Salut à tous c'est Florian d'IT-Connect, aujourd'hui nous allons apprendre à créer
un lab avec VMware Workstation Pro, un lab constitué à la fois d'un pare-feu PFSense
et d'un ensemble de machines virtuelles, notamment un poste client qui sera dans un réseau LAN et
un serveur web qui sera dans une DMZ, donc sur notre PFSense nous aurons trois réseaux à déclarer
Autant vous dire qu'on a quand même pas mal de configurations à mettre en place pour déployer
les machines virtuelles, pour ensuite les configurer et donc atteindre notre objectif
Donc on va faire tout ça pas à pas progressivement et j'essaierai de vous fournir un maximum
d'informations pour que vous puissiez bien comprendre ce que vous faites et surtout
pourquoi on le fait et aussi pour que vous puissiez bien reproduire ça chez vous
Alors on va commencer par une présentation du lab à travers d'un schéma et puis après
nous allons dérouler les étapes petit à petit pour atteindre notre objectif final
Avant de regarder la suite de la vidéo, deux choses. Première chose, je tiens à remercier Clément Auronier qui est à l'origine de l'article sur
ITConnect, qui est l'équivalent de cette vidéo, donc merci à lui pour sa contribution
Et puis la deuxième chose, comme d'habitude je vous encourage à vous abonner à la chaîne
YouTube ITConnect si ce n'est pas encore fait. Commençons par une présentation de notre lab au travers de ce schéma
Nous allons avoir comme élément central notre VM PFCense, une VM qui aura trois cartes
réseau virtuelles, deux cartes réseau en mode LAN segment, qui sont des réseaux virtuels isolés
Donc on aura un réseau virtuel isolé pour le LAN qui est ici, un réseau virtuel isol�
pour la DMZ qui est ici et ensuite le WAN, ce sera une carte réseau virtuel en mode
bridge, ce qui permettra d'avoir une interface WAN internet qui va récupérer une adresse IP
vis-à-vis du réseau local sur lequel est connecté votre poste physique. En l'occurrence ici, c'est sur mon PC à la maison, donc mon interface WAN de PFCense
va récupérer une adresse IP via mon routeur qui fait office de serveur DHCP
Donc j'aurai une interface WAN avec une adresse IP en 192.168.1.... quelque chose comme nous le verrons après
Actuellement j'ai déjà installé un PC Windows 11 ici, donc il faudra simplement le connecter dans le LAN
J'ai également déployé une VM en Windows Server 2022 qui fera office de serveur web
et nous verrons donc comment installer le rôle 2IS pour monter simplement un petit serveur web
Et ce serveur web sera positionné en DMZ puisque notre objectif c'est qu'on puisse accéder à ce
site web depuis internet, donc on le met dans une zone démilitarisée
Si ce principe est un petit peu confus pour vous, sachez que j'avais fait une vidéo dédiée à la notion de DMZ
donc ça vous permettra d'en savoir un petit peu plus sur ce concept là
Voilà pour ce que nous allons mettre en place aujourd'hui. Sans plus attendre, nous allons passer à la première étape qui va être la création de la machine virtuelle PFCense
Je suis connecté sur une machine où j'ai installé le VMware Workstation Pro
et je vais me rendre sur le site officiel de PFCense de manière à télécharger l'image ISO
qui est actuellement la version 2.7.2. Je télécharge l'image ISO, simplement je clique sur Download
et je vais obtenir une archive .gz qui va contenir le fichier ISO en lui-même
Quelques secondes suffisent pour télécharger cette image ISO de 548Mb et une fois que c'est fait, on va donc extraire le contenu de cette archive
avec un logiciel comme 7zip par exemple. On ouvre le fichier et on va extraire le contenu, par exemple dans Download
et après il faudra aller chercher cette image ISO au niveau de la machine virtuelle
En parlant de machine virtuelle, je bascule dans VMware Workstation afin de créer une nouvelle machine virtuelle
On va lancer l'assistant, on va se mettre en mode typique, on va faire Next
Là on va aller chercher notre image ISO, en l'occurrence celle-ci. On va faire Ouvrir, comme ça on charge l'image ISO de PFSense
