunnel WireGuard :
IP côté A : 10.10.10.1
IP côté B : 10.10.10.2
Adapte les IP à ta config réelle, c'est juste pour illustrer.

1. Principe de ce que tu veux faire
Tu veux du policy-based routing :

Sur le site B :
Tout le trafic LAN → Internet sauf pour 192.168.B.63 sort normalement par la WAN de B
Le trafic de 192.168.B.63 → Internet doit être envoyé dans le tunnel WireGuard vers A
Sur le site A :
Le trafic venant de 192.168.B.63 via le tunnel doit :
Être NATé sur l'IP WAN de A
Être autorisé par le firewall A
Être renvoyé dans le tunnel vers B pour les réponses
C'est exactement ce qu'un routeur d'entreprise ferait avec du PBR (Policy Based Routing).

2. Config côté Site B (où se trouve le .63)
2.1. Peers WireGuard
Sur le Site B, dans VPN > WireGuard > Peers, pour le peer « Site A » :

Tunnel Address : 10.10.10.2/32 (par ex)
Endpoint public de A : OK déjà
Allowed IPs (côté B pour le peer A) doit inclure :
Le réseau du site A (par ex 192.168.A.0/24) – pour accéder au LAN de A
Et 0.0.0.0/0 si tu veux envoyer tout le trafic par A pour certaines machines via des règles de firewall (policy routing)
Exemple :
192.168.A.0/24, 10.10.10.1/32, 0.0.0.0/0

Important : mettre 0.0.0.0/0 dans Allowed IPs NE force pas automatiquement tout à passer par A. Ça dit simplement : « ces destinations sont atteignables via ce peer ». Le choix de ce qui passe par ce tunnel se fait après via les règles du firewall (policy routing).

2.2. Règle de firewall LAN pour le .63
Sur le Site B, va dans Firewall > Rules > LAN et ajoute une règle en haut :

Action : Pass
Interface : LAN
Source : 192.168.B.63
Destination : any
Gateway : la gateway WireGuard (créée auto quand tu actives l'interface WG : par ex. WG_SITEA)
Log : activé temporairement pour debug
Cette règle va forcer tout le trafic de 192.168.B.63 à être routé via le tunnel WireGuard vers A, au lieu de la WAN de B.

Ensuite, assure-toi qu'une autre règle LAN générale (sans gateway) existe en dessous pour le reste du LAN, qui continue d'utiliser l'Internet de B normalement.

3. Config côté Site A (sortie Internet)
Deux choses essentielles :

Le NAT pour la source 192.168.B.63 (vue depuis A via le tunnel)
Les règles firewall sur l'interface WireGuard et sur WAN
3.1. S'assurer que Site A connaît le réseau de B
Sur le Site A, dans WireGuard > Peers pour le peer « Site B » :

Allowed IPs doit contenir le réseau du site B :
par ex. 192.168.B.0/24, 10.10.10.2/32
C'est comme ça qu'A sait : « pour atteindre 192.168.B.0/24, je passe par ce peer/tunnel ».

3.2. NAT (Outbound) côté A
Tu dois t'assurer que lorsque 192.168.B.63 arrive par le tunnel sur A et sort sur Internet, il est NATé avec l'IP WAN de A.

Dans OPNsense Site A :

Va dans Firewall > NAT > Outbound
Mode :
Soit « Hybrid outbound NAT rule generation »
Soit « Manual outbound NAT rule generation »
(Évite « Automatic only » pour ce cas précis)
Ajoute une règle :
Interface : WAN
Source : 192.168.B.63/32 (ou 192.168.B.0/24 si tu veux NATer tout le réseau B via A)
Source Port : any
Destination : any
Translation / target : Interface address (WAN A)
Description : NAT pour B.63 via WG
Sauvegarde + appliquer.

