Rubriques Connexes

# Dépanner la Connectivité Réseau

Pour tester et dépanner votre réseau, vous pouvez utiliser les outils disponibles sur votre ordinateur client et sur votre Firebox. Pour les tests qui comprennent des problèmes de commandes à partir d'un ordinateur client Windows, utilisez un ordinateur sur un réseau personnalisé, optionnel ou approuvé connecté au Firebox.

## Outils de Dépannage Réseau

Utilisez ces outils et méthodes pour tester la connectivité du réseau et la résolution du nom d'hôte sur votre réseau. Ces méthodes de test sont mentionnées dans les étapes de dépannage des sections suivantes.

Faire un Ping sur un hôte à partir de votre ordinateur Windows

1. Localisez la zone de texte de recherche dans la barre des tâches ou le menu Démarrer de Windows.
2. Dans la zone de texte de recherche, saisissez cmd et appuyez sur Entrée.
   La fenêtre Invite de Commande apparaît.
3. A l'invite, saisissez ping [adresse IP de destination ou nom d'hôte] et appuyer sur Entrée.

Faire un Ping sur un hôte à partir du Firebox

Vous pouvez utiliser la tâche de diagnostic Ping pour envoyer des paquets de ping à partir du Firebox vers une adresse IP ou un nom d'hôte.

Pour envoyer un ping à partir du Firebox, dans Fireware Web UI :

1. Sélectionnez État du Système > Diagnostics.
   La page Diagnostics apparaît avec l'onglet Fichier de Diagnostic sélectionné.
2. Sélectionnez l'onglet Réseau.
   La page Réseau s'affiche.
3. Dans la liste déroulante Tâche, sélectionnez la commande Ping :
   La zone de texte Adresse apparaît.
4. Dans la zone de texte Adresse, entrez une adresse IP ou un nom d'hôte.
5. Cliquez surExécuter la tâche.
   Le résultat de la commande apparaît dans le panneau Résultats.
6. Pour arrêter la commande Ping, cliquez sur Arrêter la Tâche.

Pour plus d'informations sur les tâches de diagnostic dans Fireware Web UI, consultez Exécuter les Tâches de Diagnostic sur Votre Firebox.

Pour envoyer un ping à partir de Firebox, dans Firebox System Manager :

1. Sélectionnez Outils > Tâches de diagnostic.
   La boîte de dialogue Tâches de Diagnostic apparaît, avec la tâche Ping IPv4 sélectionnée par défaut.
2. Dans la zone de texte Adresse, saisissez une adresse IP ou un nom d'hôte.
3. Cliquez surExécuter la tâche.
   Le résultat de la commande apparaît dans le panneau Résultats.

Pour plus d'informations sur les tâches de diagnostic dans Firebox System Manager, consultez Exécuter des tâches de diagnostic pour en savoir plus sur les messages de journal.

Utiliser nslookup pour tester la résolution DNS à partir d'un ordinateur client Windows

1. Localisez la zone de texte de recherche dans la barre des tâches ou le menu Démarrer de Windows.
2. Dans la zone de texte de recherche, saisissez cmd et appuyez sur Entrée.
   La fenêtre Invite de Commande apparaît.
3. A l'invite, saisissez nslookup [nom d'hôte de destination] [facultatif; adresse IP du serveur DNS] et appuyez sur Entrée.

Utiliser la Recherche DNS pour tester la résolution DNS à partir de Firebox

Vous pouvez utiliser la tâche de diagnostic Recherche DNS pour tester la résolution du nom DNS à partir du Firebox vers un hôte.

Pour tester la résolution d'un nom DNS à partir de Firebox, dans Fireware Web UI :

1. Sélectionnez État du Système > Diagnostics.
   La page Diagnostics apparaît avec l'onglet Fichier de Diagnostic sélectionné.
2. Sélectionnez l'onglet Réseau.
   La page Réseau s'affiche.
3. Dans la liste déroulante Tâche, sélectionnez Recherche DNS.
   La zone de texte Adresse apparaît.
4. Tapez le nom d'hôte dans la zone de texte Adresse.
5. Cliquez surExécuter la tâche.
   Le résultat de la commande apparaît dans le panneau Résultats.
6. Pour arrêter la commande Recherche DNS, cliquez sur Arrêter la Tâche.