On voit qu'il a détecté que c'était du FreeBSD version 10 au niveau de cette image ISO
On va faire Next. Au niveau du nom, on va mettre PFSense, comme ceci
On peut éventuellement changer l'emplacement de la machine virtuelle. On va faire Next
Au niveau de l'espace disque, 20Go pour faire un petit lab, comme ça ce sera suffisant
On va faire Next et on ne va pas démarrer la machine tout de suite puisqu'on va cliquer sur Finish et on va venir éditer les propriétés de cette machine-là
Je vais la positionner dans mon dossier Lab PFSense où j'ai également mes deux autres machines, mon serveur web et mon client
Je vais éditer cette machine virtuelle. Pourquoi je vais l'éditer ? Je vais déjà lui mettre un peu plus de RAM, on va lui mettre 2Go de RAM par exemple
Et on va peut-être lui mettre un deuxième cœur au niveau du CPU
Ensuite ce qui va m'intéresser c'est la partie Network Adapter. Je vous ai dit en introduction qu'il nous fallait trois cartes réseau, ici j'en ai qu'une
Je vais déjà commencer par en rajouter une autre. Je vais faire Finish et encore une autre
Donc voilà, Network Adapter, Finish. J'ai maintenant trois cartes. Je vais utiliser la première carte pour la partie One
Je vais mettre en mode Pond, je vais mettre ici Bridge et je vais cocher cette option pour que ça se connecte
vis-à-vis de la carte qui est connectée au niveau de mon ordinateur physique
Ensuite, la deuxième interface, je vais la passer en LAN Segments. Et le LAN Segments qui est ici, je vais cliquer sur le bouton LAN Segments
parce que je vais devoir créer un nouveau LAN Segments qui sera en fait un réseau virtuel isolé
Je vais l'appeler LAN celui-ci puisqu'il sera pour mon réseau local virtuel
Je fais OK, je vais donc ensuite le sélectionner ici dans la liste
et passer sur la troisième carte réseau. Je vais retourner encore sur LAN Segments
sauf que cette fois-ci je vais créer un deuxième LAN Segments qui s'appellera DMZ
Et je vais choisir DMZ. J'ai bien configuré mes trois cartes réseau
ils sont bien affectés à trois réseaux virtuels différents. Donc ça c'est plutôt intéressant parce que c'est vraiment ce qu'on voulait
Il faut savoir qu'ici au niveau des cartes LAN et DMZ, nous aurions pu faire autrement
Au lieu de prendre du LAN Segments, on aurait pu prendre ici Custom
et choisir l'un des VMnets disponibles pour l'attribuer au cas d'usage que l'on avait imaginé aujourd'hui
Une fois que c'est fait, on va faire OK et nous allons pouvoir démarrer la machine virtuelle
afin de procéder à l'installation de PFCens. Voilà, nous allons faire l'installation de PFCens
on va laisser charger l'image ISO tranquillement et après nous allons avoir un assistant qui va nous permettre
de réaliser l'installation assez facilement. On va accepter les conditions d'utilisation et on va prendre ici, avec les touches directionnelles du clavier
on se met sur Install et on appuie sur Entrée. On va laisser le partitionnement en ZFS
on laisse Auto ZFS, on appuie sur Entrée et là on va procéder à l'installation
On va faire Entrée une nouvelle fois, on va le laisser sans redondance au niveau du disque
puisque là on est sur une VM avec un seul disque, ce serait différent si on faisait une installation
sur une machine physique où on pourrait chercher à mettre en place du RAID pour sécuriser le système d'exploitation
On fait simplement Enter une nouvelle fois, avec espace, on sélectionne notre disque
c'est bien le disque virtuel de la machine virtuelle et on fait OK
Là on valide puisqu'il nous dit qu'on va écraser toutes les données de ce disque
Nous c'est ce que l'on souhaite, on fait Yes. Il va procéder maintenant à l'installation de PFCens
sur le disque virtuel au format VMDK de cette machine virtuelle. On va patienter quelques secondes
Une fois que c'est fait, nous allons appuyer sur Entrée pour redémarrer la VM
Suite au redémarrage, notre PFCens sera installé et nous pourrons commencer à l'utiliser
