15/05/2024

Pare-Feu

IPCOP

Configurer des accès externes pour IPCOP

Florian BURNEL 0 commentaire

I. Présentation A partir du menu de configuration du pare-feu d’IPCOP, il est possible de configurer des accès externes afin d’effectuer des tâches de maintenance et d’administration sur votre serveur depuis l’extérieur, c’est-à-dire depuis le WAN et donc le réseau dit « ROUGE/RED » pour IPCOP. Ainsi on pourra autoriser uniquement l’adresse IP d’une machine à accéder sur le port 445 uniquement à notre serveur IPCOP depuis le WAN. Le fait d’autoriser qu’une seule adresse IP ou à la limite que quelques unes permet de garder une couche de sécurité au niveau des accès depuis le réseau « dangereux » représenté par l’extérieur. Bien sûr, vous pourrez autoriser la connexion depuis n’importe quel adresse IP mais je ne vous le conseil pas. Il vaut mieux se limiter à quelques adresses IP de confiances. La version d’IPCOP utilisée dans le cadre de ce tutoriel est la version 1.4.20 mais c’est applicable pour la version 2.0.x, le principe restant le même. II. Configuration Nous

Lire cet article
IPCOP

Configurer des transferts de ports sur IPCOP

Florian BURNEL 2 commentaires

I. Présentation Pour accéder avec une machine depuis le réseau ROUGE vers une machine sur le réseau GREEN d’IPCOP, il est nécessaire d’utiliser la fonctionnalité du transfert de port afin d’ajouter une règle dans le pare-feu qui autorise l’accès. Par défaut, tous les accès vers les machines du réseau sécurisé (GREEN) sont interdits par les machines du réseau non-sécurisé (RED), IPCOP remplit son rôle de pare-feu afin de protéger les hôtes du LAN. On appelle aussi cette fonctionnalité « port forwarding » et dans le cas d’IPCOP cela se met en place grâce à des règles IPTABLES puisqu’IPCOP utilise cette application pour jouer le rôle de pare-feu. Ainsi, nous pourrons dire que lorsqu’on accède à l’interface ROUGE d’IPCOP sur le port 8080 on doit être redirigé vers le port 80 du poste de travail qui a la fonctionnalité de serveur web, ayant pour adresse IP « 172.16.0.1 », et, qui se situe dans le LAN (réseau GREEN). C’est d’ailleurs ce

Lire cet article
Commandes et SystèmeNetfilterServices

Appliquer des règles Iptables au démarrage

Mickael Dorigny 4 commentaires ,  ,  , 

I. Présentation Les règles Iptables sont les règles qui régissent la sécurité et la façon de fonctionner du pare-feu Netfilter , présent nativement sur les distributions Linux. Lors du redémarrage d’une machine, les règles Iptables mises en place sont remises à zéro, elles ne sont pas nativement sauvegardées dans le système. Il peut alors être intéressant de savoir les récupérer et les ré-appliquer dès le démarrage de la machine ou bien d’une interface. Nous allons donc voir dans ce tutoriel comment charger et récupérer nos règles Iptables au démarrage de notre machine. II. Sauvegarde des règles de filtrage Iptables contient une commande permettant de sauvegarder la table de filtrage dans un fichier. Cette commande peut nous être utile pour sauvegarder nos règles et donc les récupérer plus tard. Par exemple, pour sauvegarde la configuration de notre table de filtrage Iptables dans un fichier « /etc/iptables.rules » , il faut saisir la commande suivante: iptables-save > /etc/iptables.rules Ensuite, si vous consultez le contenu

Lire cet article
Commandes et SystèmeNetfilterSSH

Autoriser le SSH via Iptables

Mickael Dorigny 5 commentaires ,  ,  , 

I. Présentation Iptables est un paquet présent sur la plupart des distributions Debian qui permet de gérer en ligne de commande les règles de Netfilter, un pare-feu natif à ces mêmes distributions. Dans ce tutoriel, nous allons voir comment autoriser uniquement le port SSH à être contacté sur un serveur au travers la manipulation d’Iptables. II. Explications Nous allons en effet chercher à sécuriser notre port SSH via Iptables à travers différents paramètres et options. On verra tout d’abord comment fermer tous les ports de notre serveur pour n’ouvrir que le port SSH pour ensuite spécifier des sécurités supplémentaires quant à la connexion SSH. Iptables nous permettra de faire ce genre de sécurité. Pour simplifier la gestion des règles Iptables. Nous travaillerons avec un script qui exécutera les règles Iptables. On doit donc créer un fichier que nous nommerons ici « iptables.sh » : vim iptables.sh Puis nous allons commencer par réinitialiser les règles déja écrites : # !/bin/bash # Supprimer les

