Vous êtes sur la page 1sur 69

Pare-

feu
open
sourc Réalisé par :
Mohammed
Kaoui
e
Encadré par :
1. Tout d’abord, je tiens à exprimer mon immense respect et gratitude à
Mr. Mohammed Ait El Kadi de m’avoir accepté en tant que stagiaire au sein du
Département d’Informatique et de m’avoir laissé la liberté d’agir, et de me permettre
d’avoir accensée à plusieurs choses et d’enrichir mes connaissances en domaine
d’informatique

Je saisis cette occasion de remercier Mr. Yassine Moussaoui, le responsable


informatique, Sécurité et Systèmes Informatiques, au sein de Menara MALL. Et Mr.
Zakaria Choukari (IT Manager) du Savoy le grand hôtel Marrakech.

J’adresse mes vifs remerciements à tous les techniciens du Département


Informatique du Savoy le grand hôtel Marrakech, pour les efforts qu’ils ont déployés
pour me transmettre leurs riches connaissances.

2
Remerciements..............................................................................................................................2

Sommaire......................................................................................................................................3

Introduction général......................................................................................................................5

Chapitre 1: Présentation générale du contexte générale................................................................6

A) Présentation général de la FSSM et le réseau MARWAN..............................................7

B) Le réseau MARWAN......................................................................................................8

C) L’infrastructure réseau de la FSSM...............................................................................10

D) Cahier de charges..........................................................................................................11

Chapitre 2: Les pare-feux solution et la solution choisi..............................................................13

A) Les pare-feu fameux......................................................................................................14

B) Table comparatif............................................................................................................20

C) Pfsense comme solution................................................................................................20

D) Conclusion.....................................................................................................................22

Chapitre 3: Mise en place du Pfsense..........................................................................................23

A) Pré-requit.......................................................................................................................24

B) Laboratoire local............................................................................................................24

C) Plan d’adressage............................................................................................................24

D) Installation de Pfsense...................................................................................................24

E) Création d’une zone démilitarisée.................................................................................25

F) Réparation de charge.....................................................................................................26

G) Basculement..................................................................................................................28

H) Gestion bande passante..................................................................................................32

I) Virtual Private Network................................................................................................33


J) Serveur proxy : SQUID et SQUIDGARD....................................................................37

K) HTTP Antivirus Proxy: HAVP.....................................................................................39

L) Système de détection d'intrusion : SNORT...................................................................40

M) Surveillance du réseau...................................................................................................42

Conclusion...................................................................................................................................44

Annexe.........................................................................................................................................45

Table d'illustration.......................................................................................................................66

Netographie.................................................................................................................................67
Dans le cadre de ma formation en licence professionnelle Réseaux, Sécurité et Système
informatique (R2SI) à la Faculté des Sciences Semlalia, j’ai effectué un stage au sein du centre
informatique de la Faculté des Sciences Semlalia Marrakech d’une durée de deux mois, qui a pour but
d’acquérir une expérience professionnelle sur le monde travail en plus de mettre en pratique les
notions vues pendant les deux ans de ma formation.

Durant ces deux mois de recherche et de test j’ai réussi à mettre en place une solution de
firewalling open source qui va nous augmente la sécurité du réseau.

Dans ce rapport nous avons voir c’est quoi un pare-feu, les différents pare-feux présentes dans
le marcher, la meilleur solution pour nos besoins, et en fin l’implémentation place de la solution
choisie.
A) Présentation générale du Savoy le grand hôtel Marrakech

A.1) Fiche technique

 Raison sociale: Faculté des Sciences Semlalia Marrakech « FSSM ».


 Forme juridique: Faculté.
 Doyen: My Elhassan HBID.
 Téléphone: +212 (0)5 24 43 46 49.
 Adresse: BD Prince My Abdullah B.P.2390 Marrakech.
 Site: http://www.fssm.ucam.ac.ma/
 Départements de la Faculté (6 Départements) :
o Département de Biologie;
o Département de Géologie;
o Département de Chimie;
o Département de Physique;
o Département de Mathématiques;
o Département d’Informatique.
 Services administratifs de la Faculté (11):
o Service de la scolarité Licence;
o Service des relations extérieures;
A.2) Organigramme du département informatique du SAVOY le grand hôtel Marrakech
B) Cahier de charges

A.4) Titre du projet

Mise en place d’un pare-feu open source avec un serveur web. Et un captive portal de connexion a
un réseau wifi a l’aide de ce pare-feu

A.5) L’établissement Accueillante

SAVOY Le Grand Hotel Marrakech


A) Les pares-feux fameux

A.6) ClearOS

ClearOS (anciennement appelé ClarkConnect) est une distribution Linux, basée sur CentOS et
Red Hat Enterprise Linux, conçu pour une utilisation dans les petites et moyennes entreprises comme
une passerelle réseau et le serveur de réseau avec une interface d'administration basée sur le Web. Il est
conçu pour être une alternative à Windows Small Business Server. ClearOS réussit ClarkConnect.

Le logiciel est construit par ClearFoundation, et les services de soutien peuvent être achetés
auprès ClearCenter. ClearOS 5.1 supprime les limitations antérieures au courrier électronique, les
fonctions DMZ, et MultiWAN.

Caractéristiques :

 Pare-feu Stateful (iptables), la mise en réseau et de la sécurité;


 La détection d'intrusion et de prévention (SNORT);
 Réseaux privés virtuels (IPSEC, PPTP, OpenVPN);
 Proxy Web, avec le filtrage de contenu et antivirus (Squid, DansGuardian);
 Services de courrier électronique (Webmail, Postfix, SMTP, POP3 / s, IMAP / s);
 Base de données et serveur Web (facile à déployer pile LAMP);
 Services de fichiers et d'impression (Samba et CUPS);
 Flexshares (unifiées de stockage multi-protocole qui emploie actuellement CIFS, HTTP /
S, FTP / S, et SMTP);
 MultiWAN (Internet défaut de conception tolérante);
 Intégré dans les rapports pour les statistiques et les services système (MRTG et

autres); Le(s) Limite(s) :

 ClearOS non offre pas beaucoup de fonctionnalité dans la version gratuit


 Pas de mises à jour automatiques pour IPS / URL filte

A.7) Untangle

Untangle propose deux solutions :

La première solution « Next Generation (NG) Firewall » est conçue afin répondre aux besoins
des petites et moyennes entreprises.
Cette solution intègre à la fois :

 Un pare-feu;
 Un routeur;
 Un système de prévention d’intrusion;
 Un anti-virus avancé;
 Un filtrage des connexions http / https suspectes;
 Un bloqueur de publicité (mail et web);
 Et bien d’autres possibilités….

La seconde solution proposée est « Untangle Internet Content (IC) Control ». Cette solution
répond aux besoins des grandes organisations, consommatrices de grandes quantités de bande
passante.

Lorsque la quantité de donnée échangée devient trop importante pour être contrôlée par
les solutions « courantes », il faut alors se tourner vers des solutions parfaitement adaptées à cette
situation et c’est précisément ce que permet « Untangle IC Control ».

Le(s) Limite(s)

 Consomme la RAM;
 Lent dans le démarrage et dans l’arrêter;
 La version gratuite est très limitée.

A.8) Zeroshell
Zeroshell est une distribution Linux créée dans le but d'être très complète conçue pour fournir
des services réseaux sécurisés dans un réseau local.

Elle a été développée par Fulvio Ricciardi pour être totalement administrable via une interface
web. Fournie sous forme de Live CD, elle s'initialise en insérant le CD dans la machine cible et en la
redémarrant.

La connexion à l’interface d’administration se fait via un navigateur web pour ensuite


configurer les services réseaux.

