Intérêt des VLAN

• séparation logique des réseaux Voix & Data
• séparation logique des services d'une entreprise
• mise en place d'un réseau invité différent du réseau local

Mode de fonctionnement des VLAN

• le subnet associé (ex : 192.168.1.0/24)
• l'ID du VLAN (allant de 1 à 4094)

Terminologie

• tagged port (= trunk port chez Cisco)
• untagged port (= access port chez Cisco)

Tagged port

Untagged port

Cas concret : séparation VLAN voix / VLAN data

• pfSense fait office de routeur/firewall et de serveur DHCP pour l'ensemble des VLAN
• Les ordinateurs (et tous les autres équipements sauf téléphones) disposent d'une adresse IP sur la plage 192.168.1.0/24 - VLAN 10 (ce sera notre VLAN par défaut - configuré en untagged)
• Les postes téléphoniques disposent d'une adresse IP sur la plage 192.18.2.0/24 - VLAN 20 (VLAN dédié à la téléphonie - configuré en tagged)
• Le switch de cœur de réseau est un switch supportant les VLAN
• Tous les ordinateurs sont branchés derrière un téléphone. C'est-à-dire que sur chaque port du switch il y aura généralement deux équipements branchés : un téléphone (dans le VLAN 20) et un ordinateur (VLAN 10) branché derrière

Configuration du pfSense

• VLAN "LAN Data"
• VLAN "LAN VoIP"

1. Parent interface : l'interface physique à laquelle sera rattachée le VLAN
2. VLAN tag : l'ID du VLAN (la valeur doit être comprise entre 1 et 4094)
3. VLAN Priority : la priorité à appliquer au VLAN (la valeur doit être comprise entre 0 et 7)
4. Description : champ optionnel de description du VLAN

1. Enable Interface : cocher cette case pour activer l'interface
2. Description : nom de l'interface
3. IPv4 Configuration Type : la configuration IPv4 de cette interface. Dans notre cas, nous choisissons "Static IPv4"
4. IPv6 Configuration Type : la configuration IPv6 de cette interface. Dans notre cas, nous choisissons "None"
5. MAC controls : par défaut, c'est l'adresse MAC de l'interface physique qui est utilisée. Elle peut être personnalisée ici
6. MTU : la MTU pour cette interface. 1500 octets par défaut
7. MSS : "Maximum Segment Size", devrait être inférieur au MTU. Nous laissons vide
8. Speed and duplex : nous laissons le choix par défaut

Configuration du Switch

1. Déclaration des VLAN sur le switch - sur la plupart des switches, il faut déclarer les VLANs avant de pouvoir les configurer sur n'importe quel port (dans notre cas, nous déclarons 2 VLAN : vlan_data avec l'ID 10 et vlan_voix avec l'ID 20)
2. Configuration du port du switch sur lequel est branché le pfSense en mode trunk (ou tagged) sur les VLAN 10 et 20
3. Configurer les ports du switch sur lesquels seront branchés les PC en mode access (ou untagged) - dans notre cas sur le VLAN 10
4. Configurer les ports du switch sur lesquels seront branchés les téléphones en mode trunk (ou tagged) - dans notre cas sur le VLAN 20

sw# vlan database
sw(vlan)# vlan 10 name "vlan_data"
sw(vlan)# vlan 20 name "vlan_voix"
sw(vlan)# exit

sw# configure terminal
sw(config)# interface FastEthernet0/24
sw(config-if)# switchport mode trunk

sw# configure terminal
sw(config)# interface FastEthernet0/12
sw(config-if)# switchport mode access
sw(config-if)# switchport access vlan 20

Peut-on configurer un VLAN sur le port LAN ?

Pour aller plus loin

Retrouvez nos services et firewall pour pfSense

store.provya.fr

Tags de l'article : pfSensesécuritéVLAN

Activer et vérifier les logs !

S'assurer que la règle est configurée sur la bonne interface

Vérifier l'ordre de ses règles

1. Règles "floating" : ce sont les règles analysées en premier ;
2. Règles de groupe d'interfaces : second jeu de règles à être analysé. Cela comprend le groupe "IPsec" et "OpenVPN" ;
3. Règles de l'interface : les règles configurées sur l'interface (LAN, WAN, OPT1, ...) ne sont analysées qu'en dernier.

