Le 26/09/2014 15:05, Pierre B. a écrit :
> détectés en 10BaseT Half-Duplex (on est loin du Gigabit ... :).
>
> Merci quand même du retours.
>
>
>
> On 26/09/2014 13:07, Jean-Francois Simon wrote:
>> Merci pour ce partage en effet ; ça pourrait être utile aussi.
>>
>> Jean-François
>>
>> Le 26/09/2014 00:15, FERRERE Frédéric a écrit :
>>> Bonsoir,
>>>
>>> je vous propose un petit retour d'expérience sur la mise en place
>>> d'une modeste infra dans un cadre associatif.
>>>
>>> L'idée de base était de fournir dans 2 bâtiments distincts
>>> un réseau informatique ouvert à tous
>>> mais dont la sortie vers internet n'est autorisée
>>> que pour les utilisateurs "authentifiés".
>>>
>>> La connexion ouvert à tous en local permet l'utilisation
>>> en réseau de machines outils et d'imprimantes.
>>>
>>> Les utilisateurs sont membres de l'association
>>> et viennent avec leur propre ordinateur.
>>>
>>> Les connexions disponibles sont filaires et wifi.
>>>
>>> Le tout est piloté par :
>>> - une borne wifi avec OpenBSD 5.5
>>> - un firewall avec OpenBSD 5.4
>>>
>>>
>>> Pour le wifi, j'ai opté pour un boitier ALIX 2D13
>>> complété par une CARTE MINI PCI WIFI ATHEROS DNMA−92
>>> et une carte MC 256Mo pour le stockage.
>>>
>>> La configuration de la borne est de type bridge,
>>> juste un pont vers le firewall.
>>>
>>> Pour le réseau, je me suis inspiré de la documentation suivante :
>>>
http://www.bsdnow.tv/tutorials/openbsd-router>>>
>>> Là ou ça se corse un peu c'est l'utilisation de la carte MC.
>>> Elle n'a pas trop apprécié une installation classique du FS
>>> Voici à quoi ressemblait le fstab au départ :
>>> 318e7dde7b63a84b.a / ffs rw,softdep,noatime 1 1
>>>
>>> Malheureusement les options softdep et noatime n'ont pas empêché la
>>> carte MC de souffrir :
>>> freeze du système avec des erreurs sur le fs (/dev à priori).
>>> Malheureusement je n'ai pas pensé à garder les messages
>>> d'erreur dans un coin.
>>>
>>> En lisant les man/blogs et autres docs, comme
>>>
http://www.packetmischief.ca/openbsd-compact-flash-firewall/,
>>> j'ai pris le parti de mettre qqs répertoires en RAM via tmpfs
>>>
>>> /etc/fstab
>>> 318e7dde7b63a84b.a / ffs rw,softdep,noatime 1 1
>>> tmpfs /tmp tmpfs rw 0 0
>>> tmpfs /var/tmp tmpfs rw 0 0
>>> tmpfs /var/run tmpfs rw 0 0
>>> tmpfs /var/log tmpfs rw 0 0
>>>
>>> Modification de /etc/rc pour mettre /dev en ram
>>>
>>> umount -a >/dev/null 2>&1
>>> mount -a -t nonfs,vnd
>>> mount -uw / # root on nfs requires this, others aren't hurt
>>> rm -f /fastboot # XXX (root now writeable)
>>>
>>> echo -n "Making memory filesystems... "
>>> echo -n "/dev "
>>> mount_tmpfs tmpfs /dev
>>> cd /dev && /sbin/MAKEDEV all
>>> chmod 755 /dev
>>> echo
>>>
>>> Plus envoie des logs de la borne sur le firewall.
>>>
>>>
>>> Quand au firewall (hostname = fw) il offre au réseau interne les
>>> services suivants :
>>> - cache DNS
>>> - serveur DHCP
>>> - serveur de logs (accepte les logs que de la borne wifi)
>>> - serveur Web NGINX pour afficher une page d'informations sur comment
>>> "ouvrir" l'accès via putty pour les windows ou ssh/terminal pour
>>> unix and co.
>>> - firewall : PF et AuthPF
>>>
>>> PF intercepte toutes les requêtes http et https vers l'extérieur
>>> et les redirigent vers le firewall :
>>>
>>> pass in on $int_if proto tcp from $int_network to ! $int_if port http
>>> rdr-to $int_if port http
>>> pass in on $int_if proto tcp from $int_network to ! $int_if port https
>>> rdr-to $int_if port https
>>>
>>> Côté NGINX il faut réécrire l'entête HTTP (/etc/nginx/nginx.conf)
>>>
>>> if ($host != fw) {
>>> rewrite ^/(.*)$
http://fw/ permanent;
>>> }
>>>
>>>
>>> Pour la partie "ouverture" vers l'extérieur :
>>> 1) les comptes sont créés avec comme shell : /usr/sbin/authpf
>>> 2) pf.conf avec l'"ancre" authpf
>>> # Anchor for authpf
>>> anchor "authpf/*"
>>>
>>> 3) /etc/authph/authpf.rules
>>> int_if = "xl0"
>>>
>>> pass in on $inf_if from $user_ip to any
>>>
>>> # le quick sert à "court-circuiter" les règles rdr-to (citées ci-dessus)
>>> # qui sont positionnées en fin de fichier de conf et qui redirige les
>>> connexions http et https
>>> pass in quick on $inf_if proto tcp from $user_ip to any port { http
>>> https }
>>>
>>>
>>> Pour conclure, j'ai une installation qui a demandé peut d'investissement,
>>> qui est assez simple à mettre en place et full openbsd.
>>>
>>> Une expérience qu'il me semblait intéressante à partager.
>>>
>>> Il manque juste une petite interface web pour créer les comptes
>>> utilisateurs
>>> et ça sera parfait :)
>>>
>>> Les commentaires, remarques, suggestions, critiques constructives
>>> sont les bienvenues. :)
>>>
>>> Cordialement,
>>> --
>>> Frédéric
>>>
>>>
>>>
>>>
>>> ________________________________
>>> French OpenBSD mailing list
>>>
[hidden email]
>>>
http://www.openbsd-france.org/communaute.php>>>
>>
>>
>> ________________________________
>> French OpenBSD mailing list
>>
[hidden email]
>>
http://www.openbsd-france.org/communaute.php>>
>
Locked