Fonctionnalités :

 Routage statique;
 NAT;
 Protocole de routage RIPV2 (Routing information protocol) pour configuration dynamique des
tables de routage;
 Pare-feu, pour filtrage des paquets avec fonction SPI (Stateful Packet Inspection) pour filtrer
en fonction de l’état de la connexion;
 Captive portal dont le but est d’autoriser l’accès au réseau via une authentification web
adossée à un serveur Kerberos. Cette fonction est très utile pour sécuriser un réseau sans
demander aucune configuration sur les postes clients;
 VPN LAN-to-LAN, pour interconnecter deux réseaux locaux via Internet en encapsulant les
trames Ethernet;
 VPN Host-to-LAN, pour permettre à des postes clients de se connecter au réseau local via
internet;
 Authentification Radius, pour autoriser l’accès au réseau via des points d’accès Wi-Fi;
 Serveur DNS multi-zones, pour définir sa propre zone DNS et les enregistrements associés;
 Client DynDNS si on a besoin d’un nom DNS pour atteindre le routeur;
 Serveur DHCP pour assigner automatiquement des adresses IP aux postes clients qui
le demandent;
 Qualité de service, pour hiérarchiser la priorité et même la bande passante attribuée à chacun
des types de trafic qui traversent Zeroshell. Configuré en mode pont, Zeroshell est ainsi très
utile même pour une connexion internet familiale pour donner la priorité aux applications voix
(de type Skype) et chat sur d’autres applications (téléchargement etc…);
 VLAN à utiliser avec des switches supportant les VLAN. On peut ainsi par exemple dans
un campus, créer un VLAN dédié aux points d’accès WIFI et centraliser la gestion de
l’authentification par captive portal sur Zeroshell;
 Administration web (sécurisé par filtrage sur IP);
 Accès SSH (sécurisé par filtrage sur IP);
 Serveur proxy avec fonction de proxy transparent, intégrant un anti-virus;
 Équilibrage de charge et tolérance de pannes par l'usage de plusieurs connexions internet;
 Pont 802.1d avec protocole Spanning Tree pour éviter les boucles dues aux
chemins redondants;
 Connexion UMTS/HSDPA par modem 3G.

L'utilisation en Live CD nécessite de sauvegarder le paramétrage mis en place sur un support


enregistrable.
Il est possible d'utiliser un disque dur pour cela. Zeroshell propose d'enregistrer une
configuration sous la forme d'une base de données. Plusieurs configurations peuvent être enregistrées,
mais une seule est active à la fois. On peut, à l'aide de l'interface web, la configuration sous forme d'un
fichier que l'on peut restaurer à tout moment.

Zeroshell fonctionne aussi sur une machine virtuelle, par exemple avec les logiciels VMware et
Virtual PC (un disque virtuel pour VMware est fourni en téléchargement).

Le(s) Limite(s) :

 La GUI n'est pas facile à utiliser;


 Manque de la documentation;
 Difficile dans l'installation dans HDD par rapport aux autres pare-feux.

A.9) OPNsense

OPNsense est une distribution de pare-feu open source basé sur FreeBSD. Déploiements
typiques sont les pare-feu stateful de périmètre, routeurs, points d'accès sans fil, serveurs DHCP et
DNS, points de terminaison VPN et UTM-machines.

OPNsense offre des fonctionnalités souvent trouvés dans firewalls commerciaux coûteux, et est
basé sur le port FreeBSD du PF-pare-feu. Il peut être configuré et mis à jour par le biais d'une
interface basée sur le Web, et ne nécessite aucune connaissance du système FreeBSD sous-jacente à
gérer.

OPNsense est axée sur la qualité du code et le développement facile, la mise en œuvre
du paradigme MVC.

Caractéristiques :

1. Installer et mise à jour du firmware


 Live CD, installateurs USB disponibles;
 Mise à niveau facile par web-based click-to-upgrade;
 Outil d'interface opnsense-mise à jour en ligne de commande;
 Console, basé sur le Web moderne basée Bootstrap GUI, SSH et la gestion
de console série;
 Graphiques RRD déclaré;
 Le lissage du trafic et le filtrage;
 Informations en temps réel en utilisant Ajax.
2. Fonctionnalité et connectivité
 Réseaux privés virtuels utilisant IPsec, L2TP, OpenVPN, ou PPTP;
 Serveur PPPoE;
 Le clustering haute disponibilité; redondance et de basculement, y compris de CARP
et pfsync;
 Sortant et entrant équilibrage de charge;
 Qualité de service (QoS);
 DNS dynamique;
 Portail captif;
 uPnP;
 Multi-WAN;
 VLAN (802.1Q);
 Serveur DHCP et relais;
 Le support IPv6;
 Adresses IP publiques multiples / multi-NAT;
 RADIUS / LDAP;
 Résolveurs multiples (transitaire DNS, Unbound);
 Alias pris en charge pour les règles, les adresses IP, les ports, les ordinateurs et
autres entités;
 Squid et expédition web-proxy.
3. Pare-feu et le routage
 Pare-feu Stateful;
 Network Address Translation;
 Filtrage par source / de destination adresse IP, le protocole, OS / réseau
d'empreintes digitales;
 Couche inspection 7 du protocole ou Deep Packet Inspection;
 Routage flexible;
 Par règle configurable exploitation forestière et par règle limiteurs (adresses IP,
les connexions, les Etats, de nouvelles connexions, les types de l'Etat), le filtrage
de la politique (ou le marquage de paquets), le filtrage TCP de l'État du pavillon,
l'ordonnancement, la passerelle;
 Packet épuration;
 Layer 2 / pontage capable;
 Table de l'Etat "jusqu'à plusieurs centaines de milliers" états (1 Ko de RAM par Etat
environ);
 Algorithmes de table d'état personnalisable, y compris une faible latence et une
faible chute de tension.

Le(s) limite(s) :

 Manque de packages par rapport au Pfsense;


 C’est un nouveau pare-feu n’est pas mature comme les autre pare-feux.

A.10) Pfsense
Pfsense est un routeur / pare-feu open-source basé sur FreeBSD. Il peut être installé sur un
simple ordinateur personnel comme sur un serveur. Basé sur PF (packet filter), comme iptables sur
GNU/Linux, il est réputé pour sa fiabilité. Pfsense a des Nouveautés :

 Pfsense 2.2 est basé sur FreeBSD 10.1 ce qui apporte non seulement de nombreux correctifs
de sécurité, mais aussi une meilleure prise en charge du matériel et de la virtualisation;
 Pf est désormais SMP friendly, ce qui améliore grandement les performances;
 L'interface d'administration fonctionne désormais sous PHP-FPM, ce qui apporte un gain de
réactivité;
 Ajout de nouveaux fournisseurs de DNS Dynamique (City Network, OVH
DynHOST, GratisDNS, Euro DNS et CloudFlare);
 Changement de démon IPSec racoon par strongSwan avec la gestion d'IKEv2, AES-GCM entre
autres.

Caractéristique

Pfsense ne fait pas seulement firewall, elle offre toute une panoplie de services réseaux. Je vais
vous en présenter une partie, celles que j'ai utilisées ou qui me semblent intéressantes.

 Interface web;
 Gestion des VLAN;
 Routage IPv4 et IPv6;
 NAT;
 Filtrage du trafic entrant et sortant pour tout type de trafic (ICMP, UDP, TCP…);
 Limitation des connexions pour un pair;
 Log du trafic avec génération de graphiques;
 Log sur serveur syslog externe;
 Répartition de charge et Basculement;
 Agrégation de ports, IP virtuelles;
 Proxy transparent;
 Serveur ou client PPPoE;
 VPN (client ou serveur) IPsec, PPTP, OpenVPN;
 DNS Dynamique;
 Portail captif;
 Contrôle d'accès par adresses MAC ou authentification RADIUS;
 Serveur ou relais DHCP / DNS;
 Ajout de fonctionnalités via des paquets directement installables dans l'interface;
 Multi-WAN.

