• Aucun résultat trouvé

pfsense est un outil de sécurité très intéressant à étudier Hainaut Patrick

N/A
N/A
Protected

Academic year: 2022

Partager "pfsense est un outil de sécurité très intéressant à étudier Hainaut Patrick"

Copied!
19
0
0

Texte intégral

(1)pfSense Hainaut Patrick 2017. But • pfSense est un outil de sécurité très intéressant à étudier • Il est gratuit, facile à mettre en œuvre, renferme pleins de fonctionnalités, et rivalise avec des produits commerciaux professionnels. k c i tr. •. a P t fonctionnalités de cet outil Nous allons aborder ici, quelques u a n i a H ©. ©Hainaut P. 2017 - www.coursonline.be. ©Hainaut P. 2017 - www.coursonline.be. 2. 1.

(2) Introduction • pfSense est un routeur/pare-feu open source basé sur le système d'exploitation FreeBSD. k c i tr. • Il utilise le pare-feu à états Packet Filter (pare-feu officiel d'OpenBSD), des fonctions de routage et de NAT lui permettant de connecter plusieurs réseaux informatiques •. a P ut les rôles de: Il peut aussi jouer (entrea autre) in a ©H – Serveur DHCP – Serveur DNS – NAT – VPN. 3. ©Hainaut P. 2017 - www.coursonline.be. Introduction • Dans le monde open-source, il y a, en gros, deux types de firewall:. k c i tr. – Packet Filter (BSD) et son frontend pfSense. a P t u a. – NetFilter (Linux) et son interface iptables. ©. in a H. ©Hainaut P. 2017 - www.coursonline.be. ©Hainaut P. 2017 - www.coursonline.be. 4. 2.

(3) Introduction • pfSense convient pour la sécurisation d'un réseau domestique ou de petite entreprise. k c i tr. • Après une brève installation manuelle pour assigner les interfaces réseaux, il s'administre ensuite à distance depuis l'interface web et gère nativement les VLAN (802.1q) •. a P t pfSense intègre aussi un uLinux, Comme sur les distributions a gestionnaire de paquets inpour installer des fonctionnalités supplémentaires a ©H. 5. ©Hainaut P. 2017 - www.coursonline.be. Installation • Vous pouvez télécharger pfSense sur le site officiel: www.pfsense.org/download. k c i tr. • pfSense combine à la fois l’outil et l’OS, donc pas besoin d’OS hôte • •. a P t l’installerons sous VirtualBox Dans le cadre de notre labo, nous u a n i a une VM de type FreeBSD 64 bits avec 1Gb Nous créerons donc H de RAM, 6 Gb de HDD et 3 cartes réseaux (1 Bridge, 2 Internal) ©. ©Hainaut P. 2017 - www.coursonline.be. ©Hainaut P. 2017 - www.coursonline.be. 6. 3.

(4) Installation • Pour notre installation sous VirtualBox, nous choisirons une image ISO. in a H. a P t au. k c i tr. • Pour une machine dédiée, on choisira avantageusement l’image USB. ©. 7. ©Hainaut P. 2017 - www.coursonline.be. Installation • Après l’écran de bienvenue, le système démarre automatiquement l’installation. ©. in a H. ©Hainaut P. 2017 - www.coursonline.be. ©Hainaut P. 2017 - www.coursonline.be. a P t u a. k c i tr. 8. 4.

(5) Installation • On modifier le type de clavier même si cela ne change rien au niveau de la console, on reste en QUERTY … • Le reste des options peut être laissé par défaut. ©. in a H. a P t au. k c i tr. 9. ©Hainaut P. 2017 - www.coursonline.be. Première configuration • La configuration en ligne de commande se résume à assigner les interfaces • On constate, dans notre cas, que l’assignation est déjà correcte. ©. in a H. ©Hainaut P. 2017 - www.coursonline.be. ©Hainaut P. 2017 - www.coursonline.be. a P t u a. k c i tr. 10. 5.

(6) Première configuration • Dans le cas où on veut la modifier, on choisit l’option 1 dans le menu • Le système demande ensuite si on veut configurer les VLANs • On peut le faire après, donc on. Répond non (N). ©. in a H. a P t au. k c i tr. 11. ©Hainaut P. 2017 - www.coursonline.be. Première configuration • Ensuite, il faut indiquer quelle carte est l’interface WAN, quelle carte est l’interface LAN, et indiquer éventuellement d’autres cartes optionnelles. ©. in a H. ©Hainaut P. 2017 - www.coursonline.be. ©Hainaut P. 2017 - www.coursonline.be. a P t u a. k c i tr. 12. 6.

