Pfsense

De Reliable Brain
[modifier]

pfSense propose en standard une base d'authentification basique, qui peut toutefois accepter la création des certifcats. Mais il est aussi possible d'utiliser un serveur Radius via le biais de l'extension "FreeRadius", et mieux encore, d'utiliser un serveur LDAP.

J'ai donc utilisé le serveur LDAP de mon NAS (QNAP ou SYNOLOGY), et crée des comptes utilisateurs sur ce dernier.

  1. Sur le NAS, activer le serveur LDAP si ce n'est pas déjà fait. Définir un mot de passe pour le serveur, et créer au moins un compte. (QNAP, SYNOLOGY)
  2. Se connecter à pfSense
  3. Aller dans le menu "System > Users > Servers"
  4. Créer un nom de serveur ("LDAP du NAS" par exemple), puis saisir le type LDAP, l'adresse IP du serveur LDAP (celle du NAS par exemple), le scope tel qu'il est défini sur le serveur NAS, et cliquer sur le bouton "Select". Activer uniquement l'option permettant l'authentification des personnes.
  5. Ne rien modifier d'autre, et cliquer sur le bouton "Save".
  6. Dans le menu "Diagnostics > Authentification", tester que l'authentification fonctionne bien avec le compte crée sur le serveur crée. Si tout est OK, on continue, sinon revoir les étapes précédentes.
  7. Dans le menu "VPN", sélectionner "OpenVPN"
  8. Cliquer sur l'onglet "Wizards" pour créer un nouveau VPN avec les paramètres suivants :
    1. Type of server : LDAP
    2. LDAP Servers : Sélectionner le libellé du serveur qui vient d'être crée. A noter qu'il est possible de créer un LDAP à cette étape, mais comme il n'aurait pas été possible de le tester...
    3. Certificate Authority: Celui crée pour le serveur
    4. Certificate: Celui du serveur (pas celui d'un utilisateur)
    5. TLS Authentication: Enable authentication of TLS packets.
    6. Generate TLS Key: Automatically generate a shared TLS authentication key
    7. Le reste est crée comme d'habitude pour un tunnel OpenVPN
    8. Cliquer sur le bouton "Next'"""
    9. Laisser actives les deux boites à cocher afin de modifier le parefeu :
      • Firewall Rule
      • OpenVPN rule
    10. Cliquer sur le bouton "Next'""" puis sur le bouton "Finish"
  9. Editer la configuration créée en cliquant sur le "e"
    1. Modifier le paramètre "Server Mode" et saisir "Remote Access (SSL/TLS + User Auth)"
    2. Saisir une description et modifier éventuellement d'autres paramètres voulus.
  10. Maintenant, utiliser l'extension "OpenVPn Client Export" pour générer une archive pour votre machine cliente.
    1. Attention à bien sélectionner le Remote Access Server que vous venez de créer
    2. Saisir "Use TLS-Remote and quote the server CN" sur le paramètre Verify Server CN
[modifier]

Je me suis attelé à la traduction de l'interface. Ce n'est pas facile, car l'interface en anglais ne prévoit que rarement des libellés plus longs que ceux de la langue anglaise... Bref, c'est pas terrible, il faut revoir souvent la copie, et comme il y a plus de 5500 objets à traduire !!!

[modifier]

Voici une sélection de liens qui traitent de certains points avancés de l'utilisation de pfSense

Récupérée de « https://cahuet.fr//wiki/index.php?title=Pfsense&oldid=13117 »