Le(s) limite(s) :

 Plus difficile que untangle;


 Parfois il y a des problèmes après les mises à jour.

B) Tableau comparatif

C) Pfsense comme solution

A.11) Introduction

Pfsense est un routeur/pare-feu open source basé sur le système d'exploitation FreeBSD.
Aucune connaissance de FreeBSD n’est nécessaire pour déployer et à utiliser Pfsense. A l'origine d'un
fork de mOnOwall, il utilise le pare-feu à états Packet Filter, des fonctions de routage et de NAT lui
permettant de connecter plusieurs réseaux informatiques. Il comporte l'équivalent libre des outils et
services utilisés habituellement sur des routeurs professionnels propriétaires. Pfsense convient pour la
sécurisation d'un réseau domestique ou de petite entreprise.

Après une brève installation manuelle pour assigner les interfaces réseaux, il s'administre
ensuite à distance depuis l'interface web et gère nativement les VLAN (802.1q).

Comme sur les distributions Linux, Pfsense intègre aussi un gestionnaire de paquets pour
installer des fonctionnalités supplémentaires, comme un proxy, serveur VoIP1...
A.12) FreeBSD

FreeBSD® est un système d'exploitation avancé pour les plates-formes modernes de type
serveur, station de travail et systèmes embarqués. Le code de base de FreeBSD a été développé,
amélioré et optimisé continuellement pendant plus de trente ans. Il est développé et maintenu par une
importante équipe de personnes.

FreeBSD propose des fonctionnalités réseau avancées, une sécurité poussée et des
performances de haut niveau. FreeBSD est utilisé par certains des sites web les plus visités ainsi que
par la plupart des systèmes embarqués orientés réseau et des systèmes de stockage les plus répandus.

FreeBSD offre des possibilités avancées en termes de réseau, de performance, de sécurité et de


compatibilité. Il y a notamment une compatibilité binaire Linux et Windows NT (XP inclus). La
première permet l'exécution de programmes compilés sur une plateforme GNU/Linux, la seconde
permet l'utilisation des pilotes Windows NT des cartes réseau sans fil Wi-Fi. Le logiciel est un
standard industriel sur le marché des serveurs. De nombreux fournisseurs d'accès, hébergeurs et
organismes utilisent FreeBSD, parmi lesquels Walnut Creek CDROM, Yahoo! Inc. ou Netcraft. Le 24
mai 1999, l'équipe du serveur miroir ftp.cdrom.com a annoncé avoir battu la veille leur record de
transfert de données2 pour un serveur : 1,33 tébioctet en 24 heures.

A.13) La version de Pfsense 2.2 Release

Le Pfsense 2.2 est la version actuelle recommandée pour toutes les installations. Le Pfsense 2.2
est basé sur FreeBSD 10.1. Parce que ceci est la dernière version officielle, il est la seule version qui
recevra corrections de bogues et des mises à jour de sécurité.

A.14) Plates-formes

Trois types de déploiements différents proposés par Pfsense. Cette section couvre chacune
des plates-formes disponibles, et les environnements dans lesquels ils sont les mieux adaptés pour
une utilisation.

A.14.a) Live CD (y compris l'image USB memstick)

La plate-forme de Live CD vous permet de l’exécuter directement depuis le CD (ou clé USB)
sans l’installer sur un disque dure ou la carte Compact Flash.

A.14.b) Installation complète

Le Live CD inclut une option d'installation pour installer Pfsense sur le disque dur de votre
système. Ceci est le moyen privilégié de courir Pfsense. L'ensemble du disque dur doit être remplacé;
dual boot avec un autre OS n’est pas pris en charge. Installations complètes sont recommandées pour
la plupart des déploiements.

A.14.c) Embarqué

La version Embarqué est spécifiquement adapté pour une utilisation avec n'importe quel
matériel en utilisant Compact Flash (CF) plutôt que d'un disque dur.

D) Conclusion
Durant ce chapitre nous remarquons qu’il existe plusieurs solutions pour le pare-feu, chaque
pare-feu à des caractéristiques et son domaine d’utilisation.

D’après la comparaison de tous ces pare-feux, Pfsense répond à notre besoin pour cela c’est
notre choix comme solution.
A) Pré-requit
Il faut avoir une image ISO de Pfsense version 2.2.2-RELEASE Basé sur FreeBSD 10.1-
RELEASE-p9, les images sont en libre téléchargement depuis https://www.Pfsense.org/download,
de même cette section de téléchargement offre des images VMware prêtes.

B) Laboratoire local
Nous réaliserons l’installation sur une VM depuis VMware, la procédure d’installation de
Pfsense est la même si nous sommes sur une machine (serveur) physique. Sauf sur cette dernière il faut
qu’elle dispose au moins de 5 carte réseau par contre dans l’environnement de virtualisation nous
pouvons rajouter au tant que de carte réseau.

En termes de configuration requise, nous faisons tourner Pfsense sur une VM disposant d’un
processeur, 512 Mo de RAM, 5 Go de disque dure et 6 cartes réseau.

Aussi nous mettrons 2 serveurs web apache2 et un serveur DNS sur VM avec un système
d'exploitation Linux (Ubuntu) disposant d’un processeur, 512 Mo de RAM et 5 Go de disque dure, et
2 VM avec un système d'exploitation Windows 7 (l'une comme poste de l'administrateur et l'autre
comme un client) disposant d’un processeur, 1024 Mo de RAM et 20 Go de disque dure.

C) Plan d’adressage
Tableau 1 : Plan d’adressage

Non du réseau IPs du réseau

WAN1 192.200.176.0/24

WAN2 192.200.178.0/24

DMZ 172.20.176.0/24

ADM 100.100.100.0/24

LAN 192.168.0.0/24

PFSYNC 10.10.10.0/24

D) Installation de Pfsense
Pour l’installation de Pfsense voir l’annexe.
E) Création d’une zone démilitarisée

A.18) Introduction

Une zone démilitarisée (ou DMZ, de l'anglais demilitarized zone) est un sous-réseau séparé du
réseau local et isolé de celui-ci et d'Internet par un pare-feu. Ce sous-réseau contient les machines étant
susceptibles d'être accédées depuis Internet.

Le pare-feu bloquera donc les accès au réseau local pour garantir sa sécurité. Et les services
susceptibles d'être accédés depuis Internet seront situés en DMZ.

Figure 4 : Figure illustre la zone DMZ

A.19) Configuration

A.19.a) Création de l'interface

Commençons par l'ajout de la nouvelle carte dans Interface > assign. Puis allons dans
Interface > OPT2 et cochons la case Enable Optional 2 interface pour donner à l'interface un nom et
une adresse IP suivant le plan d’adressage figure 23.

A.19.b) Création des règles

Maintenant nous allons dans Firewall > rules > LAN pour créer une nouvelle règle. Par
exemple une règle permet de passer les requêtes HTTP de LAN vers DMZ.

Remplir les champs généraux suivants :

Action : Pass ;

TCP/IP Version : IPv4 ;

Interface : LAN ;
Protocol : TCP ;

Source : LAN net ;

Destination : any ;

Destination port range :

From : HTTP

To : HTTP

Description : Autoriser HTTP pour réseau LAN figure 24.

De même il faut créer des règles qui bloquer/passer le trafic pour les autres interfaces.

A.19.c) Test de fonctionnement

Un simple test de la fonctionnalité et de taper l'adresse de notre serveur web dans le navigateur
depuis un poste sur le réseau LAN figure 25.

