Votre Objectif : Relier les réseaux des filiales d'une même entreprise de manière sécurisée et économique

Solution retenue : Utiliser un Réseau Privé Virtuel à travers Internet.

Shéma du réseau :

                                                                                                             
M1:eth0:192.168.1.100/24                                                            M2:eth0:192.168.2.100/24
           |                                                                                   |            
           |                                                                                   |            
           |                                                                                   |            
           |                                                                                   |            
R1:eth0:192.168.1.1/24--------------------RWan:eth0:11.0.0.1/8----------------------R2:eth0:192.168.2.1/24  
   tun1:10.0.0.1/8                             eth1:12.0.0.1/8                         tun1:10.0.0.2/8      
   tun2:10.0.0.11/8                            eth2:13.0.0.1/8                         eth1:12.0.0.100/8    
   eth1:11.0.0.100/8                                  |                                                     
                                                      |                                                     
                                                      |                                                     
                                                      |                                                     
                                          R3:eth0:192.168.3.1/24                                            
                                             tun1:10.0.0.3/8                                                
                                             eth1:11.0.0.100/8                                              
                                                      |                                                     
                                                      |                                                     
                                                      |                                                     
                                          M3:eth0:192.168.1.100/24                                          

Explications :

M1, M2 et M3 représentent une Machine (Client et/ou Serveur) de chaque filiale.
RWAN représente le réseau public (Internet), c'est un routeur simple, sans aucun filtre.
R1, R2 et R3 représentent les Passerelles d'accès au web de chaque filiale. Ces passerelles sont des firewalls Debian GNU/Linux Iptables/NAT.

Nous allons établir un VPN entre les 3 réseaux en créant 2 tunnels OpenVPN. Un entre R1 et R2, L'autre entre R1 et R3.

Astuces :

Pour configurer M1, M2 & M3 (distribution Live GRML) à la main vite fait :

# loadkeys fr
# ifconfig eth0 192.168.[1,2,3].100 netmask 255.255.255.0 up
# route add -net 0.0.0.0 gateway 192.168.[1,2,3].1

Le Script Iptables de R1, R2 et R3 :
- Toutes les connexions sortantes (Lan->Wan) sont autorisées
- Ne sont autorisées en entrée (Wan->Lan) que les connexions en réponse à des requetes initiées du Lan
- Aucune requete Wan->Lan n'est autorisée

#On doit activer le "routage"
#echo 1 > /proc/sys/net/ipv4/ip_forward (A faire aussi sur RWAN)

#configuration
ext_if="eth1"
int_if="eth0"
loc_if="lo"

#on vide toutes les règles des chaines prédéfinies et personnelles
iptables -F
iptables -X
iptables -t nat -F
iptables -t nat -X
iptables -t mangle -F
iptables -t mangle -X

#on applique un NAT sur tout ce qui sort par $ext_if
iptables -t nat -A POSTROUTING -o $ext_if -j MASQUERADE

#politiques par défaut
iptables -P INPUT DROP
iptables -P OUTPUT DROP
iptables -P FORWARD DROP

#regles de base

#Accepter le trafic LOCAL interne
iptables -A OUTPUT -o $loc_if -j ACCEPT
iptables -A INPUT -i $loc_if -j ACCEPT

#Accepter le trafic LOCAL vers WAN
iptables -A OUTPUT -o $ext_if -j ACCEPT
iptables -A INPUT -i $ext_if -m state --state ESTABLISHED,RELATED -j ACCEPT

#Accepter le trafic de/vers $int_if
iptables -A INPUT -i $int_if -j ACCEPT
iptables -A OUTPUT -o $int_if -j ACCEPT

#Accepter toute connexion du LAN vers le WAN
iptables -A FORWARD -i ! $ext_if -o $ext_if -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT

#Accepter du WAN vers le LAN les connexions déjà établies
iptables -A FORWARD -i $ext_if -o ! $ext_if -m state --state ESTABLISHED,RELATED -j ACCEPT

Installation et test d'OpenVPN

R1, R2 et R3 disposent du logiciel OpenVPN, que l'on peut installer avec la commande :

# apt-get install openvpn openssl

Quand l'architecture réseau est fonctionnelle (M1 ping R2 et M2 ping R1), on peut établir une liaison VPN de test entre R1 et R2 :

Sur R1 : openvpn --remote 12.0.0.100 --dev tun1 --ifconfig 10.0.0.1 10.0.0.2 --verb 9

Sur R2 : openvpn --remote 11.0.0.100 --dev tun1 --ifconfig 10.0.0.2 10.0.0.1 --verb 9

Le tunnel doit maintenant être fonctionnel, R1 doit pouvoir pinguer l'interface TUN de R2 et inversement.

Il reste à activer le routage entre les filiales 1 et 2 :

Sur R1 : route add -net 192.168.2.0 netmask 255.255.255.0 gw 10.0.0.2

Sur R2 : route add -net 192.168.1.0 netmask 255.255.255.0 gw 10.0.0.1

Les machines M1 et M2 doivent maintenant pouvoir communiquer à travers le VPN.