On voit que c'est très rapide et très simple à installer. Ensuite c'est toute la configuration qu'on va faire derrière
qui fera la différence. Voilà, PFCens est démarré, nous avons déjà deux informations super intéressantes
c'est qu'au niveau du WAN, nous avons ici une adresse IP qui a été attribuée en .1.60
donc via DHCP comme on peut le voir. Et au niveau du LAN, on voit que par défaut
il est aussi en 192.168.1.1. Nous allons remédier à ça puisque notre objectif
par rapport à notre schéma initial, c'est que le LAN soit en 192.168.100.1
pour l'interface du PFCens. Ce que l'on va faire ici, c'est se positionner
au niveau de Enter an Option et on va faire 2 pour choisir l'option
pour définir une adresse IP sur une interface. Donc là, quelle interface souhaitez-vous modifier
Nous, ce sera l'interface 2 puisqu'on va s'intéresser au LAN. Donc voulez-vous configurer l'interface par DHCP
On va faire Non, Enter. Donc là, on doit mettre la nouvelle adresse IP
de l'interface LAN comme ceci. On fait Enter, donc là c'est le MAST
donc ce sera 24. Voilà, on fait Enter. Et là, quelle sera la passerelle
Il n'y a pas forcément de passerelle puisque ce sera le WAN
qui servira de passerelle pour aller sur Internet. Donc là, on fait simplement Enter. Voulez-vous configurer une adresse IP V6
On va faire Non. Voulez-vous activer le serveur DHCP sur le LAN
On pourra peut-être éventuellement le faire plutôt en interface web de PFCens
Et voulez-vous configurer HTTP ? Donc non, on va laisser en HTTPS
Donc là, on nous dit quoi ? Que pour accéder à l'interface de gestion de PFCens
il faut accéder à l'URL HTTPS. L'adresse IP de notre interface LAN
Et comme ça, on va pouvoir administrer le PFCens. Donc là, on va faire Enter
Maintenant qu'on en est arrivé là, on va pouvoir prendre le PC client
pour se connecter à notre PFCens et poursuivre la configuration, notamment déclarer notre DMZ
puisqu'on peut voir que pour l'instant, nous avons seulement le WAN et le LAN
Comment démarrer le PFCens ? Ce que l'on va devoir faire, c'est démarrer le poste client qui est ici
Mais on va devoir modifier sa configuration puisque finalement, au niveau du network adapter
il est en NAT. Nous, ce que l'on souhaite, c'est qu'il soit connecté dans le LAN virtuel du PFCens
Donc ici, on va prendre le LAN segment et on va prendre LAN. Comme ça, il sera bien positionn�
dans la zone réseau local, donc 192.168.100.x-24 de notre LAB virtuel. Donc on va ensuite démarrer la VM
et on va pouvoir accéder à l'interface de notre PFCens. Mais il faudra quand même configurer
une adresse IP statique sur la carte réseau puisque nous avons fait le choix, il y a quelques instants
de ne pas configurer le serveur DHCP sur le LAN. Donc sur la machine Windows 11
je me suis rendu dans les paramètres de gestion de la carte réseau, le classique sous Windows
Dans la partie IPv4, j'ai défini une adresse IP. Donc j'ai pris le 100.2
et on passerait le par défaut, on met bien le 100.1 puisque l'on veut passer par notre PFCens
pour accéder à d'autres réseaux. Notamment à la partie Internet. Et ici, on choisit le ou les serveurs DNS
de notre choix. Même si on pourrait aussi utiliser le PFCens en tant que résolveur DNS
Donc là, on va faire OK. Voilà, on va valider. Et à partir d'un navigateur
je devrais en principe pouvoir accéder à l'interface d'administration de PFCens. Donc dans la barre d'adresse du navigateur
je mets bien l'adresse IP comme ceci. Et voilà, donc là on me dit votre connexion n'est pas privée
ce qui est logique, il n'y a pas de certificat, c'est un certificat autosigné
Et ensuite, il faut s'authentifier. Par défaut, c'est admin et le mot de passe PFCens
Voilà, welcome to PFCens. Donc on arrive sur l'assistant de configuration initiale
pour faire nos premiers pas avec l'interface de PFCens. Donc là, on va faire Next
Et on va se laisser guider un petit peu pour voir qu'est-ce que l'on peut faire
comme paramètres de base. Nous pouvons définir le nom d'hôte, le domaine de recherche
