# **Serveur pfSense**

## Objectif et environnement

### Objectif

Installer et configurer pfSense CE 2.6.0 en tant que pare-feu, proxy et portail captif. Il sera également le serveur DHCP de la plateforme.

### Environnement

Matériels :

- Dell PowerEdge r240 avec Proxmox 7.2-7

Adressage des VMS :

- Réseaux : 172.28.0.0/16

- pfSense: FW-PROXY 172.28.1.254

- client Windows 10 : CLI-WIN-01, DHCP

- client Linux Debian : CLI-DEB-01, DHCP

### Documentation

- <https://www.youtube.com/watch?v=wv1qTYR3faQ&t=1670s>

- <https://www.youtube.com/watch?v=tKrRAy6Rnss>

- <https://www.it-connect.fr/cours-tutoriels/administration-reseau/pare-feu/pfsense/>

- <https://www.it-connect.fr/les-serveurs-proxy-et-reverse-proxy-pour-les-debutants/>

## Processus

### Installation

Nous avons téléchargé l’ISO d’installation sur le site officiel :

<https://www.pfsense.org/download/>

Nous avons booté sur l’ISO :

<img src="./media/image149.png"
style="width:4.20892in;height:2.51077in" />

<img src="./media/image150.png"
style="width:4.22976in;height:1.76066in" />

<img src="./media/image151.png"
style="width:4.1985in;height:1.27101in" />

Choix de la langue

<img src="./media/image152.png"
style="width:3.53174in;height:1.83359in" />

<img src="./media/image153.png"
style="width:3.62551in;height:1.45854in" />

<img src="./media/image154.png"
style="width:3.39631in;height:1.48979in" />

<img src="./media/image155.png"
style="width:2.77122in;height:1.35436in" />

#### Configuration les adresse IP du pfSense

Choix 2

<img src="./media/image156.png"
style="width:6.27014in;height:1.46597in" />

Choix 2

<img src="./media/image157.png"
style="width:6.27014in;height:1.52431in" />

<img src="./media/image158.png"
style="width:6.27014in;height:0.38611in" />

<img src="./media/image159.png"
style="width:6.27014in;height:1.07917in" />

J’ai choisi entrée deux fois puis **n** pour le serveur dhcp.

<img src="./media/image160.png"
style="width:6.27014in;height:1.51528in" />

Les adresses IP sont configurées

<img src="./media/image161.png"
style="width:6.27014in;height:0.42569in" />

### Configuration du pfSense

La VM pfSense est accessible sur l’adresse 172.28.1.254/16

```{note}
Login par défaut : **admin**
Password par défaut : **pfsense**
```

<img src="./media/image162.png"
style="width:3.09418in;height:1.76066in" />

#### Configuration générale

System / General Setup

<img src="./media/image163.png"
style="width:6.27014in;height:1.37778in" />

<img src="./media/image164.png"
style="width:6.27014in;height:1.55556in" />

<img src="./media/image165.png"
style="width:6.27014in;height:1.96319in" />

#### Configurations accès au serveur

Système \> Advanced \> Admin Access

J’ai choisi l’accès via HTTPS

<img src="./media/image166.png"
style="width:6.27014in;height:1.73611in" />

J’ai activé connexion via SSH

<img src="./media/image167.png"
style="width:6.27014in;height:1.39931in" />

Test de la connexion SSH

<img src="./media/image168.png"
style="width:3.82031in;height:2.29752in" />

La connexion fonctionne.

#### Configuration serveur DHCP

Services / DHCP Server / LAN

<img src="./media/image169.png"
style="width:6.27014in;height:0.43472in" />

<img src="./media/image170.png"
style="width:6.27014in;height:1.20347in" />

<img src="./media/image171.png"
style="width:6.27014in;height:1.50417in" />

<img src="./media/image172.png"
style="width:6.27014in;height:1.37708in" />

Vérification sur un client

<img src="./media/image173.png"
style="width:6.27014in;height:2.64514in" />

<img src="./media/image174.png"
style="width:6.27014in;height:0.62431in" />

La carte réseau est configuré dans le réseau 172.16.0.0/16 mais il a
accès à l’internet. La passerelle par pfSense est fonctionnelle.

