Portail captif + proxy transparent - Historique des versions

Slemoal : /* Formater le HDD */

2021-11-08T15:46:55Z

Formater le HDD

Slemoal : /* Archivage journalier autonome */

2021-05-31T23:29:11Z

Archivage journalier autonome

Slemoal le 31 mai 2021 à 23:24

2021-05-31T23:24:19Z

Slemoal : /* Création d’une liste de filtrage de contenu */

2021-05-31T22:48:58Z

Création d’une liste de filtrage de contenu

Slemoal : /* Créer une autorité de certification interne= */

2021-01-16T12:23:09Z

Créer une autorité de certification interne=

Slemoal le 5 avril 2020 à 12:25

2020-04-05T12:25:24Z

Slemoal le 5 avril 2020 à 12:25

2020-04-05T12:25:13Z

Slemoal le 5 avril 2020 à 12:24

2020-04-05T12:24:48Z

Admin le 29 mars 2020 à 11:50

2020-03-29T11:50:01Z

Admin : Created page with "==Configuration du réseau invité== ====Ajouter l’interface.==== ''Interfaces -> Assignations'' 900px 900px ====Co..."

2020-03-29T11:48:09Z

Created page with "==Configuration du réseau invité== ====Ajouter l’interface.==== ''Interfaces -> Assignations'' |900px |900px ====Co..."

Nouvelle page

==Configuration du réseau invité==
====Ajouter l’interface.====
''Interfaces -> Assignations''

[[File:assignation1.png||900px]]

[[File:assignation2.png||900px]]

====Configurer l'interface====
''Interfaces -> opt1''

[[File:interface.png||900px]]

====Configurer le DHCP====
''Services -> DHCPv4 -> LANGUEST''

[[File:dhcp.png||900px]]

====Renseigner DNS====
''Système -> Paramètres -> Général''

[[File:serveurdns.png||900px]]

====Redirection DNS====
''Pare-feu -> Nat -> Redirection de port''

[[File:dns.png||900px]]

====Création des règles de firewall====
''Pare-feu -> Paramètres -> Avancé''
En activant cette option, les règles du portail captif (8000 à 10000) et proxy (3128 et 3129) sont créer et gérer par OPNsense (non visible depuis la GUI)

[[File:rules1.png|900px]]

'''Isoler le réseau Guest :'''

''Pare-feu -> Règles -> LANGUEST''

[[File:rules2.png|700px]]

==Configuration du portail captif==

====Import Template====
''Services-> Portail Captif -> Administration -> Modèles''

[[File:pc-template.png|600px]]

[[File:pc-template2.png|600px]]

====Configuration du serveur d'authentification====

Plusieurs options sont possibles :

======Vide : Sans authentification======
======[[Local Database]] : Permet de créer des utilisateurs manuellement qui seront stocké dans la base de donné opnsense======
======[[Tickets]] : Permet de générer des utilisateurs temporaire en masse======
======Ldap : (non documenté)======
======Radius: (Non documenté)======

====Configuration du portail captif====
''Services-> Portail Captif -> Administration -> Zones''

Dans le champ : ''Authenticate using''

Choisissez le serveur créer plus haut.

[[File:pc-conf.png|700px]]

[[File:pc-conf2.png|600px]]

==Configuration du proxy==
====Créer une autorité de certification interne=====
''Systeme -> Trust -> Autorités''

[[File:ca-proxy.png|900px]]

====Activer le proxy====
''Services -> Proxy Web -> Administration''

''Onglet: General proxy settings''

[[File:proxy-conf.png|900px]]

====Activer le cache====
''Onglet: Local cache settings''

[[File:proxy-cache.png|900px]]

====Activer la QOS====
''Onglet: Traffic Management Settings''

[[File:proxy-qos.png|700px]]

====Configuration du proxy====
''Onglet: Forward Proxy''

[[File:proxy-forward.png|700px]]