Pour tester la résolution d'un nom d'hôte DNS à partir de Firebox, dans Fireware System Manager :

1. Sélectionnez Outils > Tâches de diagnostic.
2. Dans la liste déroulante Tâche, sélectionnez Recherche DNS.
3. Tapez le nom d'hôte dans la zone de texte Adresse.
4. Cliquez surExécuter la tâche.
   Le résultat de la commande apparaît dans le panneau Résultats.

Afficher les messages du journal pour les connexions autorisées

Par défaut, le Firebox ne crée pas de message du journal pour les connexions qui sont autorisées par les stratégies de filtrage de paquets telles que la stratégie Ping. Il peut être utile d'activer la journalisation des paquets autorisés pour une stratégie telle que Ping lorsque vous dépannez des problèmes de connectivité réseau.

Suivez ces étapes pour modifier les paramètres de journalisation dans une stratégie de sorte que le Firebox crée des messages du journal pour les connexions qui sont autorisés par la stratégie.

Pour activer la journalisation dans une stratégie, dans Fireware Web UI :

1. Sélectionnez Pare-feu > Stratégies de Pare-feu.
   La page Stratégies s'affiche.
2. Cliquez sur le nom de la stratégie à modifier.
   La page Stratégies de Pare-feu > Modifier s'affiche.
3. Dans la section Journalisation, cochez la case Envoyer un message du journal.
4. Cliquez sur Enregistrer pour enregistrer la modification de la configuration.

Pour activer la journalisation dans une stratégie, dans Policy Manager :

1. Double-cliquez sur une stratégie pour la modifier.
   La boîte de dialogue Modifier les propriétés de la stratégie s'affiche.
2. Sélectionnez l'onglet Propriétés.
3. Cliquez sur Journalisation.
4. Cochez la case Envoyer un message du journal.
5. Enregistrez la configuration sur le Firebox.

Après avoir fait cette modification, le Firebox crée des messages du journal pour les connexions autorisées par la stratégie. Dans Traffic Monitor, vous pouvez filtrer les messages du journal pour voir les messages du journal créés pour les connexions autorisées par une stratégie spécifique, ou pour les connexions vers ou à partir d'une adresse IP.

Pour afficher et filtrer des messages du journal dans Fireware Web UI :

1. Sélectionnez Tableau de bord > Traffic Monitor.
2. Dans la zone de texte de filtrage en haut de la page, saisissez le terme à rechercher seulement pour les messages du journal qui contiennent ce terme. Par exemple, cela peut être une adresse IP d'un ordinateur sur votre réseau, un nom d'utilisateur, ou le nom de la stratégie pour laquelle vous avez activé la journalisation.
3. Pour supprimer le filtre, cliquez sur .

Pour en savoir plus sur le Tableau de bord de Surveillance du Trafic, consultez Traffic Monitor.

Pour afficher et filtrer les messages du journal dans Firebox System Manager :

1. Sélectionnez l'onglet Moniteur du trafic.
2. Dans la zone de texte de filtrage en haut de la page, saisissez le terme à rechercher seulement pour les messages du journal qui contiennent ce terme. Par exemple, cela peut être une adresse IP d'un ordinateur sur votre réseau, un nom d'utilisateur, ou le nom de la stratégie pour laquelle vous avez activé la journalisation.
3. Pour supprimer le filtre, cliquez sur .

Pour en savoir plus sur Traffic Monitor dans Firebox System Manager, consultez Messages de journal du périphérique (Moniteur du trafic).

Pour en savoir plus sur la manière de lire un message du journal, consultez Lire un Message du Journal.

Utilisez la commande ipconfig pour voir la configuration réseau sur un ordinateur Windows.

