Dans cette dernière partie, nous allons finaliser notre labo virtuel :
- Intégration des VM dans le réseau interne virtuel LAN
- Configuration de base de pfSense
Dans un premier temps il faut bien sûr veiller à ce que les trois machines soient démarrées.
Sur la console de la VM pfSense on voit que l’interface WAN connectée en NAT a obtenu par DHCP une adresse IPv4 fournie par VirtualBox, et que l’adresse IP sur la « patte » LAN est 192.168.1.1/24 :
La VM Debian GUI est connectée en NAT, son interface réseau a donc elle aussi obtenu par DHCP une adresse IPv4 depuis VirtualBox. On peut démarrer un terminal, et vérifier l’IP obtenue :
$ ip -c a
Cette commande nous donne (en couleur grâce à l’option -c) les adresses IP de chaque interface réseau du système.
Connexion de DebianGUI au réseau LAN
Cette opération peut se faire « sous tension », comme on le ferait avec une machine réelle, en reconnectant le câble réseau. Depuis la configuration de la VM, on connecte l’interface réseau au réseau interne LAN :
Il faut maintenant renouveler le bail DHCP de la VM GUI, en deux temps. D’abord on redémarre le service réseau :
$ sudo systemctl restart networkingPuis on demande un nouveau bail :
$ sudo dhclient
NB : on aurait pu aussi simplement redémarrer la VM.
Désormais notre DebianGUI est sur le réseau LAN et a obtenu une IPv4 depuis pfSense.
Configuration de pfSense par WebAdmin
On peut maintenant utiliser le navigateur WEB pour procéder à la configuration initiale de pfSense, à l’adresse https://192.168.1.1 :
Comme nous utilisons une IP privée locale comme adresse source HTTP, on a bien sûr l’avertissement habituel sur les risques d’un certificat auto-signé. Nous acceptons ce « risque », et nous voilà sur la page de connexion à pfSense :
L’assistant d’installation initiale (Wizard)
Au premier lancement, le « wizard » de configuration apparaît (il est également possible de l’appeler plus tard depuis le menu system) :
Nous allons donc procéder à la configuration initiale élémentaire de pfSense, qui sera notamment très permissive au niveau du pare-feu (par défaut).
Le bouton « next » nous amène à la suite :
Netgate, l’éditeur, propose de considérer la souscription au support avancé pour pfSense. On laisse ensuite le hostname et le domaine proposés, et on fixe les serveurs DNS que nous souhaitons utiliser :
Attention, selon votre environnement, il est possible que ces DNS vous soient imposés ; il convient de saisir ici les valeurs adéquates. Par défaut, nous pouvons prendre les DNS de CloudFlare (1.1.1.1 et 1.0.0.1). Il faut décocher l’option « override » pour que nos choix DNS ne soient pas remplacés par ceux fournis par le WAN (par DHCP).
On définit ensuite le serveur NTP principal que va utiliser pfSense, ainsi que la timezone de notre système. On prend ici des réglages adaptés à la France.
L’étape suivante concerne le paramétrage de l’interface WAN ; celle-ci utilise DHCP pour sa configuration.
Sur cette page on veillera aussi à désactiver le blocage des flux RFC1918 (plages d’adresses IP privées) arrivant sur le WAN ; en effet ce genre de situation peut se produire, et d’ailleurs dans le cas présent l’interface WAN est sur un réseau privé.
On peut également débloquer les réseaux Bogon notamment si on est amené à utiliser des plages IP réservées à des usages de test (comme celles de la RFC5737), ou plus généralement si on veut lever toute restriction initiale sur le pare-feu.
L’étape suivante consiste à renseigner (confirmer) l’adresse IP de pfSense sur le réseau LAN. Laissons ce réglage intact :
Enfin, il convient de personnaliser le mot de passe associé à l’utilisateur admin. En réalité, les bonnes pratiques de sécurité obligent même à désactiver ce compte et à en créer un autre ; nous ferons cela un peu plus loin. Pour le moment, limitons-nous à modifier ce mot de passe.