F) Réparation de charge

A.20) Introduction
La répartition de charge (en anglais : load balancing) est un ensemble de techniques permettant
de distribuer une charge de travail entre différents ordinateurs d'un groupe. Ces techniques permettent
à la fois de répondre à une charge trop importante d'un service en la répartissant sur plusieurs serveurs,
et de réduire l'indisponibilité potentielle de ce service que pourrait provoquer la panne logicielle ou
matérielle d'un unique serveur.

L'architecture la plus courante est constituée de plusieurs répartiteurs de charge (genres de


routeurs dédiés à cette tâche), un principal, et un ou plusieurs de secours pouvant prendre le relais, et
d'une collection d'ordinateurs similaires effectuant les calculs. Nous pouvons appeler cet ensemble de
serveurs une ferme de serveurs (anglais server farm) ou de façon plus générique, une grappe de
serveurs (anglais server cluster). Nous parlons encore de server pool (littéralement, « groupe de
serveurs »).

A.21) Répartition de charge pour le serveur web

A.21.a) Introduction

Les serveurs web se doivent aujourd’hui d’avoir une haute disponibilité et de supporter une
haute charge au vue de l’importance qu’ils ont pour les entreprises. Il est souvent conseillé pour
accroître cette disponibilité de mettre en place plusieurs serveurs ayant le même rôle avec la possibilité
de répartir la charge entre ceux-ci mais également de prendre toute la charge sur un serveur si l’autre
vient à être indisponible (ce que l’on appelle le Fail-Over partie suivant).

Figure 5 : représente la répartition de charge pour un site web


Dans le cas d’un anormal la répartition de charge jouer le rôle du basculement.

Figure 6 : représente le basculement pour un site web

A.21.b) Configuration de la répartition de charge pour le serveur web

a) Création des pools


Crée un Pool dans Services > load balancer > Pools (voir l'annexe figure B.1 et 2) figure 26.

b) Création du serveur virtuel


Allons dans Services > load balancer > Virtual server pour créer un serveur virtuel figure 27.

A.22) Répartition de charge pour les WANs (Multi-WAN)

Un des intérêts principaux de Pfsense est la possibilité de faire la répartition de charge avec
plusieurs WANs. Pour assurer une connexion fiable et stable dans les réseaux a des services
sensibles et dans les réseaux a un grand nombre des utilisateurs, et également de prendre toute la
charge sur les autres WAN si l’un vient à être indisponible (ce que l’on appelle le Fail-Over).

Figure 7: représente la répartition de charge pour Multi-WAN

A.22.a) Configuration de la répartition de charge dans Multi-WAN

c) Configuration du Monitor IP
Crée tous les passerelles existes dans System > Routing > Gateways figure 28.

d) Création d’un groupe des passerelles


Allons dans System > Routing > Groups pour créer un groupe pour la répartition de charge
figure 29.

e) Configuration les règles du pare-feu


Allons dans Firewall > rules et éditons les règle. Dans la section Advanced features > Gateway,
cliquez sur le bouton Advanced et sélectionnez dans la liste la passerelle de répartition de charge
figure 30.

A.22.b) Test de fonctionnement

Pour tester la fonctionnalité de la répartition de charge allons dans Status > Gateways pour
vérifie les passerelles et ensuite allons dans Status > Traffic Graph pour voir le trafic entrant et sortant
dans tous les interfaces WANs figure 31.

G) Basculement
Le basculement (en anglais, failover qui se traduit par passer outre à la panne) est la capacité
d'un équipement à basculer automatiquement vers un chemin réseau alternatif ou en veille. Cette
capacité existe pour tout type d'équipements réseau: du serveur au routeur en passant par les pare-feu
et les commutateurs réseau.

Le basculement intervient généralement sans action humaine et même bien souvent sans aucun
message d'alerte.

Le basculement est conçu pour être totalement transparent. Il existe deux modes principaux de
basculement :

 actif/actif qui s'apparente plus à de l'équilibrage de charge (load-balancing);


 Le mode classique couramment répandu, actif/passif où l'équipement secondaire (passif) est en
mode veille tant que l'équipement primaire (actif) ne rencontre aucun problème.

A.23) Le basculement Maître-Esclave


CARP (Common address redundancy protocol) est le protocole utilisé par Pfsense pour la mise
en place d’un basculement. Dans son fonctionnement, nous mettons dans un groupe plusieurs hôtes
(groupe de redondance) qui partageront alors une même adresse IP et auront une adresse MAC dite
“virtuelle”. Cette adresse IP qui sera virtuelle se cachera deux ou plusieurs hôtes parmi un maître qui
prendra et traitera l’intégralité des requêtes en destination de l’IP virtuelle. Les hôtes du réseau
communiqueront entre eux afin de vérifier que le maître est toujours actif, s’il vient à tomber, l’hôte
désigné comme esclave prendra le relais afin d’accueillir et de traiter le trafic en destination de
l’adresse IP Virtuelle.

Nous avons vu d’un peu plus près le protocole qui allait permettre à nos hôtes de se répartir
les tâches dans le basculement, Pfsense utilise également le protocole Pfsync dans son processus de
mise en place du basculement, c'est un protocole utilisé pour synchroniser plusieurs machines
exécutant le pare-feu Packet Filter, implémenté dans Pfsense. Plus précisément, c’est par ce protocole
que nous allons pouvoir gérer plusieurs hôtes via une seule interface, il fera en sorte par exemple de
diffuser les états de connexion (fermée, ouverte, établies, …) entre le pare-feu maître et les pare-feu
esclaves permettant ainsi une reprise des états de connexions en cas de panne du maître et de reprise
de l’esclave.
Figure 8 : illustre CARP avec IP virtuel

A.23.a) Configuration du basculement Maître-Esclave

f) Création de l'interface PSYNC


Comme dans la partie DMZ pour ajouter une nouvelle interface il nous faut d'aller dans
Interface > assign. Puis allons dans Interface > OPT3 et cochons la case Enable Optional 3 interface
puis donner à l'interface un nom et une adresse IP.

g) Créer les règles sur l’interface PSYNC (OPT3)


Commençons notre configuration du basculement sur Master-Pfsense. Il faut tout d’abord créer
une règle sur l’interface SYNC (OPT3) pour autoriser les flux CARP et pfsync à transiter sur le
segment CARP.

Aller dans l’onglet Firewall > Rules | SYNC et cliquer sur la case «+» pour créer une nouvelle
règle puis remplir les champs généraux suivants :

Action: Pass;

Interface: SYNC;

Protocol: Any;

Description: Autoriser le sous réseau SYNC figure 32.

Nous allons Répéter ces étapes de configuration sur Esclave-Pfsense.

Configuration de Pfsync
Nous devons premièrement configurer CARP sur l’esclave (Slave-Pfsense), allons dans l’onglet
Firewall > Virtual IPs | CARP Settings et remplissons les champs généraux suivants :

Synchronize Enabled : Cocher cette case pour autoriser l’échange de messages (pfsync) ;

Synchronize Interface : PFSYNC ;

Cliquez sur Save pour valider figure 33.

Sur le Maître (Master-Pfsense), aller dans l’onglet Firewall > Virtual IPs | CARP Settings et
remplir les champs généraux suivants :

Synchronize Enabled : Cocher cette case pour autoriser l’échange de messages (pfsync) ;

Synchronize Interface: SYNC;

Synchronize config to IP: 192.168.222.3;

Remote System Username : admin [nom d'utilisateur de Esclave-Pfsense] ;

Remote System Password : Pfsense [mot de passe d'utilisateur de Esclave-Pfsense] ;

Sélectionner tous les cases de synchronisation figure 34.

h) Créer les Virtual IPs


Nous pouvons maintenant configurer les IP virtuelles. Sur le maître (Master-Pfsense), aller
dans l’onglet Firewall > Virtual IPs | Virtual IPs et remplir les champs généraux suivants :

Type: CARP;

Interface: LAN;

IP Address (es): 192.168.0.254/24;

Virtual IP Password: admin [mot de passe pour le cette IP virtuelle];

Description: IP virtuelle Cluster LAN.