1. Localisez la zone de texte de recherche dans la barre des tâches ou le menu Démarrer de Windows.
2. Dans la zone de texte de recherche, saisissez cmd et appuyez sur Entrée.
   La fenêtre Invite de Commande apparaît.
3. Pour voir l'adresse IP, le masque de sous-réseau, et la passerelle par défaut, à l'invite, saisissez ipconfig et appuyez sur Entrée.
4. Pour afficher plus d'informations, y compris les adresses IP du serveur DNS, saisissez ipconfig/all et appuyez sur Entrée.

## Dépanner les Connexions Sortantes

Pour identifier la cause des problèmes de connexion Internet à partir d'un ordinateur sur votre réseau local, démarrez avec les tests de ping depuis un ordinateur local sur votre réseau vers le Firebox, ou depuis un serveur local vers votre réseau. Si cela fonctionne, l'étape suivante consiste en un test de routage et une résolution DNS pour les hôtes à l'extérieur de votre réseau local. Suivez les instructions de la section précédente pour exécuter les commandes de diagnostic utilisées dans ces tests et pour consulter les messages du journal.

### Test 1 — Faire un Ping sur une Adresse IP Interne

A partir de votre ordinateur local, tentez de faire un ping sur d'autres adresses IP internes sur le même réseau local. Par exemple, essayez de faire un ping sur un serveur réseau local, ou une adresse IP d'une interface interne de Firebox. Pour démarrer un ping à partir d'un ordinateur Windows, suivez les instructions de la section précédente.

Si vous ne pouvez pas effectuer de ping sur l'adresse IP interne du Firebox, cela pourrait indiquer un problème de configuration du Firebox, ou un problème de configuration ou de câblage du réseau local. Pour afficher l'adresse IP et la passerelle par défaut dans la configuration du réseau local sur un ordinateur client, à partir de l'invite de commande Windows, utilisez la commande ipconfig.

Regardez le résultat de la commande ipconfig et considérez ces causes possibles de l'échec de ping :

Problème de configuration réseau sur votre ordinateur local

Dans le résultat de la commande ipconfig sur votre ordinateur client, recherchez l'adresse IPv4 assignée à l'ordinateur local, et l'adresse IP de la passerelle par défaut. L'ordinateur client doit avoir une adresse IPv4. Dans la plupart des cas, la passerelle par défaut doit être l'adresse IP de l'interface Firebox interne à laquelle le réseau local se connecte.

DHCP n'est pas activé ou n'est pas configuré correctement sur le Firebox

Si l'ordinateur client utilise le DHCP pour obtenir une adresse IP, et que le résultat de la commande ipconfig indique qu'aucune adresse IP n'est assignée, vérifiez la configuration de l'interface du Firebox à laquelle le réseau local se connecte. Assurez-vous que le serveur DHCP est activé et que le pool d'adresse DHCP configuré pour l'interface du Firebox contient suffisamment d'adresses IP pour assigner les adresses à tous les clients qui se connectent.

Il y a un serveur DHCP pirate sur le réseau

Si un ordinateur client utilise le DHCP pour obtenir une adresse IP, et que l'adresse IP et la passerelle par défaut assignées au client ne correspond pas aux paramètres de serveur DHCP sur l'interface du Firebox auquel le réseau se connecte, il est possible qu'un serveur DHCP pirate soit présent sur votre réseau et assigne les adresses IP inattendues.

L'adresse IP du Firebox ou le masque de sous-réseau n'est pas configuré correctement

Vérifiez la configuration de l'interface du Firebox à laquelle le réseau local se connecte. Assurez-vous que l'adresse IP de l'interface et que le masque de sous-réseau sont valides pour votre réseau. Pour de plus amples informations sur les adresses IP et les masques de sous-réseau, consultez À propos des Adresses IP.

Il y a un problème avec le routage interne sur votre réseau.

S'il y a un switch ou un routeur entre l'ordinateur client et l'interface interne du Firebox, la configuration du switch ou du routeur pourrait être le problème. Pour tester si le switch ou le routeur pose problème, connectez l'ordinateur client directement à l'interface interne du Firebox, puis tenter à nouveau de faire un ping sur le Firebox.