====Création d’une liste de filtrage de contenu ====
''Onglet: Forward Proxy''
l'adresse de la liste:
ftp://ftp.ut-capitole.fr/pub/reseau/cache/squidguard_contrib/blacklists.tar.gz

[[File:proxy-blacklist.png|700px]]

Télécharger les ACLs et les appliquer

[[File:proxy-blacklist-acl.png|900px]]

==Optimisation==

===msata + HDD===
Dans le cas d'une config sur une msata, pour que les logs squid aillent sur le disque dur, il faut:

====Changer l'ordre du boot====

Appuyer sur F10
choix "payload [setup]"

par défaut voici l'ordre:
d SATA
a USB 1 / USB 2 SS and HS
b SDCARD
c mSATA
e iPXE (disabled)

Ordre de démarrage - tapez la lettre du lecteur pour le déplacer en haut.

Pour avoir cet ordre:

a USB 1 / USB 2 SS and HS
b SDCARD
c mSATA
d SATA
e iPXE (disabled)

entrer: e d c b a

pour sauvegarder et quitter entrer "s"

====Formater le HDD====
fdisk -I /dev/ada1
bsdlabel -w ada1s1
newfs -U /dev/ada1s1a

====Changer l'emplacement des log vers le HDD====

Modifier: /etc/fstab et ajouter
/dev/ada1s1a /var/log/squid ufs rw,async 1 2

Redemarrer

Pour vérifier:
root@OPNsense:~ # df -h
Filesystem Size Used Avail Capacity Mounted on
/dev/gpt/rootfs 13G 1.0G 11G 8% /
devfs 1.0K 1.0K 0B 100% /dev
/dev/ada1s1a 451G 48K 415G 0% /var/log/squid
devfs 1.0K 1.0K 0B 100% /var/dhcpd/dev
devfs 1.0K 1.0K 0B 100% /var/captiveportal/zone0/dev

===Archiver les log pendants 365jours===

====Gestion logrodate opnsense====
modifier /etc/newssyslog.conf.d/squid comme ci dessous
# logfilename [owner:group] mode count size when flags [/pid_file] [sig_num]
/var/log/squid/access.log squid:squid 644 365 * @T00 ZB /var/run/squid/squid.pid 30
/var/log/squid/cache.log squid:squid 644 2 * @T00 ZB /var/run/squid/squid.pid 30
/var/log/squid/store.log squid:squid 644 2 * @T00 ZB /var/run/squid/squid.pid 30

====Archivage journalier autonome====
Création d'une archive aillant pour nom la date et envoi a un serveur ftp en créant l’arborescence

Renseigner le fuseau horaire ainsi que le nom d’hôte et domaine.

C'est ceux-ci qui seront utilisé pour créer le répertoire client sur le serveur FTP (hote.domaine)

[[File:hote.png||600px]]

Création des répertoires et fichier nécessaire
mkdir /var/log/squid/backup
mkdir -p /etc/cxm/scripts/
mkdir /etc/cxm/log/
touch /etc/cxm/log/historique.log

Ajouter le script
vi /etc/cxm/scripts/backup_squid_log_ftp.sh
[https://gitlab.calexium.com/sebastien/Opnsense-Portail-captif/blob/b47e094d347dd5f8949f5a4e013f1afe39b30dc9/backup_squid_log_ftp.sh Liens vers script gitlab.calexium]

Mettre les droits
chmod +x /etc/cxm/scripts/backup_squid_log_ftp.sh

Planifier le lancement du script tout les jours avant le newssyslog (lancé à minuit)

Créer un fichier cxm_crontab dans le répertoire /etc/cron.d/
touch /etc/cron.d/cxm_crontab

Mettre les droits
chmod +X /etc/cron.d/cxm_crontab

Ajouter dans le fichier:
# /etc/crontab - root's crontab for FreeBSD
#
# $FreeBSD$
#
SHELL=/bin/sh
PATH=/etc:/bin:/sbin:/usr/bin:/usr/sbin
#
#minute hour mday month wday who command
#
59 23 * * * (csh /etc/cxm/scripts/backup_squid_log_ftp.sh) > /dev/null