Même configuration pour l'interface WAN figure 34.

A.23.b) Test de fonctionnement

Pour voir s'il est fonction bien nous allons sur Master-Pfsense dans Status > CARP (Failover)
figure 35.

A.24) Le basculement dans Multi-WAN


Nous avons déjà vu la répartition de charge dans Multi-WAN, mais dans le cas où l’un des
WAN vient à être indisponible les autre WAN prendre toute la charge, voici un figure 11 qui illustre le
basculement dans Multi-WAN.

Figure 9 : basculement dans Multi-WAN

A.24.a) Configuration

La configuration du basculement dans le Multi-WAN et identique sauf qu’il faut faire un petit
changement au niveau du groupe de passerelle figure 36.

H) Gestion bande passante


Une méthode simple de gestion de trafic est de définir des limites, c'est-à-dire fixer une limite
maximale de débit. Il convient de bien déterminer les différents trafics et surtout de bien évaluer la
bande passante de chaque tranche. En effet, si vous prévoyez une bande passante de 400 kbits/s pour
Skype alors qu'il en faut au moins 500 kbits/s pour un fonctionnement de base, nous avons déjà un
problème.

Pfsense nous permettons de superviser le débit. N'hésitons pas à effectuer quelques mesures
avant de fixer des valeurs arbitraires.

A.25) Configuration

A.25.a) Création des limites

Pour Créer des limites, nous allons dans Firewall > Traffic Shaper > Limiter. Dans notre
exemple nous mettons une limite de 1 Mbits/s dans upload et download figure 37.

A.25.b) Application des limites

Maintenant il reste d'éditer les règles que nous voulons appliquer les limiter sur ils dons rendez-
vous dans Firewall > Rules, puis allons dans la section Advanced features > In/Out, et cliquons sur le
bouton Advanced et en fin nous sélectionnons dans la liste la limite en entrée et en sortie figure 38.

Faites de même avec toutes les règles que vous souhaitez limiter. Toutes les règles utilisant la
même limite se partageront la bande passante du limiteur, avec une priorité égale.

A.26) Test de fonctionnement

A l’aide du site web www.speednet.net nous allons test la bande passante avant l'application de
la limite figure 39 et test de la bande passante après l'application de la limite figure 40.

I) Virtual Private Network


Un réseau privé virtuel, abrégé RPV au Québec et VPN ailleurs, de l'anglais Virtual Private
Network, est un système permettant de créer un lien direct et sécurisé entre des ordinateurs/réseaux
distants.

Un VPN permet d'accéder à des ordinateurs distants comme si l'on était connecté au
réseau local. On peut ainsi avoir un accès au réseau interne (réseau d'entreprise, par exemple).

Un VPN dispose généralement aussi d'une passerelle permettant d'accéder à l'extérieur, ce qui
permet de changer l'adresse IP source apparente de ses connexions. Cela rend plus difficile
l'identification et la localisation approximative de l'ordinateur émetteur par le fournisseur de service.
Cependant, l'infrastructure de VPN (généralement un serveur) dispose des informations permettant
d'identifier l'utilisateur. Cela permet aussi de contourner les restrictions géographiques de certains
services proposés sur Internet.

Le VPN permet également de construire des réseaux overlay, en construisant un réseau logique
sur un réseau sous-jacent, faisant ainsi abstraction de la topologie de ce dernier.

L'utilisation de VPN n'est généralement pas légalement restreinte.

A.27) Types de VPN

Nous pouvons dénombrer deux grands types de VPN, chacun d'eux caractérise une utilisation
bien particulière de cette technologie.

VPN LAN-to-LAN permet de relier deux sites entre eux de façon transparente. Généralement
les deux sites ont des tranches IP différentes ce qui oblige les postes clients à passer par le routeur.
Celui-ci est directement relié à l'équipement responsable du VPN ou implante directement les
protocoles choisit pour la mise en place du VPN. Ce type de VPN est installé de manière permanente.
Figure 10 : illustration un VPN LAN-to-LAN.
VPN Nomade ou également appelé "Road Warrior" permet à un utilisateur distant de son
entreprise de se connecter à celle-ci pour pouvoir profiter de ses services. Ce type de VPN est installé
de manière occasionnelle.

Figure 11: illustration un VPN Nomade

A.28) Choix de technologie

Il existe plusieurs protocoles à utiliser es chacun ces caractéristique, pour nous Pfsense propose
4 protocoles pour établir un tunnel VPN :

Tableau 2 : Ce tableau résumé la comparaison entre les 4 protocoles utiliser par VPN dans
Pfsense :

Protocoles PPTP L2TP/IPsec SSL

160 bits et 256


Cryptage VPN 128-bit 256 bits
bits

→Windows

→Mac OS X →Windows →Windows

Configurati →Linux →Mac OS X →Mac OS X


on manuelle →iOS →Linux →Linux
possible et Android →iOS et →Android
Android
→DD-WRT
Le chiffrement Le chiffrement
Encryptage de le plus élevé. Vérifie le plus élevé.
Sécurité VPN
base l'intégrité des données Authentifie les données
et les encapsule deux à l'aide de certificats
fois. numériques.
Le protocole le
Nécessite plus plus performant.
Rapide de processeur pour le Débits rapides, même
Vitesse VPN
grâce à un plus bas double encapsulage sur les connexions à
cryptage. des données. latence élevée et sur
des grandes distances.

Plus fiable et
Fonctionne plus stable sur les
Stable sur
bien sur la plupart réseaux moins
Stabilité les appareils
des hotspots Wi-Fi, protégés et sur les
supportant le NAT
très stable. hotspots Wi-Fi, même
derrière des routeurs
sans fil.
Compatible
Intégré dans la Intégré dans la
avec la plupart des
plupart des systèmes plupart des systèmes
systèmes
Compatibilité d'exploitation pour d'exploitation pour
d'exploitation
PC, périphériques PC, périphériques
d'ordinateurs de
mobiles et tablettes. mobiles et tablettes.
bureau, mobiles
Android et tablettes.
A.29) OPENVPN

OpenVPN est un logiciel libre permettant de créer un réseau privé virtuel (VPN).Ce logiciel,
disponible dans Pfsense, permet à des pairs de s'authentifier entre eux à l'aide d'une clé privée partagée
à l'avance ou de certificats. Pour chiffrer ses données OpenVPN utilise le protocole SSLv3 de la
librairie OpenSSL aussi présente dans Pfsense.

A.29.a) Configuration d’un VPN LAN-to-LAN

i) Création des certificats


Avant de mise en place un tunnel VPN, il faut créer un certificat racine, des certificats de
serveur et des certificats d'utilisateur, pour cela nous allons dans l'onglet system > Cert Manager | CAs
pour créer un certificat racine, ensuite il faut aller dans system > Cert Manager | Certificates pour
créer un certificat de serveur et des certificats d'utilisateur.

j) Configuration du serveur
Maintenant il reste de mettre en place un serveur VPN dans l'onglet VPN > OpenVPN |
server et de remplir les informations du LAN client, adresse IP du Tunnel, et d'autre information
figures 41, 42 et 43.

k) Configuration du client
Sur le Pfsense du site "client", se rendre dans VPN > OpenVPN | Client et en remplir presque la
même configuration que VPN serveur avec des changements au niveau d'adressage figure 44 et 45.