Sécurisation des transferts de données entre les filiales : Génération de clef de chiffrement

Le dossier easy-rsa contient les scripts nécessaires à une configuration des clients et du serveur TLS. La norme TLS (Transport Layer Security) est une norme de sécurisation, par chiffrement, du transport de l'information au sein des réseaux informatiques (anciennement SSL)).

debian:~# find / -name "easy-rsa" -print
/usr/share/doc/openvpn/examples/easy-rsa
debian:~# ls /usr/share/doc/openvpn/examples/easy-rsa
build-ca build-key build-key-server clean-all openssl.cnf.gz revoke-full
build-dh build-key-pass build-req list-crl README.gz sign-req
build-inter build-key-pkcs12 build-req-pass make-crl revoke-crt vars

Il nous faut générer plusieurs types de clef et certificats :

• une clef de pour le protocole d'échange diffie-hellman (dh1024.key)

• une clef et un certificat pour l'autorité de certification (à moins que vous en utilisiez une officielle comme par exemple www.verisign.com ou www.freessl.com, mais cela revient cher). (ca.crt, ca.key)

• une clef et un certificat pour le serveur (vpnserver.key, vpnserver.crt)

• une clef et un certificat pour chaque client ([nom client].crt, [nom client].key

• une clef qui sert à autoriser les accès au daemon (ta.key)

On désigne R1 comme serveur TLS, R2 et R3 comme client TLS ...

Editez le fichier vars de /usr/share/doc/openvpn/examples/easy-rsa/ , A titre d'exemple :

export D=/etc/openvpn
export KEY_CONFIG=$D/openssl.cnf
export KEY_DIR=$D/keys
export KEY_SIZE=1024
export KEY_COUNTRY=FR
export KEY_PROVINCE=BREIZH
export KEY_CITY=RENNES
export KEY_ORG="MonVPN"
export KEY_EMAIL="monnom@mondomaine.com"

Ceci va charger les précédentes variables en mémoire pour que les scripts puissent les utiliser ...

cd /usr/share/doc/openvpn/examples/easy-rsa
source ./vars
mkdir keys
touch keys/index.txt
echo 01 > keys/serial

Enfin, générer les différentes clefs :

./build-dh
./build-ca
./build-key-server [NOM DE VOTRE SERVEUR]

Vous pouvez aussi dès a présent générer les clefs des clients :

./build-key [nom de votre client] 

Les fichiers .key sont "top secret", ils ne doivent en aucun cas être diffusés publiquement. Enfin, il vous faut générer une clef spéciale pour éviter les attaques dites "Man in the middle" ou "homme du milieu" en français. (ce sont des attaques d'interception de clefs).

	openvpn --genkey --secret keys/ta.key
	chown -R nobody /etc/openvpn

Les différentes clef et certificats sont maintenant stockés dans le répertoire /etc/openvpn/keys/

Copiez les fichiers nécessaires aux clients TLS R2 et R3 dans leur dossier /etc/openvpn/keys/ (cf lignes de commandes plus bas)

Voila, vous avez généré/configuré tout ce qu'il faut, on peut passer à la configuration des clients et du serveur.

Test du VPN entre le serveur VPN R1 et les clients VPN R2 et R3 avec les clefs de chiffrement TLS

Sur R1 :

openvpn --remote 12.0.0.100 --dev tun1 --ifconfig 10.0.0.1 10.0.0.2
--tls-server --dh dh1024.pem --ca ca.crt --cert R1.crt --key R1.key --tls-auth ta.key 0
--route 192.168.2.0 255.255.255.0 10.0.0.2 &

openvpn --port 5000 --remote 13.0.0.100 --dev tun2 --ifconfig 10.0.0.11 10.0.0.3
--tls-server --dh dh1024.pem --ca ca.crt --cert R1.crt --key R1.key –tls-auth ta.key 0
--route 192.168.3.0 255.255.255.0 10.0.0.3 &

Sur R2 :

openvpn --remote 11.0.0.100 --dev tun1 --ifconfig 10.0.0.2 10.0.0.1
--tls-client --ca ca.crt --cert R2.crt --key R2.key --tls-auth ta.key 1
--route 192.168.1.0 255.255.255.0 10.0.0.1
--route 192.168.3.0 255.255.255.0 10.0.0.1 &

Sur R3 :

openvpn --port 5000 --remote 11.0.0.100 --dev tun1 --ifconfig 10.0.0.3 10.0.0.11
--tls-client --ca ca.crt --cert R3.crt --key R3.key --tls-auth ta.key 1
--route 192.168.1.0 255.255.255.0 10.0.0.11
--route 192.168.2.0 255.255.255.0 10.0.0.11 &

Automatisation du chargement du VPN

- Ecrire les commandes openvpn dans un script : /etc/init.d/vpn

- Rendre ce script exécutable : chmod +x /etc/init.d/vpn

- Planifier l'exécution du script /etc/init.d/vpn au démarrage :

update-rc.d /etc/init.d/vpn defaults

ou

Appeler /etc/init.d/vpn depuis la section start et restart de /etc/init.d/networking

Sources :

- Le man d'openvpn et openvpn.net

- http://www.nbs-system.com/html/services/vpn

Fin

ps : Youpi

Sous Debian, un petit "apt-cache search kernel-image 2.6" vous donne la liste des noyaux paquetés... Mais si il vous faut un noyau récent, pour gérer un contrôleur RAID Sata 3Ware par exemple (mon cas), vous n'y trouverez vraissemblablement pas votre bonheur ...