Pour verifier:
crontab -l

ou modifier /etc/crontab et ajouter

# CXM Script save log
53 23 * * * root csh /etc/cxm/scripts/backup_squid_log_ftp.sh

@@ Ligne 214 : / Ligne 214 : @@
 Planifier le lancement du script tout les jours avant le newssyslog (lancé à minuit)
-Créer un fichier tiscom_crontab dans le répertoire /etc/cron.d/
+Editer crontab
-  touch /etc/cron.d/tiscom_crontab
+  crontab -e
   # /etc/crontab - root's crontab for FreeBSD
+  #
@@ Ligne 229 : / Ligne 225 : @@
+  #
   #minute hour    mday    month   wday    who     command
+  #
-Pour verifier:
+Pour vérifier:
   crontab -l
 [[Catégorie:OPNSense]]

← Version précédente		Version du 5 avril 2020 à 12:25
Ligne 1 :		Ligne 1 :
−	[[]]OPNSense\|Retour	+	[[OPNSense\|Retour]]

	==Configuration du réseau invité==		==Configuration du réseau invité==

← Version précédente		Version du 5 avril 2020 à 12:25
Ligne 1 :		Ligne 1 :
		+	[[]]OPNSense\|Retour
		+
	==Configuration du réseau invité==		==Configuration du réseau invité==
	===Ajouter l’interface.===		===Ajouter l’interface.===

← Version précédente		Version du 29 mars 2020 à 11:50
Ligne 240 :		Ligne 240 :
	# CXM Script save log		# CXM Script save log
	53 23 * * * root csh /etc/cxm/scripts/backup_squid_log_ftp.sh		53 23 * * * root csh /etc/cxm/scripts/backup_squid_log_ftp.sh
		+
		+	[[Catégorie:OPNSense]]

@@ Ligne 158 : / Ligne 158 : @@
 ====Formater le HDD====
-  fdisk -I /dev/ada1
+  fdisk -I /dev/ada0 # si "Working on device /dev/ada0" continuer tout de même
-  bsdlabel -w ada1s1
+  bsdlabel -w ada0s1
-  newfs -U /dev/ada1s1a
+  newfs -U /dev/ada0s1a
 ====Changer l'emplacement des log vers le HDD====

@@ Ligne 201 : / Ligne 201 : @@
 Création des répertoires et fichier nécessaire
   mkdir /var/log/squid/backup
-  mkdir -p /etc/cxm/scripts/
+  mkdir -p /etc/tiscom/scripts/
-  mkdir /etc/cxm/log/
+  mkdir /etc/tiscom/log/
-  touch /etc/cxm/log/historique.log
+  touch /etc/tiscom/log/historique.log
 Ajouter le script
-  vi /etc/cxm/scripts/backup_squid_log_ftp.sh
+  vi /etc/tiscom/scripts/backup_squid_log_ftp.sh
 [https://gitlab.calexium.com/sebastien/Opnsense-Portail-captif/blob/b47e094d347dd5f8949f5a4e013f1afe39b30dc9/backup_squid_log_ftp.sh Liens vers script gitlab.calexium]
 Mettre les droits
-  chmod +x /etc/cxm/scripts/backup_squid_log_ftp.sh
+  chmod +x /etc/tiscom/scripts/backup_squid_log_ftp.sh
 Planifier le lancement du script tout les jours avant le newssyslog (lancé à minuit)
-Créer un fichier cxm_crontab dans le répertoire /etc/cron.d/
+Créer un fichier tiscom_crontab dans le répertoire /etc/cron.d/
-  touch /etc/cron.d/cxm_crontab
+  touch /etc/cron.d/tiscom_crontab
 Mettre les droits
-  chmod +X /etc/cron.d/cxm_crontab
+  chmod +X /etc/cron.d/tiscom_crontab
 Ajouter dans le fichier:
@@ Ligne 230 : / Ligne 230 : @@
   #minute hour    mday    month   wday    who     command
+  #
-      23      *       *       *       (csh /etc/cxm/scripts/backup_squid_log_ftp.sh) > /dev/null
+      23      *       *       *       (csh /etc/tiscom/scripts/backup_squid_log_ftp.sh) > /dev/null
 Pour verifier:
@@ Ligne 237 : / Ligne 237 : @@
 ou modifier  /etc/crontab et ajouter
-  # CXM Script save log
+  # Tiscom Script save log
-      23      *       *       *       root    csh /etc/cxm/scripts/backup_squid_log_ftp.sh
+      23      *       *       *       root    csh /etc/tiscom/scripts/backup_squid_log_ftp.sh
 [[Catégorie:OPNSense]]