Défaut de l'Interface physique ou du câblage

Les problèmes de connectivité réseau peuvent être causés par un câble endommagé ou déconnecté, ou un défaut d'interface réseau sur l'ordinateur, le Firebox, ou tout switch ou routeur connecté. Pour détecter ce genre de problème, regardez les lumières de lien et d'activité sur l'interface réseau à chaque extrémité de chaque câble, essayez un câble réseau différent, ou essayez un test de connexion au Firebox à partir d'un ordinateur différent sur le même segment réseau.

Pour plus d'informations sur les indicateurs de vos interfaces de Firebox, consultez le Guide Matériel pour votre modèle de Firebox.

L'adresse IP interne du Firebox se chevauche avec celle d'un autre hôte sur votre réseau.

Si le problème affecte de nombreux ou tous les utilisateurs sur votre réseau, cela pourrait venir d'un conflit d'adresse IP entre l'adresse IP interne du Firebox et un autre périphérique sur votre réseau. Pour tester cela, déconnectez le câble de l'interface du Firebox puis essayez de faire un ping sur l'interface interne du Firebox depuis un ordinateur client. Si le ping donne une réponse lorsque le réseau n'est pas connecté à l'interface du Firebox, un autre hôte sur le réseau utilise une adresse IP qui crée un conflit avec l'adresse IP de l'interface du Firebox.

### Test 2 — Faire un Ping sur la Passerelle par Défaut du Firebox

Si vous pouvez faire un ping avec succès sur l'adresse IP de l'interface du Firebox, testez si le trafic à partir de l'ordinateur client peut être routé vers les adresses en dehors du Firebox. Pour tester cela, à partir de votre ordinateur Windows, tentez de faire un ping sur la passerelle par défaut de l'interface externe du Firebox. Cela confirmera que l'ordinateur peut router jusqu'à un hôte à l'extérieur du Firebox, et que votre Firebox est configuré pour autoriser ces requêtes de ping.

Vous pouvez afficher l'adresse IP de la passerelle par défaut externe du Firebox dans WatchGuard System Manager, ou dans le tableau de bord Interfaces dans Fireware Web UI.

Si votre réseau a une passerelle Internet autre que le Firebox, le trafic Internet lié des clients présents sur votre réseau n'est peut-être pas routé à travers le Firebox. Pour vérifier que le trafic vers Internet passe bien à travers le Firebox, activez la journalisation des paquets autorisés dans la stratégie ping et vérifiez que les messages du journal sont bien créés pour les requêtes de ping à partir de votre réseau. Pour plus détails sur la manière de procéder, consultez la section précédente Outils de Dépannage Réseau.

Si votre ping sur la passerelle par défaut de l'interface externe du Firebox échoue, vérifiez l'une de ces causes possibles :

La configuration NAT Dynamique est incorrecte sur le Firebox

Si votre réseau local n'utilise pas un des sous-réseaux privés RFC 1918, les règles NAT dynamique par défaut ne masquent pas le trafic depuis votre réseau privé vers Internet. Pour voir si cela pourrait être le problème, regardez les messages du journal qui concernent vos requêtes de ping. Assurez-vous que l'attribut src_ip_nat apparaît et que l'adresse IP affichée corresponde bien à l'adresse IP externe du Firebox.

Si votre Firebox est configuré en mode Insertion ou en mode Pont, l'attribut src_ip_nat n'apparaît pas dans les messages du journal pour le trafic sortant.

Pour obtenir plus d'informations sur le NAT dynamique et les règles de NAT dynamique par défaut, consultez À propos de la traduction d'adresses réseau (NAT) dynamique.

Les stratégies configurées n'autorisent pas les requêtes de ping sortant

Pour voir si cela est la cause, recherchez les requêtes de ping refusées dans les messages du journal. Le message du journal vous indique quelle stratégie a refusé le trafic. Par défaut, la configuration du Firebox inclut une stratégie de Ping qui autorise le trafic Ping sortant.

Votre ordinateur ne peut pas router vers des hôtes externes à travers le Firebox.

Pour voir si c'est le cas, connectez votre ordinateur directement au Firebox pour contourner votre réseau interne. Assurez-vous que votre ordinateur client possède une adresse IP sur le sous-réseau correct pour se connecter au Firebox, et que la passerelle par défaut est bien réglée sur l'adresse IP de l'interface du Firebox sur laquelle le réseau local se connecte.