(7) Menu système • Le reste de la configuration se fait à distance via l’interface Web • Il faut revenir sur la machine seulement pour des manipulations système comme la réinitialisation du mot de passe. ©. in a H. a P t au. k c i tr. 13. ©Hainaut P. 2017 - www.coursonline.be. Accès Web • Si on tape dans un navigateur l’adresse LAN de pfsense, on arrive sur la page de connexion • Le login par défaut est admin et le mode passe pfsense. ©. in a H. ©Hainaut P. 2017 - www.coursonline.be. ©Hainaut P. 2017 - www.coursonline.be. a P t u a. k c i tr. 14. 7.

(8) Première configuration Web • A la première connexion, un assistant se lance pour la configuration initiale • Il faut indiquer le nom de la machine, le domaine, les DNS et configurer le mot de passe administrateur. ©. in a H. a P t au. k c i tr. 15. ©Hainaut P. 2017 - www.coursonline.be. Tableau de bord • Une fois cette configuration initiale terminée, on accède au tableau de bord. ©. in a H. ©Hainaut P. 2017 - www.coursonline.be. ©Hainaut P. 2017 - www.coursonline.be. a P t u a. k c i tr. 16. 8.

(9) Schéma réseau 1 • Un premier schéma réseau assez simple:. ©. in a H. a P t au. k c i tr. 17. ©Hainaut P. 2017 - www.coursonline.be. Trafic par défaut • Par défaut, pfSense bloque tout trafic initié du WAN vers le LAN et autorise tout trafic du LAN vers le WAN • pfSense active le NAT. ©. in a H. ©Hainaut P. 2017 - www.coursonline.be. ©Hainaut P. 2017 - www.coursonline.be. a P t u a. k c i tr. 18. 9.

(10) Serveur de temps • Le serveur de temps a été configuré dans la première configuration Web (0.pfsense.pool.ntp.org par défaut). k c i tr. • Il peut donc être utilisé par les clients Windows pour la synchronisation. ©. in a H. a P t au. 19. ©Hainaut P. 2017 - www.coursonline.be. Scénario 1: mise en place d’un proxy • Dans une entreprise, un établissement éducatif ou pour un hotspot wifi on placera souvent un proxy filtrant interdisant l’accès à certaines catégories de sites et/ou à des sites en particulier. a P t u a. k c i tr. • Pour l’exemple, ici, on interdira tous les sites ayant trait au sexe et on interdira l’accès à Facebook sauf de 12h à 13h. ©. in a H. ©Hainaut P. 2017 - www.coursonline.be. ©Hainaut P. 2017 - www.coursonline.be. 20. 10.

(11) Notions élémentaires sur les proxys • 1. Proxy – Un proxy ou serveur mandataire (mandatory server) est un intermédiaire, un serveur « mandaté » par une application pour faire la requête sur Internet à sa place. a P t au. k c i tr. – Au départ le proxy se justifiait parce que le réseau mandataire n’était pas forcément TCP/IP alors qu’Internet oui. ©. in a H. 21. ©Hainaut P. 2017 - www.coursonline.be. Notions élémentaires sur les proxys • 1a. cache-proxy – Et comme les débits du début étaient faibles, c’est la fonction « cache » du proxy qui a d’abord été utilisée Une page consultée par un internaute était stockée « en cache » sur un disque local et disponible immédiatement si quelqu’un redemandait cette page – Comme la plupart des sites étaient statiques, il y avait peu de chances que le contenu ait changé et cela améliorait assez bien la vitesse de consultation – Les pages étaient néanmoins rafraichies régulièrement. ©. in a H. ©Hainaut P. 2017 - www.coursonline.be. ©Hainaut P. 2017 - www.coursonline.be. a P t u a. k c i tr. 22. 11.