@@ Ligne 116 : / Ligne 116 : @@
 ''Onglet: Forward Proxy''
 l'adresse de la liste:
-  ftp://ftp.ut-capitole.fr/pub/reseau/cache/squidguard_contrib/blacklists.tar.gz
+ ftp://ftp.ut-capitole.fr/pub/reseau/cache/squidguard_contrib/blacklists.tar.gz
 [[File:proxy-blacklist.png|700px]]
@@ Ligne 123 : / Ligne 122 : @@
 Télécharger les ACLs et les appliquer
 [[File:proxy-blacklist-acl.png|900px]]
 ==Optimisation==

@@ Ligne 82 : / Ligne 82 : @@
 ==Configuration du proxy==
-====Créer une autorité de certification interne=====
+====Créer une autorité de certification interne====
 ''Systeme -> Trust -> Autorités''
 [[File:ca-proxy.png|900px]]
 ====Activer le proxy====

@@ Ligne 1 : / Ligne 1 : @@
 ==Configuration du réseau invité==
-====Ajouter l’interface.====
+===Ajouter l’interface.===
 ''Interfaces -> Assignations''
@@ Ligne 8 : / Ligne 8 : @@
-====Configurer l'interface====
+===Configurer l'interface===
 ''Interfaces -> opt1''
@@ Ligne 14 : / Ligne 14 : @@
-====Configurer le DHCP====
+===Configurer le DHCP===
 ''Services -> DHCPv4 -> LANGUEST''
@@ Ligne 20 : / Ligne 20 : @@
-====Renseigner DNS====
+===Renseigner DNS===
 ''Système -> Paramètres -> Général''
@@ Ligne 26 : / Ligne 26 : @@
-====Redirection DNS====
+===Redirection DNS===
 ''Pare-feu -> Nat -> Redirection de port''
@@ Ligne 32 : / Ligne 32 : @@
-====Création des règles de firewall====
+===Création des règles de firewall===
 ''Pare-feu -> Paramètres -> Avancé''
 En activant cette option, les règles du portail captif (8000 à 10000) et proxy (3128 et 3129) sont créer et gérer par OPNsense (non visible depuis la GUI)
@@ Ligne 48 : / Ligne 48 : @@
 ==Configuration du portail captif==
-====Import Template====
+===Import Template===
 ''Services-> Portail Captif -> Administration -> Modèles''
@@ Ligne 56 : / Ligne 56 : @@
-====Configuration du serveur d'authentification====
+===Configuration du serveur d'authentification===
 Plusieurs options sont possibles :
-======Vide : Sans authentification======
+*Vide : Sans authentification
-======[[Local Database]] : Permet de créer des utilisateurs manuellement qui seront stocké dans la base de donné opnsense======
+*[[Local Database]] : Permet de créer des utilisateurs manuellement qui seront stocké dans la base de donné opnsense
-======[[Tickets]] : Permet de générer des utilisateurs temporaire en masse======
+*[[Tickets]] : Permet de générer des utilisateurs temporaire en masse
-======Ldap : (non documenté)======
+*Ldap : (non documenté)
-======Radius: (Non documenté)======
+*Radius: (Non documenté)