Moi il me faut un 2.6.15 minimum, la version stable 2.6.15.4 est dispo sur kernel.org mais sur les dépots Debian Sarge la version la plus récente est un 2.6.8.2 ...

Voici les quelques lignes de commandes nécessaires à l'installation d'un noyau Linux à partir des sources dispos sur kernel.org.

En root :

apt-get install kernel-package fakeroot libncurses5 libncurses5-dev cramfsprogs initrd-tools

En user lambda :

cd /home/fred
mkdir kernel-src
cd kernel-src
wget http://www.ovh-new.lkams.kernel.org/pub/linux/kernel/v2.6/linux-2.6.15.4.tar.gz
tar zxvf linux-2.6.15.4.tar.gz
cd linux-2.6.15.4

make menuconfig

faire sa configuration ...

make-kpkg clean
make-kpkg --initrd --rootcmd fakeroot --append-to-version=.`date +%y%m%d` --revision=2.6.15.4 kernel-image

aller faire un tour dehors si il fait beau...

cd ..

En root :

dpkg -i kernel-image-2.6.15.4.060212_i386.deb
reboot

Pour vérifier la version qui tourne :

uname -a
Linux maitoumbe 2.6.15.4.060212 CET 2006 i686 GNU/Linux

Dans le fichier de conf de GRUB /boot/grub/menu.lst :

title Debian GNU/Linux, kernel 2.6.15.4.060212bis
root (hd0,0)
kernel /boot/vmlinuz-2.6.15.4.060212 root=/dev/hda1 ro
initrd /boot/initrd.img-2.6.15.4.060212
savedefault
boot

Tout a été ajouté, le bonheur ...

Youpi on a maintenant le noyau le plus récent qui soit ...

GRML est une superbe distribution linux live pour nous les administrateurs réseau, comme client d'un serveur de clonage ou système d'intervention rapide c'est top moumoute. Il faut néanmoins graver l'iso sur un CDR pour pouvoir l'utiliser :/ ... Vu qu'on a toujours un sublime serveur PXE sous Debian (running gag cf 2 posts précédents), pourquoi ne pas y faire tourner GRML ...

Je sais ... GRML propose une fonction live "grml-terminalserver" permettant cela, mais une distrib live qui distribue des clients live ouachahh c'est chaud et pas optimal... et dans mon cas, j'ai déjà un serveur PXE qui tourne sur mon réseau et on ne peut pas en avoir plus d'un sinon c'est un peu n'importe quoi ...

Booter sur GRML via PXE

Sur notre serveur PXE (192.168.1.199) :

- Créer un dossier /home/live
# mkdir /home/live
- Copier l'iso de GRML dans /home/live
# ls /home/live/
grml_0.6.iso
- Créer un dossier /home/live/grml
# mkdir /home/live/grml
- Monter l'iso de GRML dans /home/live/grml
# mount -o loop grml_0.6.iso /home/live/grml

Ici on utilise l'iso de GRML fraichement téléchargée de grml.org, sans rien décompresser, c'est pratique je trouve ...

- Installer un serveur NFS :
# apt-get install nfs-kernel-server nfs-common portmap
# /etc/init.d/nfs-common start
# /etc/init.d/nfs-kernel-server start

- On indique à NFS le dossier à rendre public pour GRML (le dossier que GRML utilisera à la place du CDROM)
# nano /etc/exports
[...]
/home/live/grml *(ro,root_squash)
[...]
# exportfs -a

- On ajoute GRML au menu de démarrage PXE :
# nano /home/tftpboot/pxelinux.cfg/default
[...]
LABEL grml
KERNEL linux26
APPEND ramdisk_size=16384 root=/dev/ram0 rw init=/etc/init nfsdir=192.168.1.199:/home/live/grml nodhcp noprompt noeject noautoconfig apm=power-off nomce initrd=minirt26.gz vga=791 ssh=123
[...]

Sur un poste booté avec GRML :

- On lance une fois le serveur PXE de GRML pour transférer les fichier de Boot sur notre serveur PXE
# grml-terminalserver
# find / -name pxelinux.0 => /ramdisk/var/lib/tftpboot
# cd /ramdisk/var/lib/tftpboot
# scp linux26 root@192.168.1.199:/home/tftpboot/linux26
# scp minirt26.gz root@192.168.1.199:/home/tftpboot/minirt26.gz

Pour peu que l'on fasse cette dernière opération sous VMWare on aura même pas besoin de graver GRML ...

Voilà c'est tout, maintenant il suffit de démarrer un client PXE et de taper GRML et ohhh ca boot sans CD youpi :) on est content ...