le serveur DNS primaire. On va pouvoir mettre par exemple ceci, DNS secondaire
Et on va faire Next. Donc là, c'est la partie serveur de temps
très important pour tout ce qui va être log. On peut se mettre ici
sur le fuseau horaire de Paris que l'on va pouvoir retrouver dans la liste. Et on pourrait aussi définir
un serveur de temps particulier, celui de notre choix. On va faire Next
En tout cas, c'est important pour les logs. Là, on a la configuration de l'interface 1
Eh bien, nous, c'est déjà configuré, en fait, comme nous avons pu le voir. Nous n'avons pas besoin de nous authentifier
auprès d'un opérateur d'accès Internet, puisque on s'appuie sur la box de notre réseau local
Donc, on va faire Next une nouvelle fois. Là, on a la possibilité de configurer l'interface LAN
On voit qu'on retrouve bien les informations que l'on a saisies tout à l'heure dans la console
On n'a pas besoin d'y toucher. On va faire Next une nouvelle fois. Là, on doit définir le mot de passe
administrateur d'accès à PFCens. On a vu que tout à l'heure, on s'est connecté avec admin et le mot de passe
Le mot de passe PFCens, ce sont des informations par défaut qu'il est impératif de modifier
Donc, on va venir mettre un mot de passe robuste. Et même moi, ce que je vous recommande
c'est après de créer un nouveau compte admin avec un nom personnalis�
et de désactiver le compte d'origine, ce qui permettra d'avoir un compte
non seulement qui a un identifiant qui n'est pas commun, mais en plus, qui a un mot de passe robuste
Alors que si vous continuez à utiliser ce compte-là, on sait que tous les PFCens de base ont un compte admin
Donc, il est préférable de ne pas l'utiliser et de le désactiver
Ensuite, nous faisons Next. On nous dit qu'il faut recharger la configuration
On fait Reload et on patiente un petit instant. La mise en route est terminée
On va cliquer sur Finish et nous allons avoir accès à l'interface de notre PFCen
Nous avons bien accès à PFCen. Donc là, c'est le tableau de bord classique
Nous avons ici quelque chose d'intéressant. C'est la vérification. Ici, on a des mises à jour qui sont disponibles
Nous avons aussi des informations sur le matériel, sur l'utilisation du CPU, de la RAM, du disque, etc
Et sur la droite, ici, nous avons la partie interface réseau. Pour poursuivre un petit peu la présentation globale de PFCen
dans la partie système, on va retrouver notamment la gestion des comptes utilisateurs
la partie Package Manager, puisqu'on peut installer des paquets additionnels sur PFCen
pour lui ajouter des fonctionnalités. Je pense notamment à la partie Achat Proxy
Par exemple, si on veut mettre en place un reverse proxy sur PFCen
on a la partie gestion des certificats également et tous les paramètres avancés du système
La partie interface qui va nous permettre de déclarer la DMZ, le firewall pour tout ce qui va t'être gestion des flux réseau
notamment les règles de filtrage entre le LAN et la DMZ, par exemple, ou entre le WAN et le LAN
le LAN et le WAN, et la partie NAT pour nous permettre d'accéder
à Internet depuis notre LAN et notre DMZ, mais aussi pour faire des redirections de port
pour accéder depuis l'extérieur à un service. La partie Service qui permet de gérer tous les services disponibles sur PFCen
notamment la partie DHCP Server si on souhaite mettre en place un serveur DHCP pour le réseau LAN
La partie VPN pour les accès VPN, notamment en OpenVPN. Tout ce qui est statut
c'est pour savoir un petit peu plus sur l'état des différents services du PFCen
La partie Diagnostics va donner d'autres informations et également l'accès à quelques outils
comme le DNS Lookup, la partie Ping, la possibilité de rebooter le PFCen, etc
Et on a enfin le menu Help qui intègre différents raccourcis, notamment vers la documentation
On va maintenant s'intéresser à la partie Interface et on va faire Assignments
Notre objectif ici, c'est d'assigner la troisième interface réseau qui est là
