Firewall OPNsense, Redirection de ports et règles inter vlan

[mophete]

Bonjour,
Décidément je n'y arrive pas !
Voilà ma situation en détails pour vous aider à comprendre :
Une Freebox en mode routeur, le WAN de mon OPNsense configuré en DMZ sur la BOX. (Je la laisse en routeur pour conserver le Freebox player, ce qui m'interdit de passer la Freebox en bridge)
Jusque-là pas de soucis.
Concernant OPNsense, c'est un mini PC HP t610 plus doté de 5 ports ETH.
Un pour le WAN, raccordé à la Freebox, les 4 autres sont tagués chacun sur un VLAN : DMZ, INFRA, SERVITUDE et etc...
Au sein des règles, j'interdis à la DMZ toute communication vers les autres vlan.
Le vlan INFRA a accès à tous les vlan, SERVITUDE et DATASTORE n'ont accès qu'à la DMZ
Et enfin les 4 vlan ont accès au WAN, donc à internet.
Ca, je crois que j'ai réussi à le mettre en place, des pings entre différentes vm semblent me le confirmer.

En revanche, j'ai 2 redirections de ports, sur les ports 80 et 443 TCP, donc provenant du WAN jusqu'à une vm (un hôte simple) en DMZ. Il s'agit d'un reverse proxy http
Et cet hôte doit, par le biais de certains ports, accéder à d'autres vm dans d'autres vlan.

Je n'y parviens pas.
Et le pire du coup c'est que je ne sais pas si cela vient des redirections de ports, ou des règles d'ouverture inter-vlan entre cet hôte et les autres hôtes ciblés.

Je joins des screenshots de mes règles NAT et des règles WAN DMZ et INFRA.

J'ai regardé un autre post concernant les NAT, mais j'avoue que la philosophie de cette manière de gérer les règles dans OPNsense autant que dans PFsense m'échappe.

Un peu d'aide serait vraiment bienvenue, je vous en remercie d'avance

[mophete]

Je continue mon diag...
Je me suis concentré sur la redirection de port 21 qui pointe en DMZ vers mon NAS.
depuis un client FTP, lorsque je saisis l'IP WAN du pfsense, il redirige bien vers mon NAS.
Si je saisis en revanche l'IP WAN attribuée par mon FAI, ca tombe dans les choux.
Je confirme que dans la freebox l'ip WAN d'OPNsense est bien paramétrée en DMZ.
en PJ le screenshot de mes règles NAT, du coup mes Alias sont OK.
j'avais ce doute aussi mais ca fonctionne comme ca, il ne reste plus qu'à dire à opnsense d'accepter ces mêmes flux depuis internet...

[mophete]

Ah oui et quand je ping l'IP de la carte WAN du OPNsense, cela ping bien, mais quand je ping l'IP publique attribuée par mon opérateur, cela ne ping pas.
Je redis au cas où, la redirection au sein de la Freebox est bonne.

Tout le souci vient d'OPNsense dans mon cas.

A force de bidouiller, créer des règles, les modifier, supprimer, etc... Je pense que je vais finir par faire n'importe quoi à tel point que plus rien ne fonctionnera.

Quelqu'un pourrait-il m'aider svp ?

[mophete]

Bon, faute d'aide ici, je bidouille...
J'ai tenté le tout pour le tout :
Supprimer toutes les NAT, et toutes les règles, sauf celle de base : ACCEPT ALL, sur mon vlan principal.

J'ai créé première règle pour permettre à OPNsense de répondre aux pings lorsqu'on interroge l'IP publique attribuée par l'opérateur, cela fonctionne ! CF mes règles WAN en screenshot.

Du coup j'ai créé des NAT :
80 et 443 qui redirigent vers une mon reverse proxy nginx
21 et 55536 - 56559 qui redirigent vers mon NAS
Cf les NAT en screenshot

Cela a créé automatiquement les règles dans le vlan WAN.
J'en ai profité pour créer une règle dans ce même vlan pour bloquer tout le reste, par principe.

Il me reste à comprendre comment créer une règle pour que mon nginx, via des protocoles http ou https, sur divers ports TCP, 80, 81, 443, 8080, 8091, 8123, 8443, 8765, 9000 et 55001, puisse joindre telle ou telle machine sur mes différents vlans.
Actuellement il fait bien son taf pour les cibles situées en DMZ comme lui, mais les autres cibles des autres vlans sont encore bloquées.

Sauf si quelqu'un me propose une solution avant, je finirais bien par trouver...auquel cas je donnerai l'explication ici, car j'imagine que si je galère, d'autres galèreront ou sont déjà en train de lutter...