Lire cet article
IPCOP

SSH avec IPCOP : Authentification par clé

Florian BURNEL 1 commentaire

I. Présentation La distribution IPCOP permet l’administration à distance via le protocole SSH en se connectant par mot de passe. Il est également possible de mettre en place une connexion SSH sécurisée par l’utilisation d’une paire de clés asymétriques. La clé publique restera toujours sur le serveur IPCOP, tandis que le poste utilisé pour la connexion à distance devra disposer de la clé privée. Une clé privée qui devra être au préalable converti avec l’utilitaire « PuttyGEN » afin d’être compatible et utilisable avec Putty. Dans le principe, dans un premier temps, la paire de clés doit être générées sur le serveur IPCOP grâce à la commande adéquate. Ensuite, on autorisera la clé publique auprès du serveur IPCOP pour qu’il ait confiance en cette clé. Dans un deuxième temps, la clé privée doit être transférée sur le poste client pour être utilisée lors d’une connexion. Il est important de préciser que cette clé privée doit être conservée précieusement puisque c’est

Lire cet article
pfSense

Installation de Pfsense

Florian BURNEL 9 commentaires

I. Présentation Pfsense est un OS transformant n’importe quel ordinateur en routeur/pare-feu. Basé sur FreeBSD, connu pour sa fiabilité et surtout sa sécurité, Pfsense est un produit OpenSource adapté à tout type d’entreprise. Voici ses principales fonctionnalités : – Gestion complète par interface web – Pare-feu stateful avec gestion du NAT, NAT-T – Gestion de multiples WAN – DHCP server et relay – Failover (possibilité de monter un cluster de pfsense) – Load balancing – VPN Ipsec, OpenVPN, L2TP – Portail captif Cette liste n’est pas exhaustive et si une fonction vous manque, des extensions sont disponibles directement depuis l’interface de Pfsense, permettant notamment l’installation d’un proxy ou d’un filtrage d’URL, très simplement. En plus d’être disponible en version 32 et 64 bits, Pfsense est également disponible pour l’embarqué, il fonctionne très bien sur des petits boitiers Alix. Dernière chose, Pfsense nécessite deux cartes réseaux minimum (une pour le WAN et une pour le LAN). II. Télécharger l’image La dernière

Lire cet article
ZeroShell

Mise en place d’un portail captif sous ZeroShell

Mickael Dorigny 13 commentaires , 

I. Présentation La distribution Zeroshell propose la configuration d’un portail captif sur ses interfaces. Un portail captif est une page qui s’affichera sur le navigateur des clients qui souhaiteront aller sur Internet. Les portails captifs demandent généralement une authentification afin d’accéder à Internet, ils sont utilisés dans des environnements de diffusion d’un réseau (WiFi notamment) publique comme des hôtels. Les clients sont alors obligés de demander les identifiants au propriétaire de la connexion qui demande souvent une monétisation en échange de l’accès à Internet. Le portail captif offre donc un contrôle et une restriction de l’utilisation de l’accès Internet. Le portail captif Zeroshell offre bon nombre de configurations et de possibilités qui ne seront pas toutes détaillées dans ce tutoriel. Attention : Cette documentation a été réalisée avec la version RC2 de Zeroshell, considérez ce détail lors de la lecture du tutoriel et de son application sur des versions plus récentes de Zeroshell II. Pré-requis et architecture Pour qu’un portail