On voit qu'elle est considérée comme disponible de manière à l'attribuer à une DMZ
On va tout simplement cliquer sur Add et on voit qu'elle a été ajoutée en tant qu'interface dans notre PFCen
On va cliquer dessus puisque l'objectif est de l'activer et aussi de lui donner un nom
On va l'appeler DMZ, comme ça ce sera tout à fait parlant et précis au niveau de l'interface
On saura que cette interface est de la DMZ. Configuration de l'adresse IP V4
On va passer en adresse IP statique et on va définir l'adresse IP 192.168.200.1
conformément à notre schéma. On met l'adresse IP ici, on choisit le masque
on peut se mettre en Slash24, c'est de la DMZ donc on pourrait prendre aussi un masque un peu plus restreint
pour avoir quelques adresses IP en fonction de nos besoins. Là c'est un lab, on va rester dans quelque chose de simple
Sachez qu'ici on pourrait restreindre pour limiter le nombre d'adresses dans la DMZ
Et nous allons cliquer sur Save. On va appliquer les changements, ce qui fait que désormais j'ai trois interfaces
et si je clique sur le logo PFCens pour revenir à l'accueil, j'ai également ici mes trois interfaces
et on peut voir que les trois interfaces sont actives. À partir de maintenant
mon PFCens a bien trois cartes réseau actives, une pour le WAN, une pour le LAN, une pour la DMZ
donc on se rapproche progressivement de notre objectif final. Nous allons maintenant nous intéresser à la partie NAT
Ici on a toute la partie Port Forward que l'on pourra mettre en place pour que notre serveur web soit accessible depuis l'extérieur
On ne fera pas la partie Reverse Proxy aujourd'hui, on fera quelque chose de plus simple
Et on a la partie Outbound qui permet d'avoir des informations sur le NAT
puisque ma machine est ici, si je vais sur google.fr, je dois avoir accès à internet, c'est bien le cas
J'ai accès à internet, pourquoi ? Parce qu'ici dans la partie NAT
je suis en mode automatique. Cela veut dire quoi ? Cela veut dire que mon PFCens crée des règles de NAT automatiquement par rapport à mes réseaux
On voit ici que pour 192.168.100.0 et 200.0, mes réseaux LAN et DMZ
il a créé des règles de NAT, ce qui permet à ces réseaux nativement d'accéder à internet
Je pourrais passer en mode manuel pour faire du NAT sur mesure
et ne pas utiliser ce mode automatique. Mais en tout cas, c'est grâce à cette configuration-l�
que j'ai accès à internet depuis mon PC Windows 11 sans avoir fait de configuration de NAT manuellement
Maintenant, nous allons passer à la configuration du serveur web, et on va notamment le connecter à la DMZ
Nous verrons comment installer le serveur web 2.0 IS sur le Windows Server 2022
Après, nous allons venir jouer sur les règles de pare-feu de PFCens de manière à contrôler les flux entre la DMZ et le LAN
Si on va ici dans Firewall et RULES, nous pouvons voir les règles de pare-feu sur chaque interface
On a ici la partie LAN. On voit que la partie LAN, par défaut
on autorise tous les flux, c'est-à-dire que je peux accéder à tous les réseaux
je peux accéder à internet, à la DMZ sans limitation. Et on a ici une règle importante, la toute première, l'anti-lockout
C'est une règle qui va empêcher que je me bloque l'accès à l'interface de PFCens
puisque si on perd la main sur l'interface d'administration du PFCens, ce sera problématique
Dans la partie DMZ, je n'ai aucune règle, puisque c'est une interface que j'ai rajoutée
Donc, ce sera à moi de venir ajouter des autorisations, notamment pour aller sur internet, pour aller vers le LAN, etc
Donc, c'est ce que l'on va voir. Tout d'abord, pour commencer, on va s'intéresser à notre serveur
notre futur serveur web. On va l'éditer, et sur le même principe qu'on l'a fait tout à l'heure avec le poste client
on va le connecter sur un LAN segment. Sauf que cette fois-ci, on va le connecter sur le LAN segment DMZ
comme ça, il sera bien isolé de notre poste client. On va donc démarrer ce serveur, on va le laisser démarrer tranquillement