En fin la configuration côté client est terminée. Il nous reste tout simplement à autoriser ou
filtrer nos flux transitant à travers notre nouvelle interface qui apparaître sous le nom OpenVPN. Pour
cela, se rendre dans Firewall > Rules | OpenVPN.

l) Test de fonctionnement
Pour disposer d'informations sur nos liens OpenVPN (état, date de début de mise en service,
volume entrant/sortant, etc.), se rendre dans Status > OpenVPN, et pour les logs du pare-feu, se rendre
dans Status > System logs > Firewall.

A.29.b) Configuration VPN Nomade

m) Création des certificats


Comme dans le VPN LAN-to-LAN et avant de mise en place un tunnel VPN il faut créer un
certificat racine, des certificats de serveur et des certificats d'utilisateur.

n) Configuration du serveur
Maintenant les certificats sont créer, il nous reste que la création et la configuration de notre
serveur VPN, alors nous allons dans l'onglet VPN > OpenVPN | Wizards et nous suivons les
instructions figure 46, 47, 48 et 49.

Dès que nous terminons, il faut associer les utilisateurs à leurs certificats et extraire la
configuration VPN de chaque utilisateur avec le package OpenVPN client Export figure 52 pour
l'envoyer au client avec une méthode sécurisé comme la commande scp d'outil openssh ou autre
méthode.
o) Configuration du client
Pour le client la tâche est simple, il faut seulement télécharger la dernière version d’OpenVPN
GUI à partir du site official Openvpn.net et de lancer l’installation, l’installeur va nous installer tout ce
qu’il faut figure 50 et 51.

Une fois l'installation terminer il restera de copie nos fichiers de configurations OpenVPN dans
le dossier suivant C:\Program Files\OpenVPN\config est la configuration terminer.

Maintenant il reste d'ouvrir OpenVPN GUI et de taper le nom d'utilisateur et le mot de passe
pour établir la connexion avec le serveur VPN.

p) Test de fonctionnement
Après l'apparence du message le tunnel entre l'ordinateur du client et le serveur VPN est établé.
Le client est dans le réseau local figure 53.

J) Serveur proxy : SQUID et SQUIDGARD


Un proxy est un composant logiciel informatique qui joue le rôle d'intermédiaire en se plaçant
entre deux hôtes pour faciliter ou surveiller leurs échanges.

Dans le cadre plus précis des réseaux informatiques, un proxy est alors un programme servant
d'intermédiaire pour accéder à un autre réseau, généralement internet. Par extension, on appelle aussi
proxy un matériel (un serveur par exemple) mis en place pour assurer le fonctionnement de tels
services. Dans l'environnement plus particulier des réseaux, un serveur proxy (serveur mandataire en
français) est une fonction informatique client-serveur qui a pour fonction de relayer des requêtes entre
une fonction cliente et une fonction serveur (couches 5 à 7 du modèle OSI).

Les serveurs proxys sont notamment utilisés pour assurer les fonctions suivantes:

 L’accélération de la navigation;
 La journalisation des requêtes (logging);
 La sécurité du réseau local;
 Le filtrage;
 L’anonymat.

Dans Pfsense pour pouvoir utiliser les fonctionnalités de proxy, il faut ajouter les packages «
squid » / « squid3 » et «squidguard», or un serveur Squid est un serveur mandataire (proxy) et un
mandataire inverse capable d'utiliser les protocoles FTP, HTTP, Gopher, et HTTPS. Contrairement
aux serveurs proxy classiques, un serveur Squid gère toutes les requêtes en un seul processus
d'entrée/sortie, non bloquant. C'est un logiciel libre distribué sous licence GNU GPL.

En parallèle avec Squid nous utilisons aussi SquidGuard. C'est un redirecteur qui utilise la
librairie Berkeley Database de sleepycat.

Ses avantages :

 Il est rapide 250000 URLs par seconde sur un bi-xeon 3 GHz avec 12 catégories totalisant plus
d'un million d'URLs ;
 Il permet de différencier la transformation (nous n'interdisons, nous transformons
l'URL) suivant:
o L'adresse de la machine;
o L'identité de l'utilisateur;
o L'URL (évidemment);
o L'horaire de la consultation.
 La classe de redirection (par exemple n pouvons définir une classe publicité, une classe adulte,
etc...);
 Insensibilité à la taille signifie aussi que l'on utilise moins les URLs génériques qui sont
souvent source d'erreurs.

En fait ses concurrents GPL sont tous au point mort depuis plusieurs années. Seul DansGuardian (qui
est d'ailleurs un véritable proxy) est encore actif. Mais il fait payer ses Bases de données.

A.30) Installation

Nous commençons par l'installation des packages pour cela nous allons dans System >
Packages | Availlable packages pour télécharger et installer les deux paquets Squid et Squidguard :

A.31) Configuration

Après l'installation est terminée nous allons dans Services > Proxy server | General pour
sélectionner les interface concerner par SQUID et de cocher le mode transparent figure 54 puis allons
dans Services > Proxy server | Access Control pour rajouter les ports (si manquant) figure 55 ensuite
nous allons dans Services > Proxy filtre | General setting pour activer SQUIDGARD figure 56 et de
mettre le lien de Blacklist (un exemple une blackliste que nous utilisons
http://www.shallalist.de/Downloads/shallalist.tar.gz, il y a d'autre blackliste payantes ) figure 57,
l’onglet Services > Proxy filtre | Blacklist dans laquelle nous téléchargeons la liste figure 58.

Finalement il reste d'indiquer les catégories a bloqué dans Services > Proxy filtre | Common
ACL figure 59 et d'ajouter les domaines a bloqué dans Services > Proxy filtre | Target catégories.

Attention il est très important d'ajouter ces 2 règles dans le pare-feu (Firewall > Rules) pour
faire fonctionner le serveur proxy.

K) HTTP Antivirus Proxy: HAVP


HTTP Antivirus Proxy est un proxy avec le moteur d'antivirus ClamAV (un proxy avec un anti-
virus filtre). Il ne met pas en cache ou de filtrer le contenu. À l'heure actuelle, l'ensemble du trafic est
scanné. La raison en est la chance de code malveillant dans presque tous les fichiers HTML par
exemple (JavaScript) ou Jpeg.
Principaux objectifs du HAVP sont les suivants :

 Continuer et non-blocage des téléchargements ;


 Lisse balayage de la dynamique et les pages d'accueil, protégé par mot de passe.

Un petit schéma de fonctionnement : (Internet) →(HAVP) →(Squid) →(LAN)

A.32) Installation et configuration du HAVP

A.32.a) Installation

Commençons par l'installation le package pour cela nous allons dans System > Packages |
Availlable packages ensuite télécharger et installer le paquet HAVP antivirus figure 60.

A.32.b) Configuration

Au début nous commençons par configurer le proxy d'antivirus, dans l'onglet Services >
Antivirus | Proxy Settings. Les étapes de la configuration sont les suivantes :

Cocher la case "Enable Proxy" pour activer le proxy ;

Mode du proxy : Parent de squid ;

Interface du proxy : LAN ;

Port du proxy : celui que l'on veut, sauf celui utilisé par Squid ;

Langage : Français (c'est mieux) ;

Taille maximum des fichiers scanner : 500k est suffisant (généralement les virus sont dans des
petits fichiers) et permet de ne pas trop ralentir le système ;

Cocher les cases "Log" et "Logsys" ;


Enregistrer les modifications figure 61.

La partie proxy est maintenant

configurée.

Ensuite il faut configurer l'antivirus pour mettre à jour ses bases antivirales toutes les 12 heures
sur un serveur hébergé en Europe. Et d'activer ses logs figure 62.

Ne reste plus qu'à vérifier sur un poste du réseau que l'antivirus fait son boulot.

A.33) Test fonctionnement

Il existe un site très bien pour ce là, www.eicar.org .