Lire cet article
ZeroShell

NetBalancer avec Zeroshell

Mickael Dorigny 0 commentaire

I. Présentation Le système d’exploitation propose dans ces services natifs la possibilité de faire du NetBalancer en mode « Load Balancing » ou en mode « Fail over ». Dans ce tutoriel, nous allons étudier le fonctionnement et la mise en place de ces deux systèmes. Le NetBalancer est ce qui va nous permettre d’utiliser deux ou plusieurs passerelles vers un réseau (le plus souvent Internet, mais pas seulement). On pourra ainsi garantir une sécurité et une haute disponibilité dans notre infrastructure. Le but sera soit de partager la charge, soit de garantir une tolérance de panne. Attention : Cette documentation a été réalisée avec la version RC2 de Zeroshell, considérez ce détail lors de la lecture du tutoriel et de son application sur des versions plus récentes de Zeroshell II. Les Pré-requis Dans un premier temps, il est important d’avoir un Zeroshell avec deux interfaces et au moins deux passerelles possibles. Nous prendrons ici l’exemple d’une redondance d’accès à Internet. Il faudrait donc

Lire cet article
Commandes et SystèmePare-Feu

Configurer un routeur sous Linux

Mickael Dorigny 12 commentaires ,  ,  ,  , 

I. Présentation Nous allons dans ce tutoriel apprendre à mettre un en place un routeur sous Linux. Les distributions sous Linux sont très polyvalentes et cela permet entre autre de les transformer en véritables routeurs. Il faut bien sur pour cela que notre machine Linux dispose d’au moins deux interfaces réseaux car la première fonction d’un routeur et de faire la passerelle (gateway) entre un réseau et un autre qui ne pourraient communiquer sans. II. Configuration des deux interfaces Nous allons commencer par configurer nos deux interfaces avec des IP fixes. Un routeur est un élément central d’un réseau et toutes les machines de ce réseau s’y réfèrent pour leurs requêtes. Il est donc obligatoire que notre routeur ai une IP fixe sur chacune de ces interfaces. Nous travaillerons ici sur l’interface « eth0 » qui sera orientée vers le réseau simulant une réseau externe « WAN » en 192.168.1.0/24 et une seconde interface « eth1 » qui sera vers notre « LAN » en 192.168.10.0/24. Aprés vous

Lire cet article
ZeroShell

Monétisation du portail captif ZeroShell

Mickael Dorigny 1 commentaire , 

I. Présentation Il est possible de monétiser l’accès au portail captif Zeroshell avec les paramètres disponibles sur Zeroshell. Il faut bien entendu qu’un portail captif soit déjà opérationnel. Je vous invite à suivre ce tutoriel si ce n’est pas le cas : Mise en place d’un portail captif sous Zeroshell Il est possible de mettre en place un système où vous allez donner une valeur à votre accès internet. Il faut pour cela se rendre dans votre portail captif qui doit être opérationnel puis dans l’onglet « Accouting », vous verrez alors cette interface : Nous devons commencer par activer la monétisation de l’accès en cochant la case « User Accounting » puis en validant avec « Save ». Attention : Cette documentation a été réalisée avec la version RC2 de Zeroshell, considérez ce détail lors de la lecture du tutoriel et de son application sur des versions plus récentes de Zeroshell II. Fonctionnement Il existe plusieurs façons de monétiser votre accès Internet et l’utilisation de

Lire cet article
ZeroShell

HTTP Proxy sur Zeroshell

Mickael Dorigny 4 commentaires ,  ,  , 

I. Présentation Zeroshell propose nativement un service de proxy HTTP couplé à un antivirus Opensource qui se nomme ClamAV. Ces outils peuvent être d’une grande utilité lors du déploiement d’une solution Zeroshell en entreprise, car ils permettent de garantir un minimum de sécurité et de contrôle sur le comportement des utilisateurs sur Internet.  Nous allons apprendre à les mettre en place et à les utiliser dans ce tutoriel . Attention : Cette documentation a été réalisée avec la version RC2 de Zeroshell, considérez ce détail lors de la lecture du tutoriel et de son application sur des versions plus récentes de Zeroshell II. Les pré-requis Il faut tout d’abord que votre Zeroshell agisse comme le routeur d’un réseau LAN afin que la configuration en proxy transparent fonctionne. Un proxy est dit transparent lorsqu’aucune configuration n’est à faire du côté des clients pour que son action soit effective. Les paquets sont physiquement obligés de passer par le proxy pour sortir sur