• règles d'Outbound NAT
• règles de translation de ports (Port Forwards)
• règles de NAT pour le load-balancing
• règles reçues dynamiquement par les clients OpenVPN et par RADIUS pour IPsec
• règles automatiques internes (obtenues par diverses sources comme snort, DHCP, ...)
• règles définies par l'utilisateur (sur l'interface floating, sur les interfaces de groupes et pour chaque interface)
• règles automatiques pour les VPN

Vérifier le protocole

Translation de port & NAT

Port source et port destination

Penser à réinitialiser la table d'état si nécessaire

Trafic ne pouvant pas être filtré

Règle "pass" automatiquement associée au Port Forward

Routage asymétrique

Pour aller plus loin

Retrouvez nos services et firewall pour pfSense

store.provya.fr

Tags de l'article : debugpfSense

OpenVPN = la solution idéale pour les utilisateurs nomades

Principe de fonctionnement

Configuration du serveur OpenVPN

1. une autorité de certification, sauf si nous en disposons déjà d'une
2. un certificat serveur
3. un certificat client
4. les accès utilisateurs (login et mot de passe)
5. le serveur OpenVPN en tant que tel
6. les règles de firewall et de NAT idoines
7. la configuration des clients nomades

1. Création d'une autorité de certification

• Descriptive name : le nom que l'on souhaite donner à notre autorité de certification
• Method : 3 méthodes sont possibles :

1. Import an existing Certificate Authority : permet d'importer le certificat (clé publique + clé privée) d'une autorité de certification existante
2. Create an internal Certificate Authority : permet de créer une nouvelle autorité de certification
3. Create an intermediate Certificate Authority : permet de créer une autorité de certification intermédiaire. Cette autorité de certification intermédiaire doit être rattachée à une autorité de certification existante

• Key length : la longueur de la clé de chiffrement du certificat. Plus elle est longue, plus elle sera sécurisée (mais plus la charge CPU sera grande également...). Nous gardons la valeur par défaut : 2048
• Digest Algorithm : la fonction de hachage qui sera utilisée. Nous gardons la valeur par défaut : SHA256
• Lifetime : la durée de vie de l'autorité de certification. Si nous n'avons pas de raison de réduire sa durée de vie, nous laissons la valeur par défaut (3650 jours, soit 10 ans)
• Country Code : le code ISO du pays. Dans notre cas : FR

2. Création d'un certificat serveur

• Method : 3 méthodes sont possibles :

1. Import an existing Certificate : permet d'importer la clé publique et la clé privée d'un certificat existant
2. Create an internal Certificate : permet de créer une nouveau certificat
3. Create a certificate Signing Request : permet de créer un fichier de requête qui pourra être envoyé à un CA tiers pour être signé. Cela peut être utile pour obtenir un certificat d'un CA root de confiance.

• Descriptive name : le nom que l'on souhaite donner à notre certificat serveur
• Certificate authority : l'autorité de certification qui signera le certificat que nous sommes en train de créer. Dans notre cas, nous choisissons le CA que nous venons de créer, soit "CA Provya"
• Key length : la longueur de la clé de chiffrement du certificat. Plus elle est longue, plus elle sera sécurisée (mais plus la charge CPU sera grande également...). Nous gardons la valeur par défaut : 2048
• Digest Algorithm : la fonction de hachage qui sera utilisée. Nous gardons la valeur par défaut : SHA256
• Certificate Type : le type de certificat. Il existe 2 valeurs possibles :

1. User Certificate : pour définir un certificat pour un client
2. Server Certificate : pour définir un certificat pour un serveur

• Lifetime : la durée de vie du certificat. Si nous n'avons pas de raison de réduire sa durée de vie, nous laissons la valeur par défaut (3650 jours, soit 10 ans)

3. Création d'un certificat client

4. Création des utilisateurs

• Group name : le nom du nouveau groupe. Ce nom ne doit pas contenir d'espace. Dans notre cas, nous indiquons "OpenVPN-user"
• Scope : la portée du groupe. Nous laissons la valeur par défaut "Local"
• Description : une description facultative
• Group Memberships la liste des membres du groupe. Dans notre cas, nous la laissons vide pour le moment

• Disabled : permet de désactiver un utilisateur sans le supprimer
• Username : le nom d'utilisateur (sans espace ni caractères spéciaux)
• Password : le mot de passe
• Full name : Le nom de l'utilisateur associé à ce compte
• Expiration date : La date d'expiration du compte. Elle doit être saisie au format américain, c'est-à-dire mm/jj/aaaa (mois/jour/année). Si ce champ est laissé vide, le compte n'expirera jamais.
• Group Memberships : c'est ici que nous définissons le groupe auquel nous rattachons l'utilisateur. Dans notre cas, nous choisirons "OpenVPN-user"
• Certificate : si l'on souhaite créer par la même occasion un certificat pour l'utilisateur (ce que nous ne ferons pas)
• Authorized keys : si l'on souhaite définir la clé autorisée pour la connexion de l'utilisateur (nous ne cochons pas cette case)
• IPsec Pre-Shared Key : utiliser pour les connexions en VPN IPsec ; ce qui n'est pas notre cas (nous laissons donc ce champ vide)

