{"id":1229,"date":"2018-04-08T10:07:20","date_gmt":"2018-04-08T10:07:20","guid":{"rendered":"http:\/\/general.sio57.info\/wp\/?p=1229"},"modified":"2023-10-10T18:26:10","modified_gmt":"2023-10-10T18:26:10","slug":"firewall-basic-ipfire","status":"publish","type":"post","link":"http:\/\/general.sio57.info\/wp\/?p=1229","title":{"rendered":"Firewall basic &#8211; Ipfire"},"content":{"rendered":"<h1>Mise en \u0153uvre basic d&rsquo;IPfire<\/h1>\n<h2><a name=\"_Toc406598831\"><\/a>Objectifs<\/h2>\n<ul>\n<li>Mettre en place un firewall qui fera office de proxy web avec authentification LDAP.<\/li>\n<li>Mise en place d\u2019une redirection vers un serveur web et\/ou FTP dans la DMZ<\/li>\n<li>Pour mettre en place de la redondance avec KeepAlived\u00a0<a title=\"IpFire -redondance\" href=\"http:\/\/general.sio57.info\/wp\/?p=509\" target=\"_blank\" rel=\"noopener noreferrer\">c\u2019est l\u00e0<\/a><\/li>\n<\/ul>\n<h2><a name=\"_Toc406598832\"><\/a>Concepts d\u2019IPFIRE<\/h2>\n<p>Dans Ipfire (qui a repris le concept d\u2019IPCOP), chaque interface du firewall est repr\u00e9sent\u00e9e par une couleur.<\/p>\n<ul>\n<li>Rouge\u00a0: carte vers Internet (ici 192.168.100.0\/24)<\/li>\n<li>Vert\u00a0: carte vers le r\u00e9seau local (192.168.0.0\/24)<\/li>\n<li>Orange\u00a0: carte vers la DMZ (192.168.10.0\/29)<\/li>\n<li>Bleu\u00a0: carte pour le r\u00e9seau wifi<\/li>\n<\/ul>\n<p>Par d\u00e9faut IPFire agit comme un pare-feu et r\u00e8gle les acc\u00e8s ainsi\u00a0:<\/p>\n<p><!--more--><\/p>\n<p>Il fait proxy web, et IDS. On peut aussi lui ajouter des add-ons. L\u2019installation de base est simple, le param\u00e9trage parfois moins en fonction de l\u2019infrastructure.<\/p>\n<p>Cet article pour les param\u00e9trages de base. D&rsquo;autres sur VRRP avec IPfire, VPN, proxy et IDS sur ce site<\/p>\n<h2><a name=\"_Toc406598833\"><\/a>Mise en oeuvre<\/h2>\n<h3>Sch\u00e9ma<\/h3>\n<p><a href=\"http:\/\/general.sio57.info\/wp\/wp-content\/uploads\/2015\/02\/ipfire-esx.jpg\"><img loading=\"lazy\" decoding=\"async\" class=\"alignnone size-medium wp-image-442\" src=\"http:\/\/general.sio57.info\/wp\/wp-content\/uploads\/2015\/02\/ipfire-esx-300x101.jpg\" sizes=\"auto, (max-width: 300px) 100vw, 300px\" srcset=\"http:\/\/general.sio57.info\/wp\/wp-content\/uploads\/2015\/02\/ipfire-esx-300x101.jpg 300w, http:\/\/general.sio57.info\/wp\/wp-content\/uploads\/2015\/02\/ipfire-esx.jpg 355w\" alt=\"ipfire esx\" width=\"300\" height=\"101\" \/><\/a>\u00a0<a href=\"http:\/\/general.sio57.info\/wp\/wp-content\/uploads\/2015\/02\/sch-ipfire.jpg\"><img loading=\"lazy\" decoding=\"async\" class=\"alignnone size-medium wp-image-443\" src=\"http:\/\/general.sio57.info\/wp\/wp-content\/uploads\/2015\/02\/sch-ipfire-300x243.jpg\" sizes=\"auto, (max-width: 300px) 100vw, 300px\" srcset=\"http:\/\/general.sio57.info\/wp\/wp-content\/uploads\/2015\/02\/sch-ipfire-300x243.jpg 300w, http:\/\/general.sio57.info\/wp\/wp-content\/uploads\/2015\/02\/sch-ipfire.jpg 669w\" alt=\"sch-ipfire\" width=\"300\" height=\"243\" \/><\/a><\/p>\n<h3>Organisation<\/h3>\n<p>2 machines virtuelles minimum<\/p>\n<ol>\n<li>1 VM IP Ipfire\u00a0:<\/li>\n<\/ol>\n<ul>\n<li>Vm linux d\u00e9marr\u00e9e \u00e0 partir de Ipfire.iso<\/li>\n<\/ul>\n<p>avec 3 cartes r\u00e9seaux virtuelles (<em>Avant le d\u00e9marrage de la vm, noter les adresses Mac de chaque interface virtuelle)<\/em><\/p>\n<ul>\n<li>La carte rouge = Carte Wan:\u00a0 Internet<\/li>\n<li>La carte verte = Carte \u00ab\u00a0votre commutateur<\/li>\n<li>La carte orange = Commutateur interne \u2018DMZ\u2019.