et on va lui attribuer une adresse IP dans la DMZ. Le serveur web est démarré, j'ai pris un peu d'avance
je suis allé dans les paramètres de la carte réseau, de manière à lui attribuer une adresse IP statique
donc ici, en 200.2, puisqu'on est bien sur le réseau DMZ. Et la passerelle, c'est le 200.1
puisque c'est l'interface de mon PFSense qui est dans la DMZ. Je vais valider, je vais faire OK, voilà
Je vais fermer ça, et maintenant que mon serveur est connecté au réseau
je vais lui installer le rôle de ZIS. Donc ici, on va lancer l'assistant classique sur Windows Server
pour installer un rôle ou une fonctionnalité. On va faire « Suivant », « Suivant »
et dans la partie « Rôles », on va choisir « Server Web » de ZIS
On va faire « Ajouter des fonctionnalités pour avoir la console de gestion du serveur web »
On fait « Suivant », on continue, et on va voir qu'on va pouvoir choisir au niveau de ZIS
ce qu'on souhaite installer ou non en termes de service de rôle
Puisque ZIS, c'est un rôle assez vaste, on peut même faire du serveur FTP avec
Après, en fonction du type d'application que l'on souhaite déployer, on va activer ou non certaines fonctionnalités
Ici, on va rester sur les fonctionnalités de base de manière à pouvoir héberger simplement une page web
On va faire ensuite « Installer », et nous allons patienter quelques secondes pendant l'installation du rôle
Voilà, l'installation est terminée, on fait « Fermer ». Ce qui signifie que si je lance un navigateur
que j'accède à l'adresse 127.0.0.1, qui est mon adresse locale, je vais pouvoir accéder à la page par défaut de ZIS
Donc 127.0.0.1, je fais « Entrée ». J'ai bien accès à la page par défaut de ZIS
Sachez que ZIS est donné par défaut dans ces deux points, dans « Inetpub » ici, « 3Wroute »
et la page qui s'affiche derrière ici, c'est ce fichier-là, donc le « iisstart »
Et ici, l'image qui est affichée par défaut. On a ensuite une console dédiée pour ZIS
le gestionnaire des services Internet, avec un site par défaut, au même titre qu'un serveur web à page est livré qu'un site par défaut
et bien ici nous avons le « Default Website ». Et nous allons pouvoir, de ce « Default Website »
si on regarde dans « Modifier les liaisons », nous pouvons voir que par défaut, il est accessible uniquement en HTTP
Donc quand on va le passer en HTTPS, si on veut vraiment aller plus loin, on viendra ici ajouter une liaison en HTTPS
et on sélectionnera un certifique. Et si je refais un clic droit ici, je clique sur « Explorer »
on voit qu'il me redirige bien vers ce dossier-là, ce qui montre bien que la racine de ce site
c'est bien le dossier en question. Donc notre objectif maintenant, ça va être à partir ici du PC
du PC du poste de travail, c'est de pouvoir accéder au site web
Mais on va aussi chercher à accéder au site web après depuis Internet, donc depuis quelqu'un qui se positionne au niveau du WAN
Ce que je vais faire, c'est « 192.168.200.2 ». On voit que j'ai bien accès à mon serveur, ici « 2IS »
parce que dans « PFSense », au niveau des règles dans LAN
je peux accéder depuis mon LAN à tous les réseaux, donc je peux accéder à ma DMZ
L'objectif Moi, ce que je souhaite, c'est qu'entre le LAN et la DMZ
il soit uniquement question de port 80 de HTTP, parce que pour l'instant, c'est le protocole utilisé par mon site
Je ne veux pas que du LAN, on puisse aller dans la DMZ sur tous les protocoles
Donc ce que l'on va faire, ce n'est pas modifier ces règles-là, c'est en ajouter une nouvelle
on va ajouter une règle de niveau supérieur, où on va dire qu'on veut bloquer tous les paquets en N.I
Donc la source sera le LAN sumnet à destination de notre DMZ
On veut bloquer les flux entre le LAN et la DMZ par défaut
Voilà, on va faire « Save ». À partir de là, je vais appliquer les changements
si j'essaie d'accéder à mon site web, je ne vais pas pouvoir
Le flux est désormais bloqué. Par contre, je voudrais quand même pouvoir accéder