5. Création du serveur OpenVPN

• Server Mode : choisir "Remote Access (SSL/TLS + User Auth)"
• TLS Authentication : cocher la case "Enable authentication of TLS packets" pour davantage de sécurité. Nous ne conseillons pas de la cocher
• Peer Certificate Authority : choisir l'autorité de certification créée précédemment ("CA Provya (ca-provya)")
• Server Certificate : choisir le certificat serveur créé précédemment ("Certificat Serveur (certif-serveur-provya)")
• DH Parameters Length : nous laissons la valeur par défaut (1024 bits)

6. Configuration du firewall et du NAT

• Interface : WAN
• Protocol : UDP
• Source : choisir "any"
• Destination : WAN address
• Destination port range : port choisi lors de la configuration du serveur OpenVPN (1194 dans notre exemple)

• Interface : WAN
• Protocol : UDP
• Src. addr & Src. port : choisir "any"
• Dest. addr : l'adresse IP WAN
• Dest. ports : le port d'écoute du serveur OpenVPN
• NAT IP : l'adresse IP du pfSense sur l'interface WAN
• NAT Ports : le porte d'écoute du serveur OpenVPN (1194, dans notre exemple)

7. Configuration des clients nomades

• la clé publique et la clé privée du certificat client créé précédemment
• un fichier de configuration d'OpenVPN à créer manuellement

• remote my-server 1194 => à remplacer par l'adresse IP publique (ou le nom de domaine associé) et par le bon port d'écoute
• ca ca-provya.crt => la clé publique de l'autorité de certification
• cert provya-client.crt => la clé publique du certificat client
• key provya-client.key => la clé privée du certificat client

##############################################
# Sample client-side OpenVPN 2.0 config file #
# for connecting to multi-client server.     #
#                                            #
# This configuration can be used by multiple #
# clients, however each client should have   #
# its own cert and key files.                #
#                                            #
# On Windows, you might want to rename this  #
# file so it has a .ovpn extension           #
##############################################

# Specify that we are a client and that we
# will be pulling certain config file directives
# from the server.
client

# Use the same setting as you are using on
# the server.
# On most systems, the VPN will not function
# unless you partially or fully disable
# the firewall for the TUN/TAP interface.
;dev tap
dev tun

# Windows needs the TAP-Windows adapter name
# from the Network Connections panel
# if you have more than one.  On XP SP2,
# you may need to disable the firewall
# for the TAP adapter.
;dev-node MyTap

# Are we connecting to a TCP or
# UDP server?  Use the same setting as
# on the server.
;proto tcp
proto udp

# The hostname/IP and port of the server.
# You can have multiple remote entries
# to load balance between the servers.
remote my-server 1194


# Choose a random host from the remote
# list for load-balancing.  Otherwise
# try hosts in the order specified.
;remote-random

# Keep trying indefinitely to resolve the
# host name of the OpenVPN server.  Very useful
# on machines which are not permanently connected
# to the internet such as laptops.
resolv-retry infinite

# Most clients don't need to bind to
# a specific local port number.
nobind

# Downgrade privileges after initialization (non-Windows only)
;user nobody
;group nobody

# Try to preserve some state across restarts.
persist-key
persist-tun

# If you are connecting through an
# HTTP proxy to reach the actual OpenVPN
# server, put the proxy server/IP and
# port number here.  See the man page
# if your proxy server requires
# authentication.
;http-proxy-retry # retry on connection failures
;http-proxy [proxy server] [proxy port #]

# Wireless networks often produce a lot
# of duplicate packets.  Set this flag
# to silence duplicate packet warnings.
;mute-replay-warnings

# SSL/TLS parms.
# See the server config file for more
# description.  It's best to use
# a separate .crt/.key file pair
# for each client.  A single ca
# file can be used for all clients.
ca ca-provya.crt
cert provya-client.crt
key provya-client.key

# Verify server certificate by checking
# that the certicate has the nsCertType
# field set to "server".  This is an
# important precaution to protect against
# a potential attack discussed here:
#  http://openvpn.net/howto.html#mitm
#
# To use this feature, you will need to generate
# your server certificates with the nsCertType
# field set to "server".  The build-key-server
# script in the easy-rsa folder will do this.
;ns-cert-type server