3.3. Règles de firewall côté A (interface WireGuard et WAN)
Sur l'interface WireGuard de A (par ex « WG_SITEB » dans Firewall > Rules > [WG_SITEB]) :
Ajoute une règle :
Action : Pass
Interface : WG_SITEB
Source : 192.168.B.0/24 (ou au minimum 192.168.B.63/32)
Destination : any
Protocol : any
Elle autorise le flux venant du réseau B via le tunnel.
Sur WAN de A :
Normalement, pas besoin de règle spéciale si le firewall de A autorise déjà le trafic sortant initié par le LAN/Tunnel. Vérifie que tu as une règle du type :
Interface : WAN
Direction : Outbound / ou IPv4 depuis A vers internet autorisé (selon ta politique)
Dans la majorité des configs « par défaut », c'est déjà OK : c'est l'interface LAN/WG qui décide ce qu'elle laisse sortir.

4. Diagnostic : pourquoi tu as « Destination host unreachable »
Quand tu ping 1.1.1.1 depuis 192.168.B.63 et que tu obtiens « Destination host unreachable », il y a 3 causes classiques :

Le paquet ne part pas dans le tunnel (PBR mal appliqué)
Vérifie sur B : dans Firewall > Log > Live View :
Filtre par source = 192.168.B.63
Tu dois voir la règle LAN avec gateway WG_SITEA matche ce trafic.
Site A ne connaît pas 192.168.B.0/24 comme étant derrière le tunnel
Allowed IPs mal configuré sur le peer côté A, ou interface WG mal montée.
NAT ou firewall côté A bloque
Paquets arrivent bien sur A via WG, mais :
soit pas de NAT Outbound correspondant → trafic sort avec IP privée du réseau B → drop par le FAI
soit firewall sur interface WG ou WAN refuse.
Tu peux confirmer que le trafic arrive sur A via :

Firewall > Log > Live View sur A
Filtrer source 192.168.B.63
Si tu vois des paquets entrants sur interface WG → le routage tunnel est OK
5. Résumé rapide des points clés
Sur B :
Peer vers A : Allowed IPs inclut 0.0.0.0/0
Règle LAN en haut pour 192.168.B.63 → Gateway = WG_SITEA
Sur A :
Peer vers B : Allowed IPs inclut 192.168.B.0/24
Firewall > Rules > [WG_INTERFACE] : autoriser source 192.168.B.0/24 vers any
Firewall > NAT > Outbound sur WAN : NAT source 192.168.B.63/32 (ou B.0/24) vers IP WAN A
j'utilise ca sur mon opnsense mais ca ne ce decrit pas vraiment fait ci fait ca et ca va fonctionner  tu dois compprendre un minimum ce que tu fais chauqe reseau est specifique

moi perso etre toi j utiliserai adblock au lieu de unbound et je desactiverai unbound tu vas avoir une bien meilleur vu sur ton trafique et ce qui qui peux bloquer ou pas.

1. Si on va dans le menu qui permet de gérer les listes à activer (Services: Unbound DNS: Blocklists), est-ce qu'il vaut mieux créer une ligne de configuration PAR blocklist à activer ? Ou vaut-il mieux avoir UNE ligne avec TOUTES les blocklists que l'on souhaite activer ? je ne suis pas sur de comprendre ce que tu veux dire quand tu vas dans unbound menu blocklist ou le dragdrop de  Type of DNSBL tu choisis les liste la

je ne sais pas trop comment expliquer cela mais tout fonctionne bien sur mon opnsense après un redémarrage malgre que les vlan sont rendu tres long a monter ont parle que apres un redemarage le lan est accessible et les vlan foncitonne seulement apres 3,4 minutes mais je peux vivre avec cet problématique ( mais ce n'etait pas le cas a la version 25.x). Par contre quand j'ai 1 gateway qui change de state (up ou down ) tous les vlan tombe non fonctionnel et ne revienne jamais ok sauf si redemarrage du opnsense.

mon setup

j'ai un wan ( qui sert l'internet )
j'ai 3 tunnel wireguard qui servent a router le lan de mon bureau ( split tunnel pas d'internet via ses tunnels )
il sont tous comme des gateway dans mon opnsense

