Chapitre 04 Réseau, DNS & cryptographie Admin : #pNetwork

Fonctionnement derrière pfSense, OPNsense, HAProxy & passerelles SSL

De nombreux déploiements en entreprise exploitent leur serveur web et nextxch dans des VLAN internes derrière un pare-feu périmétrique commun (pfSense, OPNsense, Sophos) ou une passerelle SSL/HAProxy. Sans Hairpin NAT (NAT Reflection), les paquets envoyés depuis l'intérieur du réseau vers votre propre IP WAN publique expirent au niveau de la passerelle.

Conseil d'exploitation & note d'architecture

Pourquoi les vérifications de ports signalaient-elles auparavant 'Timeout' derrière des passerelles partagées ? Lorsque la sonde provenait de derrière le même pare-feu pfSense sans NAT reflection, les paquets de bouclage WAN étaient rejetés, alors que les clients externes sur internet se connectaient sans problème. nextxch v1.2.4 détecte et compense automatiquement cette topologie.

pfSense / OPNsense : paramètres Split-DNS & proxy recommandés

Le Split-DNS supprime les allers-retours WAN en épingle (hairpin) pour les utilisateurs internes et préserve les véritables IP source du LAN.

Référence / configuration

# 1. pfSense -> Services -> DNS Resolver -> Host Overrides:
Host: mail    Domain: firma.de    IP: 172.16.0.55 (Interne LAN/DMZ-IP)

# 2. Reverse-Proxy (Nginx / HAProxy) Timeout für ActiveSync Ping (TCP 443):
proxy_read_timeout 960s;
proxy_send_timeout 960s;
proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
proxy_set_header X-Forwarded-Proto $scheme;

Paramètres, valeurs par défaut & bonnes pratiques

Paramètre / emplacement	Description	Valeur par défaut	Bonne pratique en production
`pfSense / OPNsense: Split-DNS (DNS Resolver)`	Résout mail.company.com directement vers l'IP interne LAN/DMZ (par ex. 172.16.0.55) pour les clients internes et les serveurs voisins, au lieu d'un hairpinning via le WAN.	`Im Gateway konfigurieren`	Bonne pratique n° 1 recommandée ! Ajoutez dans Unbound/DNS Resolver un Host Override associant mail.company.com à l'IP LAN interne, pour une vitesse sans saut et les véritables IP des clients.
`pfSense: NAT Reflection (Pure NAT)`	Permet aux hôtes internes d'atteindre les services WAN redirigés via l'IP WAN publique lorsque le Split-DNS n'est pas utilisé.	`Deaktiviert in pfSense`	Si des hôtes internes doivent atteindre l'IP WAN publique, activez Pure NAT + Automatic Outbound NAT for Reflection sous System -> Advanced -> Firewall & NAT.
`SSL-Gateway / Reverse-Proxy für Port 443`	Termine le HTTPS sur une passerelle périphérique (HAProxy / Nginx) et transmet Webmail, administration, CalDAV/CardDAV et ActiveSync à nextxch.	`Direkt oder Reverse-Proxy`	Augmentez les délais de lecture/inactivité de la passerelle à >= 900 s pour le long-polling ActiveSync Ping et transmettez les en-têtes X-Forwarded-For + X-Forwarded-Proto.
`Smtp/Imap:EnableProxyProtocol (HAProxy v2)`	Extrait l'IP réelle du client distant des en-têtes HAProxy PROXY Protocol v1/v2 sur les ports TCP 25, 465, 587 et 993.	`false (Direktes NAT)`	Laissez FALSE pour les redirections de ports DNAT pfSense/iptables standard (qui conservent déjà les IP sources) ! N'activez QUE si HAProxy envoie explicitement send-proxy-v2.