On tente de télécharger des fichiers de test proposés en téléchargement, et nous observe le résultat
figure 63.

L) Système de détection d'intrusion : SNORT


Snort est un système de détection d'intrusion (ou NIDS) libre publié sous licence GNU GPL. Il
analyse en temps réel les paquets qui circulent sur une ou plusieurs interfaces de notre pare-feu
(couche application et transport du modèle TCP/IP). L'analyse permet de détecter les anomalies au
sein des paquets (paquets trafiqués = forged packets) ou de repérer les signatures typiques d'un très
grand nombre d'attaques réseau connues.

Le blocage des paquets est majoritairement effectué à partir d'une analyse de la signature des
paquets (payload).

Snort pour effectuer ces analyses se fonde sur des règles. Celles-ci sont écrites par Sourcefire
ou bien fournies par la communauté. Snort est fourni avec certaines règles de base mais cependant,
comme tout logiciel, Snort n'est pas infaillible et demande donc une mise à jour régulière.

Snort peut également être utilisé avec d'autres projets open sources tels que SnortSnarf, ACID,
sguil et BASE (qui utilise ACID) afin de fournir une représentation visuelle des données concernant
les éventuelles intrusions.

A.34) Installation et configuration du SNORT

A.34.a) Installation

Allons dans System > Package > Available Packages et choisir le package Snort dans la liste et
l'installer (comme dans les paragraphes précédents).
A.34.b) Configuration

q) Configuration initiale de Snort et mise à jour


Il est nécessaire de télécharger un jeu de règles afin de pouvoir ensuite les appliquer au
filtrage de notre contenu. Nous disposons de plusieurs jeux de règles qui sont soit payants, soit
gratuits. Donc nous allons dans Services > Snort > Global Settings figure.

Pour les règles payantes : cocher "Install Snort VRT Rules" et inserer le code Oinkmaster.

Nous pouvons aussi décider d'installer d'autres jeux de règles (Snort Community et Emerging
Threat), ces jeux de règles sont moins stables que les règles fournies par Snort et produisent beaucoup
plus de faux positifs. Il faut bien prendre soin, dans un premier temps, de ne pas bloquer les trames
identifiées par le filtre.

Dans premier temps il faut mettre les règles à jours, ensuite ils vont se mettre automatiquement
à jour et un message nous indiquerons que l'opération est terminée. Nous pouvons vérifier cela dans
Services > Snort > Updates figure.

r) Configuration de l'interface
Afin de pouvoir utiliser nos règles, il est nécessaire de les appliquer sur une interface de notre
pare-feu. Il s'agit assez souvent de l'interface WAN, mais certaines règles peuvent aussi s'appliquer à
d'autres interfaces (LAN, DMZ, …).

Dans le cadre du déploiement dans un DataCenter, nous préférerons déployer cela sur le
WAN car les attaques doivent être contrées au niveau du WAN. Pour empêcher nos utilisateurs
d'utiliser des protocoles non souhaités, il est préférable de déployer cela sur le LAN.

Alors pour régler ça nous allons dans Services > Snort > Snort Interfaces et ajouter une
nouvelle interface à l'aide du bouton "+".

Les interfaces Snort disposent de très nombreuses options que vous allez bientôt découvrir. Par
défaut ne modifions que ce qui est nécessaire. Certaines règles étant liées à la façon dont une interface
est configurée, la modification de paramètres au niveau des interfaces peut conduire à un blocage du
démarrage de votre serveur figure.

s) Activation des règles dans Snort


Maintenant il faut activer les règles dans l'onglet Services > Snort > Snort Interfaces > WAN
Categories figure.

Une fois les règles activées, nous pourrons simplement y accéder et les configurer de façon plus
fines à partir de l’onglet Services > Snort > Snort Interfaces > WAN Rules. Chaque catégorie dispose
de ses propres règles qui sont activées où désactivées par figure.

L’onglet WAN Rules nous permet de configurer (activer / désactiver / modifier) chaque règle
contenue à l’intérieur d’une catégorie. L’accès aux règles d’une catégorie se fait par l’intermédiaire
du pop-up « Category » qui est présent sur la page.

Les règles sont identifiées par leur SID (numéro unique). Elles utilisent souvent des alias
définis sous forme de $NOM_DE_L_ALIAS - ces derniers peuvent et doivent être configurés dans la
section Services > Snort > Snort Interfaces > WAN Variables de Snort.

Par défaut certains Alias sont déjà configurés, les autres doivent être créés sous forme d'alias à
partir de la section Firewall > Alias de Pfsense.

L’onglet Services > Snort > Snort Interfaces > WAN Preprocs permet de régler des paramètres
relatifs à l’analyse des trames. Il permet notamment d’assurer une normalisation des paquets selon un
certain nombre de protocoles définis (HTTP, FTP, Telnet, IMAP, …) ou une normalisation au niveau
des protocoles IP (TCP, UDP, ICMP) figure.

Attention : l’activation ou la désactivation des règles de pré-processing peut entrainer des


blocages de Snort au démarrage. Certaines règles ayant besoin de certaine fonction de pré-processing
pour fonctionner. Veillez donc à conserver une cohérence entre vos règles et les pré-process activés.

Nous devrions maintenant être en mesure de démarrer Notre IDS Snort. Pour cela rendez-vous
sur la page Services > Snort > Snort Interfaces > Snort Interfaces et démarrons cette interface en
cliquant sur la croix rouge. Notre NIDS devrait démarrer sans problème. Si ce n’est pas le cas allons à
la section « Logs » décrite ci-dessous pour une analyse plus approfondie du problème rencontré.

La section « Log » permet d’avoir un aperçu des logs du module Snort. Ces logs peuvent aussi
être renvoyés vers le système de log par défaut du pare-feu.

A.34.c) Test de fonctionnement

Il est maintenant possible de regarder ce que notre IDS à bloquer. Pour ce faire, rendez-vous
sur la page Services > Snort > Alerts qui présente une liste des alertes interceptées par notre NIDS.

Une fois la vérification de l’absence de faux positifs, nous pouvons activer le mode bloquant
dans l’interface Services > Snort > Snort Interfaces > WAN Settings.

M) Surveillance du réseau
Bandwidthd permet de visualiser l'utilisation du trafic des clients de notre réseau local. Nous
serons en mesure de dire quels clients ont consommé le plus de bande passante sur une certaine
période de temps, tout formatée dans un tableau agréable.

A.35) Installation

Allez dans System > Package > Available Packages et choisir le package Bandwidthd dans la
liste et l'installer.

A.36) Configuration

Une fois que nous avons installé le paquet, nous pouvons afficher les paramètres en allant vers
Services > Bandwidthd | Bandwidthd. Ici nous souhaitons activer bandwidthd et sélectionnons
l'interface qui il va se lier à. Si nous surveillons l'utilisation de clients de notre réseau local, nous
devons sélectionner l'interface LAN. L'autre chose que nous voulons spécifier ici est le sous-réseau
que nous souhaitons signaler.

Ceci est normalement la gamme IP privée (s) que nous utilisons dans notre LAN, dans notre
cas, nous utilisons le réseau privé de classe C 192.168.0.0/24 pour notre adressage interne.

A.37) Test de fonctionnement

Après que Bandwidthd a été configuré et il est en place et fonctionne, alors nous devrions
commencer à voir les rapports de bandwidthd en cliquant sur l'onglet Services > Bandwidthd | Accès
bandwidthd.

Ici nous pouvons voir les adresses IP qui ont consommé le plus de bande passante et le type de
trafic qui il appartient.
2. La période de stage effectuée au sein de l’Université Cadi Ayyad
Marrakech m’a permis de mettre en pratique les connaissances acquises tout au long de
ces deux années en général. Il m’a aussi permis de savoir le rôle du service
administration au sien d’un grand établissement qui ne cesse de satisfaire de suture son
propre besoin.