Il ne reste plus qu’à recharger le système avec cette nouvelle configuration.
Et voilà ! le système est (presque) configuré, on clique sur « finish ».
L’affichage de ce « placard » informatif est notamment le signe que le système accède à Internet. On est invité à accepter les conditions, puis encore une invitation à participer à l’amélioration du système, et on arrive sur le dashboard par défaut :
Personnalisation du tableau de bord
Le tableau de bord peut afficher des informations plus pertinentes que les informations relatives à Netgate (dont vous pouvez prendre connaissance malgré tout !).
Utiliser les croix en haut à droite de chaque élément du dashboard, puis l’option + pour en ajouter, comme celui qui permet de visualiser l’état des passerelles (gateways) ou l’activité sur les interfaces (traffic graph) :
Voici un dashboard plus informatif. Il est possible de déplacer les éléments, il ne faut pas oublier alors d’enregistrer cette disposition avec l’icône « disquette » en haut à droite.
Configuration complémentaire
Il convient de réaliser quelques opérations supplémentaires pour finaliser la configuration initiale.
Activer le chiffrement matériel avec AES-NI
La plupart des CPU actuels disposent d’un jeu d’instructions AES-NI pour le chiffrement symétrique, lequel est notamment utilisé lors de connexions VPN. Par principe, on l’active d’emblée sur une nouvelle instance pfSense. On vérifie d’abord que l’option est disponible, depuis le dashboard > system information > CPU Type > AES-NI > Yes (inactive)
Si c’est “Yes” (comme sur la capture ci-dessus), on l’active :
Menu system > advanced > Miscellaneous > Cryptographic & thermal sensor :
On active AES-NI, et on clique sur « save » en bas de page.
Désormais, la mention « active » est présente sur le dashboard dans la section CPU > AES-NI.
Désactivation de l’admin par défaut
On va créer un utilisateur administrateur et désactiver le compte admin par défaut. Menu system > user manager > users > add :
Créer l’utilisateur (username et mot de passe au moins) et l’ajouter au groupe admins :
Puis sauvegarder.
Se déconnecter de l’admin actuel (icone en haut à droite de la page), puis se reconnecter avec ce nouvel utilisateur.
Désactiver maintenant l’utilisateur admin standard :
Sauvegarder.
Désactivation d’IPv6 sur le WAN
Notre interface WAN ne dispose que d’une IPv4 ; pour plus de clarté, on va désactiver la gestion de l’IPv6 sur cette interface.
Menu interfaces > WAN
Sauvegarder et appliquer les changements.
Désactivation du DNS resolver
De nombreux services sont activés sur pfSense pour assurer la gestion du réseau (DHCP, NTP, DNS, FIREWALL, …). Pour alléger le fonctionnement du DNS, qui est la source de bien des soucis (« it’s always DNS ! »), on va désactiver le serveur DNS intégré (résolveur). Les requêtes DNS seront gérées directement par les serveurs externes prédéfinis plus haut.
Menu Services > DNS resolver
Sauvegarder et appliquer les changements.
Tout ceci n’est peut-être pas exhaustif ou parfait, mais c’est basé sur l’expérience, et le fait qu’on soit sur un labo. Par exemple, sur un pfSense en production, on pourra notamment protéger le menu de la console par un mot de passe (menu system > advanced > admin access) :
Afin de propager les réglages DNS notamment, il convient de redémarrer la VM Debian_GUI
Connexion de Debian serveur dans le LAN
Il faut également redémarrer la Debian Core, après l’avoir elle aussi reconnectée sur le réseau interne LAN.
Contrôle final
Maintenant, les machines accèdent à internet via pfSense.
On récupère l’IP de la VM Debian Core avec la commande ip -c a ; ici 192.168.1.104. On peut constater qu’elle est joignable depuis la machine GUI :
L’adresse IP de DebianGUI est 192.168.1.103 ; les ping vers 192.168.1.104 fonctionnent.
Tout est en place ! Notre labo est fin prêt pour ses premières expériences. Je vous recommande de faire un cliché instantané (snapshot) de chacune des VM à ce stade.