Si j'ai un des gateway wg qui devient up ou down peux importe l'etat c'est si elle change simplement tous les vlan ne fonctionne plus plus d'internet plus capable de rien pigner meme pas le opnsense. par contre sur mon lan ( native ) tout demeure fonctionnel. Je n'ai vraiment aucune idee de ce qui peux causer cette problematique... le defaut gateway est bien mon wan et non les tunnel wg... ca peux tu etre une histoire de weight ou de metrique ou far ghatweway pas selectionné. Bien sur que j'ai demandé a gpt ou gemini mais il me font juste tourner en rond.

si je fais un netstat -rn sur le opnsense dans l'etat sain ou cassé la meme table de routage est la, j'ai essaye de reset les stale pas plus de resultat. bref je ne sais plus ou trop regarder j'aimerais bien avoir une piste pour m'aider a résoudre cela

i have the same problem unifi controler no longer working with this update i have roolback to 25.1 and all was ok but 25.1.2 broke unifi controller but for me adguard working with 25.1.2

https://imgur.com/BWRwlW8

https://imgur.com/JMoq8gy

https://imgur.com/rLQ22Mn

https://imgur.com/OnP74Pv

https://imgur.com/patIvfc

https://imgur.com/ceas4s9

iperf when on my lan

https://imgur.com/ptfIGvE

iperf on vlan

https://imgur.com/RoqLg5E

and ids,ips setting

https://imgur.com/i4k3XCM

https://imgur.com/cv8lzP6

https://imgur.com/iRDoQlf

https://imgur.com/MQoZCv8

sorry for link insert image seem not work with ( [img][img/] )

Hello! I have a Protectli VP4670-6 with 24 GB of RAM, an NVMe drive, and a 12-core i7 processor, along with Intel 2.5Gb network cards. I have 5 VLANs and a 3 Gbps internet connection. When IPS/IDS is disabled, using iPerf3, I get 2.3 Gbps between my laptop and the router over a wired connection. However, when I enable IDS/IPS, my speed drops to a maximum of 500 Mbps.

I thought that with this kind of hardware, I would at least get 1 Gbps or more. Am I doing something wrong? I have disabled unnecessary filters, and I'm running the latest version (12.2 from January 24, 2025), but I had the same issue even before this update.

I really want to keep network analysis enabled. Are there any tunings or optimizations I can apply? I'm not maxing out the CPU or RAM. I already apply tunable from other post here for maximum performance but i dont have performance ;) and my stale and mbuf was at under 2% majority of time under 1%

Allo ! J ai un protectli vp4670-6 avec 24 gig de ram disque nvme et processeur i7 12 core carte réseau intel 2.5gb. J ai 5 vlan une connexion internet à 3 gbits. Quand ips/ids n est pas activé avec iperf3 j ai 2.3gbits entre mon laptop et routeur en filaire, si j active l ids/ips je tombe avec 500 mbits maximum. Je pensais qu avec ce genre de matériel j aurais au moin du 1 giga sinon plus... je fais de quoi de pas correct ? J ai desactive les filtre non nessaire, je suis à la dernière version 12_2 qui date du 24 janvier 2025 mais même avant cette version j avais ce problème... et je tiens à l analyse de mon réseau ... il y a des tunage possible ? Je ne sature pas en cpu ou ram

I have see this hardware from opnsense the only problem in my head with that is if now im using 9 gig of ram and i buy a device with 8 gig of ram i will be in 100% ram used and its not good .. can i add ram to this device? or if i open it i will broke warrenty ?

I have opnsense on a optiplex 3070 with 16gig ram and all link at 1 giga full duplex and speed suck !...100mb on lan with iperf3 and 500mb on wan on a link of 1.5g i presume i dont use the good hardware ... i want à good hardware with 2.5g link can do ids/ips outbound dns, transparent proxy, i want  1giga lan speed and 1.5giga wan  and no drop speed after x time... i dont really check the cheapest price i just want its work good , what type of mini pc i need ? Any suggestion ? Now i use 9gig ram i need one with more of that, and i have 5 vlan and wireguard tunnel