(12) Notions élémentaires sur les proxys • 1b. Proxy-filtre – C’est la fonction communément employée du proxy actuellement – Comme pour le cache-proxy, il sert toujours d’intermédiaire mais filtrant – On peut filtrer des sites particuliers ou des catégories de sites (via recours à des blacklists) – C’est très utile dans le milieu du travail pour éviter que les employés n’utilisent l’accès au net pour leur loisir et que la productivité de la boite soit en baisse. in a H. a P t au. k c i tr. – C’est très utile aussi pour éviter l’accès à des sites illicites car en cas de représailles des autorités, c’est le propriétaire de la connexion qui sera reconnu responsable. ©. 23. ©Hainaut P. 2017 - www.coursonline.be. Notions élémentaires sur les proxys • 1c. Proxy explicite – Pour avoir accès à Internet, les utilisateurs doivent renseigner une adresse de proxy dans leur navigateur. k c i tr. – Ils sont donc au courant de l’existence du proxy et en mesurer les conséquences comme le fait que leur historique de navigation est connu du proxy et donc de l’employeur … qui peut procéder à des analyses de fréquentation de sites comme facebook …. ©. in a H. ©Hainaut P. 2017 - www.coursonline.be. ©Hainaut P. 2017 - www.coursonline.be. a P t u a. 24. 12.

(13) Notions élémentaires sur les proxys • 1d. Proxy transparent – Le proxy transparent ne nécessite pas de configuration au niveau du poste utilisateur. k c i tr. – Il est par conséquent « transparent » pour l’internaute. a P t au. – Mais légalement, l’utilisateur doit être prévenu qu’il est soumis à un proxy et donc probablement à un controle (un peu comme pour les caméras de sécurité). ©. in a H. 25. ©Hainaut P. 2017 - www.coursonline.be. Notions élémentaires sur les proxys • 1e. HTTP et HTTPS – Pour l’HTTP, pas de soucis vu que tout passe en clair, on sait donc arrêter ce qu’on veut …. k c i tr. – On peut faire du filtrage d’url et du filtrage de contenu. a P t u a. – Mais en HTTPS, tout est crypté …. ©. in a H. ©Hainaut P. 2017 - www.coursonline.be. ©Hainaut P. 2017 - www.coursonline.be. 26. 13.

(14) Notions élémentaires sur les proxys • 1f. HTTP, HTTPS et proxy explicite – Alors, soit on utilise un proxy explicite, où on renseigne explicitement les sites qu’on veut visiter au proxy, pas de soucis, l’url est en clair et on peut faire du filtrage d’url mais pas de contenu (qui est crypté) – Si on veut filtrer le contenu, il faut décrypter l’HTTPS, et on doit donc “capturer” la requête et/ou la réponse et pour cela faire une attaque de type “man in the middle” (on crée un certificat reconnu comme autorité sur le réseau local, un CARoot maison, qui est valide pour tous les sites visités et qui intercepte et décrypte donc le flux pour l’examiner avant de reconstituer un flux crypté qui continue vers la destination prévue) – C’est une technique appelée Squid-in-the-middle ou plus généralement SSL Bump. ©. in a H. a P t au. k c i tr. 27. ©Hainaut P. 2017 - www.coursonline.be. Notions élémentaires sur les proxys • 1g. HTTP, HTTPS et proxy transparent – Si on utilise un proxy transparent, l’HTTPS ne passe par le proxy par défaut et on doit donc “capturer” la requête et pour cela utiliser le SSL Bump pour pouvoir faire un filtrage d’url (et de contenu par la même occasion). ©. in a H. ©Hainaut P. 2017 - www.coursonline.be. ©Hainaut P. 2017 - www.coursonline.be. a P t u a. k c i tr. 28. 14.

(15) Notions élémentaires sur les proxys • 1h. SSL Bump et légalité – Vous êtes tenus d’avertir vos utilisateurs que vous effectuer une interception SSL sur le réseau pour bloquer certains sites. k c i tr. – Décrypter momantanément un contenu crypté qui n’est pas sensé l’être est un fameux trou de sécurité. a P t au. – Si l’employé amène son portable au sein de l’entreprise, du contenu privé peut être analysé et là, on enfreigne la loi sur la vie privée …. in a H. – Un lien vers un très bon article sur le sujet: https://www.silicon.fr/5-questions-comprendre-dechiffrement-ssl100250.html?inf_by=59556d97681db8f17f8b45aa. ©. 29. ©Hainaut P. 2017 - www.coursonline.be. Notions élémentaires sur les proxys • 1i. proxy explicite sans configuration sur le client – C’est possible avec WAD (Web Proxy Auto Discover protocol) qui est un protocole de découverte de proxy. k c i tr. – Et donc, là pas besoin d’utiliser SSL Bump pour faire du filtrage d’url. ©. in a H. ©Hainaut P. 2017 - www.coursonline.be. ©Hainaut P. 2017 - www.coursonline.be. a P t u a. 30. 15.