Lire cet article
ZeroShell

Sauvegarder sa configuration Zeroshell

Mickael Dorigny 1 commentaire , 

I. Présentation Zeroshell fonctionne en LiveCD, cela signifie qu’il faut mettre l’image de Zeroshell sur un CD ou une clé USB puis booter dessus pour qu’il fonctionne. L’inconvénient de ce mode de fonctionnement est qu’une fois que le poste s’éteint, la configuration est perdue. Pour ceux qui débutent sur la distribution Zeroshell et qui souhaitent savoir comment effectuer leur premier pas, suivez ce tutoriel. Dans ce tutoriel nous allons voir comment sauvegarder la configuration via la création d’un profil. Un profil est donc une configuration sauvegardée afin d’être reprise lors du prochain démarrage. Attention : Cette documentation a été réalisée avec la version RC2 de Zeroshell, considérez ce détail lors de la lecture du tutoriel et de son application sur des versions plus récentes de Zeroshell II. Prérequis Pour procéder, vous devez disposer : du LiveCD Zeroshell (peu importe la version, j’utilise la version 1.0 beta 16) d’un disque dur avec un peu d’espace libre d’un client afin d’accéder à

Lire cet article
IPCOP

Mettre à jour IPCOP

Florian BURNEL 0 commentaire

I. Présentation Des mises à jour système pour IPCOP sortent de temps en temps, et, fort heureusement il ne faut pas tout réinstaller à chaque fois. Par exemple, si vous installez IPCOP 1.4.20, vous pouvez y ajouter la mise à jour 1.4.21 ou si vous installez IPCOP 2.0.3, vous pouvez installer la mise à jour 2.0.4. Tout cela via l’interface web ! II. Téléchargement de la mise à jour Avant d’installer la mise à jour d’IPCOP, il faut bien évidemment la télécharger. Deux possibilités s’offrent à nous : – Sur le site ipcop.org, téléchargez « Latest update » qui à ce jour est la version « 2.0.4 ». – Dans l’interface web d’IPCOP, allez dans « Système » puis « Mises à jour ». Ensuite, cliquez sur « Actualiser la liste des mises à jour » et téléchargez la plu récente en cliquant sur l’icône de téléchargement (icône vert avec la flèche). Note : Le téléchargement des mises à jours

Lire cet article
IPCOP

Authentification locale avec un Proxy sous IPCOP

Florian BURNEL 2 commentaires

I. Présentation Lorsqu’on utilise un proxy en mode « non-transparent » il est possible de demander à l’utilisateur de s’authentifier pour pouvoir utiliser le proxy. Cette authentification peut être de différentes natures selon ce que l’on souhaite, voici celles proposées par IPCOP : – Aucune authentification : libre accès, – Authentification locale : stockage des logins et mots de passe dans un fichier, – Authentification identd : utilise la base des utilisateurs du système d’exploitation du client, – Authentification LDAP : utilise un annuaire utilisant le protocole LDAP comme Active Directory ou OpenLDAP. – Authentification Windows : utilise les utilisateurs Windows, – Authentification Radius : utilise un serveur Radius pour l’authentification. Dans ce tutoriel, on va voir l’authentification locale, c’est-à-dire en utilisant des identifiants directement stockés en local sur le serveur IPCOP. C’est simple à mettre en place et ne nécessite pas de mettre en place de système supplémentaire mais ce n’est pas sécurisé. II. Accès aux paramètres du proxy

Lire cet article
IPCOP

Mise en place d’un Proxy sous IPCOP

Florian BURNEL 5 commentaires

I. Présentation IPCOP est avant tout un firewall, mais, la distribution contient d’autres services parmi lesquels le proxy qui est enfaite un Squid administrable par l’interface web d’IPCOP. Nous allons voir dans ce tutoriel la mise en place de la fonction de proxy sous IPCOP, mais avant de commencer je vous invite à suivre le tutoriel d’installation d’ICPOP 2.0.3 si nécessaire. Pour ce tutoriel et tous ceux qui seront en rapport avec la fonction de proxy d’IPCOP, j’utiliserai l’architecture suivante : Pour rappel, l’intérêt d’un proxy est de pouvoir avoir une traçabilité de l’information, de mettre en cache les pages internet pour améliorer la vitesse de navigation lorsqu’il y a de nombreux clients, la demande d’authentification pour que les utilisateurs accèdent à internet, et d’effectuer du filtrage (URL grâce aux blacklistes, accès autorisé ou non selon une plage horaire, filtrage IP, filtrage MAC,…). II. Proxy « non-transparent » Un serveur proxy peut être « transparent » ou « non transparent

Lire cet article