<\/li>\n<\/ul>\n<p><a href=\"http:\/\/general.sio57.info\/wp\/wp-content\/uploads\/2015\/02\/ipfire-esx.jpg\"><img loading=\"lazy\" decoding=\"async\" class=\"alignnone size-medium wp-image-442\" src=\"http:\/\/general.sio57.info\/wp\/wp-content\/uploads\/2015\/02\/ipfire-esx-300x101.jpg\" sizes=\"auto, (max-width: 300px) 100vw, 300px\" srcset=\"http:\/\/general.sio57.info\/wp\/wp-content\/uploads\/2015\/02\/ipfire-esx-300x101.jpg 300w, http:\/\/general.sio57.info\/wp\/wp-content\/uploads\/2015\/02\/ipfire-esx.jpg 355w\" alt=\"ipfire esx\" width=\"300\" height=\"101\" \/><\/a><\/p>\n<ol>\n<li>Pour le client vert\u00a0:<\/li>\n<\/ol>\n<ul>\n<li>1 carte sur le r\u00e9seau interne virtuel \u2013vert<\/li>\n<li>Syst\u00e8me client au choix\u00a0: besoin d\u2019un navigateur.<\/li>\n<\/ul>\n<ol start=\"2\">\n<li>Un serveur Web et un serveur FTP pour la DMZ<\/li>\n<\/ol>\n<ul>\n<li>1 carte sur le r\u00e9seau interne virtuel \u2013DMZ<\/li>\n<li>Adressage fixe<\/li>\n<\/ul>\n<ol start=\"3\">\n<li>Un serveur Active Directory pour la fonction proxy d\u2019authentification \u00a0(r\u00e9seau vert)<\/li>\n<\/ol>\n<p>Facultatif\u00a0: Un serveur DHCP (r\u00e9seau vert)<\/p>\n<h2><a name=\"_Toc406598835\"><\/a>Installation d\u2019IPFIRE<\/h2>\n<p>D\u00e9marrage de la vm Ipfire<\/p>\n<p>Choisir les options courantes d\u2019installation (fran\u00e7ais, clavier, etc) et les passwords \u00a0\u2013 attention au choix de clavier). La vm va red\u00e9marrer<\/p>\n<p>Les \u00e9tapes sont\u00a0:<\/p>\n<ol>\n<li>attribution des param\u00e8tres r\u00e9seau.<\/li>\n<\/ol>\n<ul>\n<li>Choix du type de r\u00e9seau\u00a0: rouge +vert + orange dans notre cas.<\/li>\n<\/ul>\n<ol start=\"2\">\n<li>Attribution des cartes<\/li>\n<\/ol>\n<ul>\n<li>Pour chaque interface s\u00e9lectionner la carte virtuelle ad\u00e9quate \u00e0 l\u2019aide de l\u2019adresse mac.<\/li>\n<\/ul>\n<ol start=\"3\">\n<li>Attribution des IP\u00a0:<\/li>\n<\/ol>\n<ul>\n<li>Carte rouge en DHCP<\/li>\n<li>Carte verte = la derni\u00e8re adresse disponible de votre r\u00e9seau<\/li>\n<li>Carte orange en 192.168.10.254\/29<\/li>\n<\/ul>\n<ol start=\"4\">\n<li>Passerelle et DNS<\/li>\n<\/ol>\n<ul>\n<li>Donner les DNS et la passerelle pour atteindre Internet.<\/li>\n<\/ul>\n<p>Si il n\u2019y pas d\u00e9j\u00e0 un serveur DHCP dans le LAN, \u00a0activer l\u2019option DHCP pour le r\u00e9seau vert (ou fixer l\u2019adresse du client).<\/p>\n<p>Plage de 192.168.0.10 \u00e0 192.168.0.20 passerelle = interface verte d\u2019ipfire<\/p>\n<p>IpFire red\u00e9marre il est fonctionnel \u00e0 ce niveau.<\/p>\n<p>Pour refaire l\u2019installation se loger en root sur Ipfire<\/p>\n<blockquote><p><strong><em>Taper\u00a0: setup pour reconfigurer\u00a0les choix de d\u00e9marrage<\/em><\/strong><\/p><\/blockquote>\n<h2><a name=\"_Toc406598836\"><\/a>Param\u00e9trage depuis l\u2019interface Web<\/h2>\n<ul>\n<li>D\u00e9marrer la vm cliente<\/li>\n<li>Elle doit r\u00e9cup\u00e9rer une adresse IP si le r\u00e9seau interne virtuel est correctement param\u00e9tr\u00e9.<\/li>\n<li>Depuis le navigateur aller \u00e0 l\u2019adresse\u00a0<a href=\"https:\/\/192.168.10.254:444\/\">https:\/\/192.168.10.254:444<\/a><\/li>\n<li>Accepter le certificat \u2013 l\u2019alerte est due \u00e0 l\u2019auto signature du certificat.<\/li>\n<\/ul>\n<p>IPfire pr\u00e9sente son interface<\/p>\n<h3><a name=\"_Toc406598838\"><\/a>Param\u00e9trer des r\u00e8gles sp\u00e9cifiques<\/h3>\n<ul>\n<li><del>Par d\u00e9faut le par feu est en mode 0.\u00a0<\/del><\/li>\n<li><del>Pour param\u00e9trer ses propres r\u00e8gles passer en mode 1.