#### Connexion et authentification par Active Directory

System \> User Manager \> Authentification Servers \> Add

<img src="./media/image175.png"
style="width:6.27014in;height:0.85in" />

<img src="./media/image176.png"
style="width:5.86351in;height:3.30354in" />

<img src="./media/image177.png"
style="width:5.83036in;height:2.79992in" />

Création d’un groupe **adminpfsense** sur l’AD avec deux utilisateurs

<img src="./media/image178.png"
style="width:6.27014in;height:2.37569in" />

Sur la VM pfSense

System \> User Manager \> Groups \> Add

Ajout la groupe **adminpfsense** que nous avons créé sur l’AD

<img src="./media/image179.png"
style="width:6.27014in;height:2.81111in" />

Nous avons donné accès à ce groupe pour consulter toutes les pages

<img src="./media/image180.png"
style="width:6.27014in;height:1.41736in" />

Test d’authentification

Diagnostics \> Authentification

Je vais tester la connexion avec un utilisateur qui fait partie du
groupe **adminpfsense.**

<img src="./media/image181.png"
style="width:6.27014in;height:2.95556in" />

Maintenant, les utilisateurs appartenant au groupe **adminpfsense**
peuvent administrer pfSense.

<img src="./media/image182.png"
style="width:2.20436in;height:1.77869in" />

### Mise en place serveur Proxy

Installation des packages Squid et Squidgard

System \> Package Manager \> Available Packages

<img src="./media/image183.png"
style="width:6.27014in;height:1.50347in" />

<img src="./media/image184.png"
style="width:6.27014in;height:2.49583in" />

Création d’un certificat de sécurité autosigné

System \> Certificate Manager \> Add

<img src="./media/image185.png"
style="width:5.77676in;height:1.7345in" />

<img src="./media/image186.png"
style="width:5.78553in;height:4.01316in" />

<img src="./media/image187.png"
style="width:6.27014in;height:1.11597in" />

#### Activation Squid Proxy

Services \> Squid Proxy Server

Configuration Local Cache

<img src="./media/image188.png"
style="width:6.27014in;height:1.17639in" />

<img src="./media/image189.png"
style="width:6.27014in;height:1.44861in" />

General

<img src="./media/image190.png"
style="width:6.27014in;height:2.85556in" />

<img src="./media/image191.png"
style="width:6.27014in;height:2.00069in" />

<img src="./media/image192.png"
style="width:6.27014in;height:3.85278in" />

<img src="./media/image193.png"
style="width:6.27014in;height:0.51389in" />

<img src="./media/image194.png"
style="width:6.27014in;height:1.22986in" />

Spécifier les réseaux qui ont accès au proxy

ACLs

<img src="./media/image195.png"
style="width:6.27014in;height:1.06181in" />

J’ai exporté le certificat et j’ai installé sur mes clients

<img src="./media/image196.png"
style="width:6.27014in;height:3.00208in" />

Test avec un client Windows

Installer certificat

Double clic sur le certificat puis installer

<img src="./media/image197.png"
style="width:2.55575in;height:3.2419in" />

<img src="./media/image198.png"
style="width:6.27014in;height:0.90903in" />

<img src="./media/image199.png"
style="width:5.68829in;height:1.25017in" />

<img src="./media/image200.png"
style="width:6.27014in;height:3.38264in" />

Test avec le client Linux

J’ai créé un dossier pour accueillir notre certificat

```console
mkdir /usr/local/share/ce-certificates/t2sr
cp t2sr_ssl_cert.crt /usr/local/share/ce-certificates/t2sr
```

J’ai installé le certificat

```console
update-ca-certificates
```

<img src="./media/image201.png"
style="width:6.27014in;height:0.80764in" />

Je test avec la page d’accueil Facebook

Avant l’application du blacklist

<img src="./media/image202.png"
style="width:6.27014in;height:3.27153in" />

Apres l’application du blacklist

<img src="./media/image203.png"
style="width:6.27014in;height:3.36042in" />

#### Configuration SquidGard

Une autre manière de créer de site blacklisté est d’utiliser SquidGard

Services \> SquidGard Proxy Filter

Target Catégories

J’ai créé un target nommé test avec un nom domaine à refuser

<img src="./media/image204.png"
style="width:6.27014in;height:2.74236in" />

Le résultat

<img src="./media/image205.png"
style="width:6.27014in;height:2.73681in" />

Blacklist sous SquidGard

Nous pouvons uploader une blacklist archive. Il s’agit d’une collection
des sites non désirables. J’ai utilisé celui créé par l’université de
Toulouse :

<http://dsi.ut-capitole.fr/blacklists/download/blacklists_for_pfsense.tar.gz>

Une fois renseigné j’ai cliqué sur download

<img src="./media/image206.png"
style="width:6.27014in;height:2.69861in" />

Common ACL

Nous retrouvons le target catégorie test que nous avons créé et
également la liste importée que nous pouvons peaufiner par la suite.