Après cette période que j’ai passé à l’intérieur de cet établissement, j’ai conclu
que le stage est une période de transaction de l’esprit, une transaction qui se fait du
théorique vers la pratique, de l’abstrait vers le concret, d’un cadre restreint vers un
espace libre et riche, mais qui est régit par des contraintes, qu’il faut respecter en faveur
du bon fonctionnement du travail.
Lors du démarrage de l’ordinateur avec le CD ou l’ISO monté, un menu de boot apparaît. Selon
les besoins nous pouvons choisir de démarrer Pfsense avec certaines options activées. Si aucune
touche n’est appuyée, Pfsense bootera avec les options par défauts (choix 1) au bout de 8 secondes.

Figure 12: menu de boot

Appuyons sur “Entrée” pour booter avec les options par défaut.

Figure 13: démarrer l’installation


Appuyer rapidement sur la touche “I” afin de démarrer l’installation.

Figure 14: paramètres d’installation

L’installation démarre, dès le premier écran nous pouvons régler différents paramètres
notamment la police d’écriture et l’encodage des caractères. Ces options sont utiles pour des cas bien
particuliers. Nous n’y toucherons donc pas. On sélectionne “Accept these Settings“.

Figure 15: procéder à l’installation rapide

On choisit “Quick/Easy Install” pour procéder à l’installation rapide.

Le message qui suit, nous informe que le disque dur sera formaté et toutes les données
présentes dessus seront effacées. On sélectionne “OK” et nous continuons.

L’installation débute et copie les fichiers nécessaires sur le disque dur, nous devons part la suite
choisir quel type de kernel nous voulons installer, étant sur un ordinateur nous choisissons le
“Standard Kernel“.

Une fois l’installation finie, on choisit “Reboot” et nous redémarrons sur notre nouvelle
installation.
Lors du premier démarrage de Pfsense, il faut configurer les différentes interfaces (WAN,
LAN, DMZ, etc.), il faut donc bien repérer vos différentes cartes réseaux afin de ne pas vous tromper
dans votre configuration auquel cas vous n’aurez pas accès à l’interface web et votre pare-feu ne
fonctionnera pas.

Pfsense vous affiche vos différentes cartes réseaux avec leur adresse MAC, ce qui vous
permettra de les différencier.

Figure 16: configuration concerne l’utilisation des VLANs

La première étape de configuration concerne l’utilisation des VLANs, pour l’instant ce que
nous importe est la configuration de base de Pfsense, nous appuyons donc sur la touche “N“.

Figure 17: déterminer l’interface WAN

Nous devons ensuite déterminer quel interface est sur le côté WAN, pour cela on peut soit
saisir manuellement le nom de l’interface, soit laisser Pfsense le faire automatiquement en appuyant
sur “A“.

La détection automatique est utile dans le cas d’un ordinateur physique, car il est rarement
simple de différencier les cartes réseaux, et, l’adresse MAC n’est pas une donnée accessible
facilement. En revanche, la détection ne fonctionnera que si vos cartes sont branchées et actives.
Nous passerons pour notre part en configuration manuelle, nous entrons donc le nom de la
bonne carte à savoir pour notre cas “em0“.

Figure 18: entrer le nom de la carte réseau

Ensuite, nous faisons la même chose pour la carte réseau sur le LAN, nous entrons donc
“em1“, nous noterons la précision de Pfsense qui nous indique, que cela activera le Pare-feu et le
NAT.

Nous pouvons par la suite créer d’autres interface réseaux (DMZ, Wifi, etc.), celle-ci nécessite
bien sur une carte réseau pour chacune d’elle, nous en resterons là pour l’instant et appuierons sur
“Entrée“.

Pfsense nous résume alors l’attribution des cartes réseaux aux différentes interfaces et nous
validons avec “Y“.

Figure 19: menu de la console de Pfsense

Une fois la configuration terminée, le menu de la console de Pfsense apparaît. Celui-ci est utile
dans le cas de tâches administratives, comme l’oubli du mot de passe de l’interface web. Néanmoins la
plupart des options présentes dans ce menu sont également disponibles via l’interface web.
Figure 20 : l'interface web

Figure 21: configuration de l'interface DMZ


Figure 22 : exemple de création d'une règle du pare-feu

Figure 23 : test de la réglé sur HTTP

Figure 24 : création d'un Pool pour les serveurs web


Figure 25 : création d'un cluster web

Figure 26 : configuration de la passerelle


Figure 27 : l'ajout d'un groupe de passerelle

Figure 28 : modifier les règles par l'ajout de passerelle

Figure 29 : vérification de la répartition de charge

Figure 30 : règle pour pfsync


Figure 31: activation de la synchronisation

Figure 32 : configuration de la synchronisation

Figure 33 : test de la fonctionnalité


Figure 34: groupe de passerelle pour basculement

Figure 35: mettre une limite de 1Mbits/s

Figure 36: appliquer la limite dans les règles du pare-feu


Figure 37:test de la bande passante avant la limite

Figure 38: test de la bande passante après la limite

Figure 39: configuration de VPN LAN-to-LAN coté serveur


Figure 40: configuration de VPN LAN-to-LAN coté serveur

Figure 41: configuration de VPN LAN-to-LAN coté serveur


Figure 42: configuration de VPN LAN-to-LAN coté client

Figure 43: configuration de VPN LAN-to-LAN coté client

Figure 44: configuration de Nomade coté serveur


Figure 45: configuration de Nomade coté serveur

Figure 46: configuration de Nomade coté serveur

Figure 47: configuration de Nomade coté serveur

Figure 48 : l'installation de OpenVPN Client Export Utility


Figure 49: installation d'un client OpenVPN GUI

Figure 50: installation d'un client OpenVPN GUI

Figure 51 : la connexion est réussir


Figure 52 : configuration de SQUID

Figure 53: configuration de SQUID

Figure 54: activation de SQUIDGARD


Figure 55: configuration de SQUIDGARD

Figure 56: télécharger blackliste

Figure 57: bloquer certain catégories


Figure 58:installer HAVP

Figure 59: configurer HAVP http proxy

Figure 60: configurer l'update et logging


Figure 61: un simple test de HAVP

Figure 62: mettre des jeux de règles pour snort

Figure 63: mise à jour des jeux de règles de snort

Figure 64: une interface de snort


Figure 65: configuration les règles des catégories

Figure 66: installer bandwithD

Figure 67: configuration de bandwithD

Figure 68: table de trafic.


Figure 1: organigramme de la FSSM............................................................................................8
Figure 2 : le réseau MARWAN...................................................................................................10
Figure 3 : la topologie de la FSSM.............................................................................................10
Figure 4 : Figure illustre la zone DMZ.......................................................................................25
Figure 5 : représente la répartition de charge pour un site web..................................................27
Figure 6 : représente le basculement pour un site web................................................................27
Figure 7: représente la répartition de charge pour Multi-WAN..................................................28
Figure 8 : illustre CARP avec IP virtuel.....................................................................................30
Figure 9 : basculement dans Multi-WAN...................................................................................32
Figure 10 : illustration un VPN LAN-to-LAN............................................................................34
Figure 11: illustration un VPN Nomade.....................................................................................34
 Pfsense.org
 fr.wikipedia.org/wiki/Pfsense
 marwan.ma
 fr.wikipedia.org/wiki/R%C3%A9partition_de_charge
 fr.wikipedia.org/wiki/Basculement_%28informatique%29
 freebsd.org
 openvpn.net
 commentcamarche.net
 developpez.net

Vous aimerez peut-être aussi