### Test 3 — Test de Résolution DNS

Si vous pouvez faire un ping sur la passerelle par défaut de votre Firebox avec succès, la prochaine étape est de tester la résolution DNS. Pour tester la résolution DNS, tentez de faire un ping sur un hôte web distant, tel que www.watchguard.com. Si cela échoue, tentez un ping sur une adresse IP distante, telle que le serveur DNS de votre Fournisseur d'Accès à Internet, ou un serveur DNS public tel que 8.8.8.8 or 4.2.2.2. Si vous pouvez faire un ping sur une adresse IP distante avec succès, mais vous ne pouvez pas faire un ping sur un nom d'hôte, cela indique un problème avec la résolution DNS.

Si la résolution DNS échoue, étudiez ces causes possibles :

L'adresse IP du serveur DNS par défaut utilisée par le client est invalide ou ne répond pas.

Utilisez la ligne de commande Windows sur votre ordinateur client pour tester la résolution DNS. Si vous ne spécifiez pas l'adresse IP d'un serveur DNS, la commande nslookup utilise le serveur DNS par défaut.

Premièrement, testez le DNS avec le serveur DNS par défaut :

nslookup www.watchguard.com

Ensuite, ajoutez l'adresse IP d'un serveur DNS public :

nslookup www.watchguard.com 8.8.8.8

Si la résolution DNS ne fonctionne pas avec le serveur DNS par défaut, vérifiez le serveur DNS utilisé par l'ordinateur client et le Firebox.

- Pour voir le serveur DNS par défaut utilisé sur l'ordinateur client, utilisez la commande ipconfig/all en ligne de commande Windows. Le seveur DNS sur le client doit généralement être le même que le serveur DNS utilisé par le Firebox.
- Pour voir les adresses IP du serveur DNS actuel pour le Firebox dans Fireware Web UI, sélectionnez Tableau de bord > Interfaces > Détail. Pour voir les serveurs DNS dans Firebox System Manager, développez l'état des Interfaces pour le Firebox dans l'onglet Panneau Avant.

Pour vérifier si le trafic peut être routé vers un serveur DNS, et si un serveur DNS répond, vous pouvez essayer de faire un ping sur l'adresse IP du serveur DNS à partir de l'ordinateur client, et à partir du Firebox.

Votre Firebox n'autorise pas les requêtes DNS sortantes.

Si vous pouvez faire un ping avec succès sur le serveur DNS à partir d'un ordinateur client sur votre réseau, la résolution DNS échoue si la configuration Firebox ne possède pas de stratégie qui autorise les requêtes DNS sortantes.

Pour dépanner cela de manière plus approfondie, vous pouvez tester une résolution DNS à partir du Firebox tel que décrit plus haut pour voir si la résolution DNS fonctionne à partir du Firebox. Si la résolution DNS fonctionne à partir du Firebox, mais ne fonctionne pas à partir de clients sur le réseau interne, il y a de grandes chances qu'il n'y ait pas de stratégie sur le Firebox pour autoriser les requêtes DNS sortantes. Pour voir si c'est le cas, examinez les messages du journal dans Traffic Monitor lorsque vous testez le DNS ou tentez de résoudre les noms d'hôte externes. Cherchez les connexions refusées avec un port de destination 53 dans les messages du journal.

Si vous désactivez ou supprimez la stratégie Sortante par défaut, le Firebox n'autorise pas les requêtes DNS sortantes à moins que vous ajoutiez une autre stratégie pour autoriser ces connexions. Si vous supprimez la stratégie Sortante, assurez-vous que l'autre stratégie autorise des hôtes sur votre réseau, ou au moins des serveurs clé, à se connecter en sortie pour des DNS, NTP et autres fonctionnalités nécessaires.

Pour plus d'informations sur la stratégie Sortante, consultez À propos de la stratégie de trafic sortant.

#### Voir aussi

Routes et Routage

À propos de Multi-WAN

Envoyer Vos Commentaires • Obtenir de l'Aide • Documentation Complète des Produits • Recherche Technique