# If a tls-auth key is used on the server
# then every client must also have the key.
;tls-auth ta.key 1

# Select a cryptographic cipher.
# If the cipher option is used on the server
# then you must also specify it here.
;cipher x

# Enable compression on the VPN link.
# Don't enable this unless it is also
# enabled in the server config file.
;comp-lzo

# Set log file verbosity.
verb 3

# Silence repeating messages
;mute 20

# Autentification par login et mot de passe
auth-user-pass

Analyse et Debug

Pour aller plus loin

Retrouvez nos services et firewall pour pfSense

store.provya.fr

Tags de l'article : openVPNpfSenseutilisateurs nomadesVPN nomade

1. Utiliser les serveurs DNS Cloudfare (ou Quad9)

• 1.1.1.1
• 1.0.0.1

• 9.9.9.9
• 149.112.112.112

2. Activer DNS sur TLS

server:
forward-zone:
name: "."
forward-ssl-upstream: yes
forward-addr: 1.1.1.1@853
forward-addr: 1.0.0.1@853

server:
forward-zone:
name: "."
forward-ssl-upstream: yes
forward-addr: 9.9.9.9@853
forward-addr: 149.112.112.112@853

Pour aller plus loin

Retrouvez nos services et firewall pour pfSense

store.provya.fr

Tags de l'article : DNSpfSensesécuritéTLS

1. Créons une interface sans-fil

• Infrastructure (BSS) : permet de se connecter à un réseau Wi-Fi existant ;
• Ad-Hoc (IBSS) : permet de se connecter à un Wi-Fi existant en mode point-à-point ;
• Access Point : permet de créer et diffuser un nouveau point d'accès Wi-Fi.

2. Configurons l'interface Wi-Fi

• Enable : cocher cette case pour activer l'interface, bien-sûr.
• Description : le nom de notre interface. Nous choisissons tout simplement "wifi".
• IPv4 Configuration Type : la configuration IPv4 à appliquer sur cette interface. Les choix parlent d'eux-mêmes. Nous choisissons "Static IPv4" pour donner à cette interface une adresse IP statique.
• IPv6 Configuration Type : la configuration IPv6 à appliquer sur cette interface. Dans notre cas, nous ne travaillerons pas avec IPv6, nous choisissons donc "None".
• MAC Address : ce champ est à compléter si l'on souhaite modifier l'adresse MAC de notre carte Wi-Fi. Ce ne sera pas notre cas ici, nous laissons donc ce champ vide.
• MTU : permet de personnaliser la valeur du MTU, qui correspond à la taille maximale d'un paquet pouvant être transmis en une seule fois sans être fragmenté. Dans notre cas, nous laissons ce champ vide afin de garder la valeur par défaut, soit 1 500 octets.
• MSS : permet de personnaliser la taille du MSS pour les connexions TCP. Si vous décidez de personnaliser cette valeur, pfSense la diminuera automatiquement de 40 octets (ce qui correspond à la taille de l'en-tête TCP/IP). Dans notre cas, nous laissons ce champ vide afin de garder la valeur par défaut.
• Speed and Duplex : permet de définir la vitesse de fonctionnement de l'interface. Le menu déroulant présente toutes les configurations supportées par votre carte Wi-Fi. Nous restons sur le choix par défaut.
• IPv4 Address : l'adresse IPv4 de notre interface Wi-Fi
• IPv4 Upstream gateway : nous laissons la valeur à None.
• Persist common settings : cocher cette case permet de conserver les configurations effectuées même lorsque l'interface logique est supprimée. Nous laissons cette case décochée.
• Standard : la déclinaison du standard 802.11 avec lequel nous souhaitons travailler. Les choix proposés dépendent de votre carte Wi-Fi. Dans notre cas, nous choisissons 802.11 ng.
• Channel : le canal Wi-Fi qui sera utilisé par pfSense. Il est recommandé d'opter pour le 1, le 6 ou le 11. Dans notre cas, nous choisissons le 6.
• Mode : nous choisissons "Access Point".
• SSID : l'identifiant de notre réseau Wi-Fi. Vous pouvez choisir ce que vous souhaitez. Dans notre exemple, nous l'avons nommé Point-Acces-pfSense.
• Enable WME : cocher cette case.
• WAP - Enable : cocher cette case.
• WPA mode : pour des raisons de sécurité, choisir WPA 2 exclusivement.

3. Activons le serveur DHCP

4. Créons une règle de firewall

5. Debug / Dépannage

Vérifier l'état de son interface Wi-Fi

Voir les autres réseaux Wi-Fi à proximité

Pour aller plus loin

Retrouvez nos services et firewall pour pfSense

store.provya.fr

Tags de l'article : pfSenseWi-Fi