à mon serveur web depuis le LAN, donc je vais quand même recréer une autre règle
qui dit que quand la source est le LAN sumnet, la destination, pour le coup, ce sera l'adresse IP de mon serveur web
Je ne suis pas obligé de mettre toute la DMZ, je peux mettre l'adresse IP du serveur puisque je la connais
Quand c'est du HTTP sur le port 80, j'autorise. Donc « Autoriser l'accès au serveur web depuis le LAN sur le port 80 HTTP »
Et on fait « Save ». Et donc là, on va appliquer le changement
et on va pouvoir relancer. Voilà, et on voit que d'ailleurs, il a déjà réussi à accéder
Après, ce qui va être important ici, c'est l'ordre des règles pour que ce flux soit autorisé
et qu'ensuite, on va bloquer tout le reste. Ce qui veut dire ici que je ne peux pas faire de ping
vers mon serveur web puisque le flux est bloqué par rapport aux règles que j'ai mises en place actuellement
Donc si je fais un ping sur le serveur web, ça ne fonctionne pas
On voit qu'on va avoir un délai d'attente de la demande dépassé. Voici une première partie des règles
ce qui me permet d'avoir accès à Internet. J'ai bien accès à Internet, par contre, quand je voulais dans la DMZ, c'est limité
Actuellement, je n'ai pas de règles dans la DMZ, ce qui veut dire que mon serveur, qui est ici
n'a pas du tout accès à Internet. Il ne peut pas aller sur Google, donc ça peut être problématique forcément
Donc ici, ce qu'on va devoir faire, c'est créer un ensemble de règles. Sauf que nous, on ne veut pas qu'il puisse communiquer avec le LAN n'importe comment
et on veut qu'il puisse aller sur le web, mais de manière raisonnée, c'est-à-dire, on va autoriser HTTP, HTTPS et le DNS
Donc on va devoir créer au total 4 règles pour atteindre cet objectif
Déjà, on va créer une règle sur l'interface DMZ pour bloquer tous les flux à destination du LAN
On va mettre en tout protocole, la source sera DMZ, sumnet vers le LAN sumnet
bloquer le flux vers le LAN, on fait sauvegarder, et on applique ces premiers changements
Ce qui ne m'empêche pas, en principe, à partir de mon PC, de pouvoir accéder..
J'ai quand même accès au serveur web, malgré la présence de cette règle-là
quand le flux provient du LAN, ça fonctionnera. Ensuite, je vais créer d'autres règles en dessous
pour autoriser le serveur, en tout cas la DMZ, à accéder à Internet
Je vais mettre en source, ici, DMZ subnet, en IPv4 TCP, la destination sera NI
le port, HTTP, je sauvegarde, et je peux ensuite cliquer sur le bouton pour dupliquer la règle
Je vais simplement, à chaque fois, modifier le protocole. Ici, je vais passer en HTTPS, sauvegarder
et je vais en faire une dernière pour le DNS, pour la résolution des noms
Sauf qu'ici, je vais passer en TCP UDP pour la partie DNS
et je vais prendre le DNS dans la liste, voilà, DNS ici
et je sauvegarde. Je me retrouve ensuite avec cet ensemble de règles que je vais appliquer
ce qui va me permettre, en principe, d'avoir accès à Internet depuis le serveur web
On voit que maintenant, ce serveur a bien accès, mais il a un accès limité au web
donc il a trois protocoles qu'il peut utiliser, DNS, HTTP, HTTPS. [♪ Musique �
Voilà, on a maintenant bien continué dans la configuration, la dernière chose qu'il nous reste à voir
c'est l'accès à notre site web depuis le WAN. Quelqu'un qui est depuis Internet, qui veut consulter notre site web
comment il va faire ? La bonne pratique, c'est de mettre en place un reverse proxy
pour publier notre site de façon sécurisée. Pour faire une démonstration simple
ce que l'on va faire, c'est aller dans le firewall, NAT, et on va créer une règle de NAT de port forwarding
J'avais fait une vidéo sur toute la notion de NAT, port forwarding
je vous encourage à la regarder, ce sont des notions un peu floues pour vous. Ensuite, on va ajouter une règle
pour les flux qui proviennent de l'interface WAN, en TCP, sur l'adresse IP publique
entre guillemets, l'adresse IP du WAN de notre PFSense, on va relayer le flux vers notre serveur web en interne