(16) Notions élémentaires sur les proxys • 2. Reverse-proxy – Un reverse-proxy est un cache proxy et/ou filter proxy monté à l’envers. k c i tr. – Il sert de relais lors de l’accès par les internautes aux serveurs Web internes. a P t au. – Les serveurs Web internes sont donc protégés des attaques directes. in a H. – S’ils existent plusieurs serveurs Web au contenu identique, une répartition de charge peut être effectuée. ©. 31. ©Hainaut P. 2017 - www.coursonline.be. Scénario 1: mise en place d’un proxy • Nous allons installer ici un proxy dédié, et le rendre obligatoire (voir partie firewall). k c i tr. • Il faudra ensuite remplir la blacklist du proxy avec les sites interdits • Vous pouvez utiliser la liste suivante: www.shallalist.de/Downloads/shallalist.tar.gz • •. a P t u a Squid Comme proxy, nous utiliserons n i a H Pour gérer la blacklist, nous utiliserons SquidGuard ©. ©Hainaut P. 2017 - www.coursonline.be. ©Hainaut P. 2017 - www.coursonline.be. 32. 16.

(17) Scénario 2: mise en place d’un firewall • Soit à interdire tout accès initié de WAN vers le LAN • Soit à rendre obligatoire le passage par le proxy pour le trafic Web du LAN vers le WAN •. k c i rle WAN sauf pour une t Soit à interdire tout accès du LAN vers a série de services bien déterminés: P t u a in a ©H – – – – –. HTTP (via proxy) HTTPS (via proxy) SSH DNS PING. 33. ©Hainaut P. 2017 - www.coursonline.be. Scénario 2: mise en place d’un firewall • Pour la mise en place de ce firewall, pas besoin d’installer de service supplémentaire, ça se fait avec les éléments internes de pfSense. ©. in a H. ©Hainaut P. 2017 - www.coursonline.be. ©Hainaut P. 2017 - www.coursonline.be. a P t u a. k c i tr. 34. 17.

(18) Schéma réseau 2 • Un deuxième schéma réseau incluant une DMZ:. ©. in a H. a P t au. k c i tr. 35. ©Hainaut P. 2017 - www.coursonline.be. DMZ • La DMZ est zone démilitarisée qui constitue un sous-réseau séparé à la fois d'Internet et du réseau local. k c i tr. • On va y loger les serveurs qui doivent être accessibles d'Internet comme les serveurs Web, par exemple •. a P Si un pirate à accès au serveurt de cette zone, il n'aura pas umachines du LAN automatiquement accès aux a n i a H ©. ©Hainaut P. 2017 - www.coursonline.be. ©Hainaut P. 2017 - www.coursonline.be. 36. 18.

(19) DMZ schéma 2 • On peut aussi mettre la DMZ entre le réseau Internet et le réseau local et utiliser deux pare-feux. ©. in a H. a P t au. k c i tr. 37. ©Hainaut P. 2017 - www.coursonline.be. Conclusion • Cette introduction à pfSense permet de préssentir les différentes possibilités de cet outil. k c i tr. • Ce cours va bien sur s’étoffer au cours du temps. ©. in a H. ©Hainaut P. 2017 - www.coursonline.be. ©Hainaut P. 2017 - www.coursonline.be. a P t u a. 38. 19.

(20)

Références

Documents relatifs

Même si ce fichier est moins volumineux que celui de la section précédente, on reprend la technique du patch pour illustrer les différences entre le fichier distribué via le paquet

Par exemple, nous pouvons autoriser un accès plus ou moins restreint tous les soirs entre 18 h et 20 h dans la semaine et entre 10 h et 20 h les samedis et dimanches, et tout

Premièrement nous allons sur service puis résolveur DNS et ensuite nous allons décocher activer la résolution DNS comme ci dessous :.. Puis nous allons aller maintenant activer le

The second paper is entitled “Silo, Rainbow, and Caching Token: Schemes for Scalable, Fault Tolerant Stream Caching.” This work proposes several ways to cache different portions of

In other words, the agent cannot obtain a valid proof-carrying proxy certificate with respect to policy Pol pk u from a user that does not have access to the private key sk u , and

public Object invoke(Object proxy, Method method, Object[] args) throws Throwable{.

public Object invoke(Object proxy, Method method, Object[] args) throws Throwable{.

Following Jo- seph Vogl, these particular proxy media should be conceived as a temporary constellation, like “Galileo’s telescope, which is no longer a simple object but a