pfSense Gold Subscription

Author Topic: [Débutant] Besoin de conseil  (Read 472 times)

0 Members and 1 Guest are viewing this topic.

Offline gudbes

  • Newbie
  • *
  • Posts: 10
  • Karma: +0/-0
    • View Profile
Re: [Débutant] Besoin de conseil
« Reply #15 on: December 29, 2017, 02:42:46 am »
Je n'ai pas activé le mode DMZ mais je fais du port forwarding pour les quelques services susceptibles d'utiliser le lien Free pour des sessions entrantes (mail, webmail, vpn sur pfSense)

Excusez moi de mon ignorance sur certains points mais j'aime comprendre ce que je lis  ;)

Soit on configure une dmz à partir de la freebox sur le réseau connecté à pfsense
soit on laisse tel quel mais on ouvre les ports dont on a besoin (NAT)

Est ce bien cela ?

Merci

Offline chris4916

  • Hero Member
  • *****
  • Posts: 1831
  • Karma: +91/-11
    • View Profile
Re: [Débutant] Besoin de conseil
« Reply #16 on: December 29, 2017, 03:46:59 am »
Il ne faut pas s'excuser de ne pas savoir mais plutôt s'excuser lorsqu'on pense tout savoir et avoir LA réponse  ;)

Le mode DMZ redirige tous les flux entrants vers l'adresse IP désignée comme étant "l'adresse de DMZ"
dès lors, il n'est plus nécessaire, dans ce cas, de configurer du forward puisque tout va vers cette IP.

La différence entre ces 2 approches, c'est qu'en mode "forward", seuls les ports configurés vont être redirigés vers l'IP de ton choix: c'est un mode explicite, alors qu'en mode DMZ, tous les flux entrants, pour les nouvelles connexions, vont aller vers l'IP définie dans la conf comme DMZ. C'est un mode implicite.
Jah Olela Wembo: Les mots se muent en maux quand ils indisposent, agressent ou blessent.

Offline gudbes

  • Newbie
  • *
  • Posts: 10
  • Karma: +0/-0
    • View Profile
Re: [Débutant] Besoin de conseil
« Reply #17 on: December 29, 2017, 04:12:38 am »
Merci chris4916 de ta patience et de ton partage  ;)

J'ai une nouvelle interrogation ... dans quel cas concret peut on avoir besoin de faire du mode explicite ? car le mode implicite semble "plus simple" à gérer car tout se fait au travers du pf.

Encore un grand merci à tout le monde pour votre partage d'expérience.

Offline chris4916

  • Hero Member
  • *****
  • Posts: 1831
  • Karma: +91/-11
    • View Profile
Re: [Débutant] Besoin de conseil
« Reply #18 on: December 29, 2017, 06:24:51 am »
Dans le cas où tu veux que ton routeur (edge router) ne transmette qu'un nombre limité et contrôlé de flux.

Dans mon cas, du mail (SMTP, IMAP), du HTTP, OpenVPN et IPSec. Tout le reste n'est simplement pas retransmis.

ça peut bien sûr être considéré comme redondant avec ce que sait faire le FW, d'autant qu'il faut maintenir également les règles relatives à ces flux au niveau du FW mais ça présente l'avantage de rendre la gestion de ces règles et la lecture des flux sur le FW beaucoup plus simple, les routeurs à la frontière du réseau publique se chargeant d'ignorer les flux qui ne sont pas "attendus".
Jah Olela Wembo: Les mots se muent en maux quand ils indisposent, agressent ou blessent.

Offline gudbes

  • Newbie
  • *
  • Posts: 10
  • Karma: +0/-0
    • View Profile
Re: [Débutant] Besoin de conseil
« Reply #19 on: December 29, 2017, 08:00:46 am »
Dans le cas où tu veux que ton routeur (edge router) ne transmette qu'un nombre limité et contrôlé de flux.

Dans mon cas, du mail (SMTP, IMAP), du HTTP, OpenVPN et IPSec. Tout le reste n'est simplement pas retransmis.

ça peut bien sûr être considéré comme redondant avec ce que sait faire le FW, d'autant qu'il faut maintenir également les règles relatives à ces flux au niveau du FW mais ça présente l'avantage de rendre la gestion de ces règles et la lecture des flux sur le FW beaucoup plus simple, les routeurs à la frontière du réseau publique se chargeant d'ignorer les flux qui ne sont pas "attendus".

Merci pour les explications ... je m'interroge sur l'utilisation de l'un ou l'autre des modes .... la gestion des flux au niveau du pf est peut être plus simple car il n'y a pas de redondance à faire (bien que c'est pas tous les jours que l'on modifie cela) sur le box. Y a t il plus de sécurité dans l'une ou l'autre des méthodes ?

Offline chris4916

  • Hero Member
  • *****
  • Posts: 1831
  • Karma: +91/-11
    • View Profile
Re: [Débutant] Besoin de conseil
« Reply #20 on: December 29, 2017, 11:17:03 pm »
Dans l'absolu, oui c'est mieux de multiplier les lignes de défense et de ne pas laisser tout faire par le pare-feu.
Dans les faits, pour un particulier, je ne pense pas que la différence soit significative.
Jah Olela Wembo: Les mots se muent en maux quand ils indisposent, agressent ou blessent.

Offline gudbes

  • Newbie
  • *
  • Posts: 10
  • Karma: +0/-0
    • View Profile
Re: [Débutant] Besoin de conseil
« Reply #21 on: December 30, 2017, 01:07:02 am »
Merci pour ton explication.

Je pense que je vais pouvoir commencer à me lancer dans la mise en place de mon pf.
je vais donc garder ma box en mode routeur (dans un premier temps)  en y désactivant le WiFi et en créant une dmz. La TV continura donc à passer par ma box. Je vais connecté un point d'accès sur l'un des ports de mon pf pour pouvoir le gérer au mieux et séparer le réseaux iot du reste du réseau dit fiable (pc, tablette maison).

Je me permets de revenir pour demander des conseils au besoin.

Encore un grand merci à vous.

Offline chris4916

  • Hero Member
  • *****
  • Posts: 1831
  • Karma: +91/-11
    • View Profile
Re: [Débutant] Besoin de conseil
« Reply #22 on: December 30, 2017, 01:44:15 am »
Garde à l'esprit que si tu utilises un point d'accès wifi un tant soit peu évolué (comme par exemple les modèles d'Ubiquiti : https://unifi-shd.ubnt.com/), ce point d'accès wifi unique te permet de diffuser plusieurs SSDI et de gérer des réseaux wifi dans des VLAN séparés, ce qui te permet ensuite, au niveau de pfSense , d'autoriser le wifi "sécurisé" (par exemple en WPA2) à accéder au réseau local tandis que le wifi "sans authentification" ne disposera que d'un accès internet isolé.

Beaucoup d'autres points d'accès wifi offrent ce type de fonctionnalité, chez Linksys/Cisco, Asus ou autre. 
Jah Olela Wembo: Les mots se muent en maux quand ils indisposent, agressent ou blessent.

Offline gudbes

  • Newbie
  • *
  • Posts: 10
  • Karma: +0/-0
    • View Profile
Re: [Débutant] Besoin de conseil
« Reply #23 on: December 30, 2017, 02:35:00 am »
Je possède actuellement un Asus RT-AC68U et il semble posséder un ssd guest. Mon soucis est que mes équipements iot étaient connectés au réseau WiFi de ma box car elle est branché sur un onduleur. Je n'ai donc que la solution de brancher un nouveau point d'accès au niveau de la box branché sur le pf