Les flux qui arriveront en HTTP sur l'interface WAN du PFSense, on va les rediriger vers une adresse IP précise
en l'occurrence l'adresse IP de notre serveur web, sur le port HTTP
Ici, nous pourrions mettre un port customisé en externe, et avoir le HTTP en interne
Ensuite, on va faire Save. On va appliquer les changements. Suite à la mise en place de cette règle de NAT
nous allons pouvoir tester l'accès à notre serveur web depuis une machine qui est cotée WAN
En l'occurrence, ici, je prends la machine physique. Et là, on voit que ça ne fonctionne pas
On va se demander pourquoi ça ne fonctionne pas, j'ai fait ma règle de NAT correctement, tout est correct
En fait, c'est une particularité du fait de notre lab, puisque ici, dans les paramètres de l'interface WAN
nous avons une option qu'il faut activer en production, en temps normal, qui est
Block Private Network and Loopback Addresses. En gros, ça nous dit qu'on bloque les flux
qui arrivent sur l'interface WAN, et qui ont comme adresse IP source
des adresses IP qui appartiennent notamment à la RFC 1918. Tout ce qui va être 192.168.16
donc notre réseau .1.x, il est dans ce périmètre-là. Forcément, le flux est bloqué sur l'interface WAN
Je vais désactiver cette option, je vais faire Save, je vais appliquer les changements
et là, une fois que ce sera appliqué, je vais retourner sur ma machine physique
dans son navigateur, j'ouvre le navigateur, je vais rafraîchir la page, et cette fois-ci, j'ai bien accès à mon serveur web
en étant au niveau du WAN. Donc là, je passe bien via la règle de NAT
que j'ai créée quelques minutes auparavant. En fait, il y a certaines problématiques au niveau du bridge
un peu comme on l'a mis en place aujourd'hui. Si ça ne fonctionne pas
regardez si vous n'avez pas un antivirus sur l'autre physique qui va venir bloquer les flux
Le Parfait Windows, normalement, ne pose pas de soucis. Regardez aussi si vous avez la bonne interface
qui est utilisée au niveau du bridge dans VMware Workstation. En tout cas, cette option que je viens de vous montrer
et qui est propre à notre scénario du jour doit être forcément désactivée
sinon vous ne pourrez pas accéder directement à votre serveur web depuis le WAN et simuler une connexion en provenance d'Internet
[♪ Musique de générique de fin ♪ Et bien voilà, j'ai envie de vous dire, mission accomplie
nous avons mis en place un pare-feu PFCense avec un réseau local LAN, une DMZ avec son serveur web
nous avons mis en place quelques règles de pare-feu, une règle de redirection de port
Nous avons manipulé un certain nombre de choses et nous avons atteint notre objectif
puisque le serveur web est accessible depuis le LAN et on peut uniquement contacter la DMZ sur le port 80HTTP
et notre serveur web est également accessible depuis l'extérieur. Pour aller plus loin maintenant
il faudrait s'orienter vers la mise en place d'autres services, la création de règles supplémentaires
et on pourrait publier le serveur web en utilisant un Reverse Proxy
que l'on viendrait directement publier en tant que service additionnel sur le PFCense
notamment en installant le package HAProxy. Et on pourrait coupler ça avec du Let's Encrypt
pour avoir un certificat automatique, d'ailleurs j'avais fait une vidéo exactement sur ce scénario
donc ça peut vous permettre d'aller un peu plus loin dans la mise en place de ce lab
Si vous commencez à utiliser le protocole HTTPS pour publier un site web
faites attention parce que le protocole HTTPS est utilisé également pour l'accès à l'interface d'administration de PFCense
donc dans ce cas-là, dans les paramètres de PFCense, vous allez configurer un autre port
pour ne pas utiliser le port 443 qui est le port par défaut du protocole HTTPS
mais plutôt une autre valeur, une valeur de votre choix. En tout cas j'espère que cette vidéo vous a plu
n'hésitez pas à commenter pour me donner votre avis, pour poser vos questions également
et n'hésitez pas à liker et à partager au max, et je vous dis à très vite, ciao