<img src="./media/image207.png"
style="width:6.27014in;height:4.10208in" />

Nous pouvons visualiser la liste de ses sites si besoin

<img src="./media/image208.png"
style="width:3.29146in;height:3.44026in" /><img src="./media/image209.png"
style="width:2.1289in;height:3.48599in" />

#### Configuration du firewall

Firewall \> Roules \> LAN

<img src="./media/image210.png"
style="width:6.27014in;height:2.85347in" />

J’ai désactivé l’accès en IPv6 (nous utilisons que des adresses en IPv4)

<img src="./media/image211.png"
style="width:6.27014in;height:1.65069in" />

#### Créer Firewall Aliases

Firewall \> Rules \> LAN

L’état actuel du Firewall

<img src="./media/image212.png"
style="width:6.27014in;height:2.53472in" />

Tous les ports sont ouverts pour une communication vers l’extérieur (LAN
vers WAN).

Nous allons autoriser uniquement les ports suivants :

- 80 : http

- 443 : https

- 22 : ssh

- 53 : dns (tcp/udp)

- 123 : ntp

Ajout des ports TCP

Firewall \> Aliases \> Ports \> Add

<img src="./media/image213.png"
style="width:6.27014in;height:3.67986in" />

Ajout des ports UDP

<img src="./media/image214.png"
style="width:6.27014in;height:3.00486in" />

J’ai choisi **Apply changes**

<img src="./media/image215.png"
style="width:6.27014in;height:2.66111in" />

Firewall \> Rules \> LAN \> Add

<img src="./media/image216.png"
style="width:6.27014in;height:2.74514in" />

J’ai choisi comme destination la TCP_standard_Sortie précédemment crée.

<img src="./media/image217.png"
style="width:6.27014in;height:1.09722in" />

J’ai ajouté un commentaire, puis j’ai sauvegardé

<img src="./media/image218.png"
style="width:6.27014in;height:2.10556in" />

La règle a été crée

<img src="./media/image219.png"
style="width:6.27014in;height:2.05903in" />

J’ai ajouté une deuxième règle pour DNS(UDP) et NTP

<img src="./media/image220.png"
style="width:5.2674in;height:2.69525in" />

<img src="./media/image221.png"
style="width:5.66033in;height:0.99615in" />

<img src="./media/image222.png"
style="width:5.66809in;height:1.8833in" />

Création d’une troisième règle qui refusera tous les autres ports :

Firewall \> Rules \> LAN

<img src="./media/image223.png"
style="width:5.66204in;height:2.90658in" />

<img src="./media/image224.png"
style="width:5.72041in;height:0.43716in" />

J’ai ajouté un commentaire, puis cliqué sur Save.

<img src="./media/image225.png"
style="width:5.30116in;height:1.75551in" />

#### Mise en Place Portail Captif

Services \> Captive Portal \> Add

<img src="./media/image226.png"
style="width:6.27014in;height:1.56597in" />

<img src="./media/image227.png"
style="width:6.27014in;height:2.27708in" />

<img src="./media/image228.png"
style="width:6.27014in;height:1.94792in" />

<img src="./media/image229.png"
style="width:6.27014in;height:2.46736in" />

Pour valider la configuration j’ai cliqué sur Save.

Adresse du portail captif : <http://172.28.1.254:8002>

<img src="./media/image230.png"
style="width:1.35131in;height:1.84958in" />
<img src="./media/image231.png"
style="width:2.1425in;height:1.0011in" />

<img src="./media/image232.png"
style="width:1.42305in;height:1.76168in" />

## Conclusion

La configuration du pfSense s’est bien déroulée. L’utilisation du
portail captif nécessite d’avoir une carte réseaux supplémentaire afin
de ne pas interférer avec les VM sur le réseau de production.

```{eval-rst}
.. raw:: html
   :file: flyout.html
```