Autoriser la connexion sur l'interface WAN

Nous allons ouvrir l’accès à l’interface web depuis l’interface WAN en ajoutant une règle de pare-feu.

Menu Pfsense : Firewall > Rules > Edit

Action : pass
Interface : wan
Adresse family : IPv4
Protocol : TCP
Source : any
Destination : WAN address
Destination Port Range : HTTPS (443)
Log : cocher "Log packets that are handled by this rule"

N'oubliez pas de valider l'application du changement.

Autoriser l'accès à l'interface WAN depuis des IP de blocs privés

Si vous essayez d'accéder à l'interface web depuis l'IP de votre interface WAN, çà ne fonctionnera pas.

Par défaut, Pfsense bloque l'accès à l'interface WAN à toutes les IP réservées pour des réseaux privés (et loopback).

Pour supprimer ce blocage :

Menu Pfsense : Interfaces > WAN

Décocher les deux dernières cases dans la rubrique "Reserved Networks"

Vous pouvez à présent essayer de vous connecter à l'interface web via l'IP de la carte WAN :

https://192.168.1.86 (dans mon cas)

DEBUG :

Si la connexion ne se fait pas, vérifiez les points suivants :

Adresse IP de votre interface WAN (commande ifconfig dans la console pfsense)
Connectivité entre votre interface WAN et la box (commande ping dans la console pfsense)
Règle de pare-feu
Configuration de l'interface WAN (les deux dernières cases décochées)

Configurer l’accès à l’interface web

Vous avez la possibilité de changer la configuration de l'accès admin par l'interface web. Vous pouvez par exemple autoriser plus de connexions simultanées à l'interface (si vous travaillez à plusieurs sur le même Pfsense par exemple).

Pour modifier la configuration :

Menu Pfsense : System > Advanced > Admin Access

Configuration de la redirection de port sur la box

Nous allons configurer une redirection de port sur votre box afin de pouvoir vous connecter à distance à l'interface web de Pfsense.

Bien évidemment, pour des raisons de sécurité, vous ne feriez pas çà dans un environnement de production. Nous le faisons uniquement par intérêt pédagogique.

Pour configurer la redirection :

Connectez vous à votre box
Trouvez la partie permettant de configurer les redirection de port
Ajoutez une redirection de port pointant vers l’IP de votre VM
- Port source : 22000 (un minimum de sécurité quand même )
- Port destination : 443

Exemple sur une box Fibre RedBySFR :

Menu : Home > Réseau v4 > NAT

Exemple sur une box 4G de Bouygues :

Menu : Avancé > Sécurité > Serveur virtuel

Exemple sur les nouvelles box Red :

Menu : Network > Advanced settings > Port forwarding

Attention petite subtilité : il n'est pas possible de configurer un port de destination sur ce modèle de box. Vous ne pouvez que configurer une plage de ports sources (Start Port - End Port). Les ports de destination correspondront donc à cette même plage.

Si vous configurez la plage source 22000-22001 par exemple, il faudra ensuite ajouter une règle dans le pare-feu sur l'interface WAN pour autoriser ces ports !

Exemple sur les anciennes box Red :

Sur les anciennes box Red, l'interface parle de port de début et de fin, mais il faut lire Port d'entrée et port de sortie.

Exemple sur les Livebox d'Orange :

De loin la plus compliquée et la plus incompréhensible des box ... à se demander si Orange y connait quelque chose en réseau et en UX Design ...

La capture d'écran ci-dessous vous présente tout ce que vous avez à configurer :

ajouter votre machine dans "Baux DHCP Statiques"
- sur la capture, en voulant ajouter pfsense, c'est le nom du PC qui s'est ajouté avec l'adresse MAC de la VMpfsense (allez comprendre pourquoi ...)
ajouter ensuite une règle NAT
- donner un nom à la règle, renseigner les ports
- et sélectionner l'équipement ... c'est comme çà que votre box Orange fait le lien entre la redirection de port et l'équipement .......
éteindre le pare-feu ou y ajouter des règles personnalisées

APPEL à témoin !

Si vous avez une box Orange et que vous réussissez à configurer votre redirection de port, prévenez moi ! Car jusqu'à présent, personne n'a réussi à le faire pour ce TP ...

Pour vérifier que les ports sont ouverts et qu’un service écoute derrière, vous pouvez utiliser des sites d'analyse en ligne comme :

https://mxtoolbox.com/TCPLookup.aspx

Pour information :

Si vous ne connaissez pas mxtoolbox.com, je vous conseille de faire un tour du site pour voir tous les outils proposés. Ce site est très connu et sûr.

Attention, il est possible que certains de ces sites proposent ce genre de services pour se créer une base de données d'IP à attaquer. Si vous testez le port 22 (ssh) sur un site malveillant, il y a de forte chance que votre port se fasse attaquer dans les jours suivants. Donc attention si vous testez une IP de production, utilisez un site de confiance.

Désactivation du Brower HTTP_REFERER enforcement

Afin d’accéder à l’interface web de votre Pfsense depuis votre adresse IP publique, vous devez désactiver une option de pfsense : le Browser HTTP_REFERER enforcement.

Connectez vous à l’interface web
Menu : System > Advanced > Admin Access
Browser HTTP_REFERER enforcement :
- Cocher : Disable HTTP_REFERER enforcement check

Si vous n’effectuez pas cette configuration, vous aurez le message suivant après connexion à l’interface web depuis l’adresse IP publique :

Connexion sur l’interface web depuis l’IP publique

Si vous avez réussi à vous connecter, bravo ! L'intérêt pédagogique était de vous montrer comment configurer un accès à distance de l'interface web et surtout de vous faire comprendre comment fonctionne la redirection de port.

Vous pouvez à présent :

Désactiver la redirection de port sur votre box
Désactiver la règle dans le pare-feu autorisant à se connecter à la GUI depuis l’interface WAN

Conclusion du chapitre

Bon à savoir !

Il arrive fréquemment que des prestataires informatiques (peu compétents et peu scrupuleux) configurent une redirection de port 3389 sur le routeur de leur client, afin que le client puisse faire du télétravail (sans que le prestataire ne s'embête à mettre en place un VPN). Le port 3389 est le port d'écoute pour le protocole RDP, qui sert à se connecter à distance sur une machine windows (mstsc.exe).

Vous pourriez vous aussi accéder à une machine windows se situant chez vous à la maison, depuis l'extérieur, en redirigeant un port vers le port 3389 et l'IP de la machine en question.

Techniquement vous le pouvez, mais pour des raisons de sécurité, je vous le déconseille. Si vous le faites, vous verrez au bout de 24h dans votre observateur des événements des milliers de tentatives de connexion RDP provenant d'IP du monde entier. C'est ce qu'on appelle une attaque de type brute force : essayer de se connecter à une machine en testant tous les mots de passe d'une liste prédéfinie (qu'on appelle aussi "dictionnaire").

Si vous souhaitez vous connecter à distance sur votre machine à la maison, il vaut mieux utiliser un VPN. C'est ce que vous allez faire dans le prochain chapitre avec Pfsense et OpenVPN.

Configurer l’accès à l’interface web de Pfsense depuis le WAN