<\/del><\/li>\n<li>Depuis la version 2.15\u00a0on ajoute directement les r\u00e8gles depuis Parefeu : firewall rules<\/li>\n<li>Dans la partie Iptables on peut v\u00e9rifier le param\u00e9trage exact des r\u00e8gles.<\/li>\n<\/ul>\n<h3>Redirection de port<\/h3>\n<p>Permet de rediriger les demandes publiques vers les serveur web et FTP de la DMZ.<\/p>\n<ul>\n<li>Une demande vient de l\u2019interface rouge, (c\u2019est-\u00e0-dire n\u2019importe quelle adresse IP source puisse utiliser acc\u00e9der \u00e0 vos serveurs web).<\/li>\n<li>Le port qui est demand\u00e9 par la source est 80 pour le http, 443 pour https,21 pour ftp ou un autre port en fonction de l\u2019appli.<\/li>\n<li>La destination sera dans la DMZ, l\u2019adresse IP de la machine Web, ou FTP<\/li>\n<li>Enfin le port sera celui correspondant au protocole ad\u00e9quat.<\/li>\n<li><a href=\"http:\/\/general.sio57.info\/wp\/wp-content\/uploads\/2015\/02\/redirection-nat.jpg\"><img loading=\"lazy\" decoding=\"async\" class=\"alignnone wp-image-485\" src=\"http:\/\/general.sio57.info\/wp\/wp-content\/uploads\/2015\/02\/redirection-nat-300x192.jpg\" sizes=\"auto, (max-width: 420px) 100vw, 420px\" srcset=\"http:\/\/general.sio57.info\/wp\/wp-content\/uploads\/2015\/02\/redirection-nat-300x192.jpg 300w, http:\/\/general.sio57.info\/wp\/wp-content\/uploads\/2015\/02\/redirection-nat.jpg 650w\" alt=\"redirection nat\" width=\"420\" height=\"269\" \/><\/a><\/li>\n<\/ul>\n<h3><a name=\"_Toc406598839\"><\/a>Param\u00e9trage du Proxy<\/h3>\n","protected":false},"excerpt":{"rendered":"<p>Mise en \u0153uvre basic d&rsquo;IPfire Objectifs Mettre en place un firewall qui fera office de proxy web avec authentification LDAP. Mise en place d\u2019une redirection vers un serveur web et\/ou FTP dans la DMZ Pour mettre en place de la redondance avec KeepAlived\u00a0c\u2019est l\u00e0 Concepts d\u2019IPFIRE Dans Ipfire (qui a repris le concept d\u2019IPCOP), chaque [&hellip;]<\/p>\n","protected":false},"author":4,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[57,69,59,71,182,45,121,27,44],"tags":[63,75,64,157],"class_list":["post-1229","post","type-post","status-publish","format-standard","hentry","category-3-reseau","category-3-reseau-routeur","category-7-application","category-7-application-supervision","category-b2","category-linux","category-si2","category-sisr1","category-sisr5","tag-firewall","tag-ipfire","tag-pare-feu","tag-redirection"],"_links":{"self":[{"href":"http:\/\/general.sio57.info\/wp\/index.php?rest_route=\/wp\/v2\/posts\/1229","targetHints":{"allow":["GET"]}}],"collection":[{"href":"http:\/\/general.sio57.info\/wp\/index.php?rest_route=\/wp\/v2\/posts"}],"about":[{"href":"http:\/\/general.sio57.info\/wp\/index.php?rest_route=\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"http:\/\/general.sio57.info\/wp\/index.php?rest_route=\/wp\/v2\/users\/4"}],"replies":[{"embeddable":true,"href":"http:\/\/general.sio57.info\/wp\/index.php?rest_route=%2Fwp%2Fv2%2Fcomments&post=1229"}],"version-history":[{"count":7,"href":"http:\/\/general.sio57.info\/wp\/index.php?rest_route=\/wp\/v2\/posts\/1229\/revisions"}],"predecessor-version":[{"id":1466,"href":"http:\/\/general.sio57.info\/wp\/index.php?rest_route=\/wp\/v2\/posts\/1229\/revisions\/1466"}],"wp:attachment":[{"href":"http:\/\/general.sio57.info\/wp\/index.php?rest_route=%2Fwp%2Fv2%2Fmedia&parent=1229"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"http:\/\/general.sio57.info\/wp\/index.php?rest_route=%2Fwp%2Fv2%2Fcategories&post=1229"},{"taxonomy":"post_tag","embeddable":true,"href":"http:\/\/general.sio57.info\/wp\/index.php?rest_route=%2Fwp%2Fv2%2Ftags&post=1229"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}