CentOS 5 - Pare-feu de passerelle domestique avec serveur DHCP pour le partage de connexion

CentOS 5 - Pare-feu de passerelle domestique avec serveur DHCP pour le partage de connexion

Version 1.0
Auteur : Cameron Camp
Dernière modification : 16 janv. 2008

Si vous essayez de configurer un réseau domestique, vous voudrez probablement mettre en place un ordinateur faisant face à l’extérieur connecté à votre modem DSL/Câble, puis placer tous vos ordinateurs derrière cette boîte de pare-feu pour les garder en sécurité. Ce tutoriel vous montrera comment utiliser une seule connexion externe sur l’ordinateur passerelle (en utilisant le pare-feu Iptables), et une seconde connexion interne sur la même boîte afin que vous puissiez connecter les ordinateurs à l’intérieur de votre maison/bureau, et leur attribuer automatiquement des adresses IP lorsque vous les branchez (en utilisant le serveur DHCP). Iptables peut être très compliqué, nous allons seulement configurer un pare-feu de base, vous pourrez ajouter plus de sécurité plus tard sans casser les choses. Sous Linux, il existe de nombreuses façons de faire cela, celle-ci est espérons-le suffisamment simple et vous apprendra les bases. J’ai fait cela sur une boîte CentOS 5, bien que cela fonctionne sur des variantes Debian avec seulement de légères modifications. Pendant ce tutoriel, je suis connecté en tant que root, ce que vous ne devriez généralement PAS faire, mais cela rend le tutoriel plus simple, mais si vous préférez le faire de manière plus sécurisée, ajoutez “sudo” avant chaque commande et cela fonctionnera.

Les ordinateurs à l’intérieur de votre bureau pourront également communiquer entre eux, vous pourrez donc connecter des imprimantes, des ordinateurs et partager des connexions réseau via le commutateur également. Vous pouvez également configurer des choses sur votre boîte serveur passerelle plus tard, comme un disque de sauvegarde réseau pour tous vos ordinateurs en utilisant Samba relativement simplement. Il y a beaucoup d’évolutivité dans cette configuration, mais nous allons garder cela simple pour l’instant.

La première chose à faire sur votre serveur passerelle est de configurer et d’activer Iptables, le pare-feu par défaut qui vient avec CentOS. Nous allons lui dire de permettre le trafic sortant de votre interface eth1 vers Internet. Vous devez ajouter une entrée Iptables, la sauvegarder et redémarrer Iptables.

iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE  
service iptables save  
service iptables restart

Maintenant, nous devons dire au noyau de commencer à autoriser le transfert afin que la règle fonctionne :

echo 1 > /proc/sys/net/ipv4/ip_forward

Cela ne fonctionnera que jusqu’à ce que vous redémarriez, alors faisons-le permanent, en utilisant votre éditeur de choix, ajoutez la ligne suivante à /etc/sysconfig/network :

FORWARD_IPV4=YES

Maintenant, nous devons configurer un serveur DHCP pour attribuer des adresses IP aux ordinateurs à l’intérieur du LAN. Nous faisons cela en installant le serveur DHCP comme ceci :

yum install dhcp

Par défaut, un fichier DHCP d’exemple sera créé que nous allons éditer puis remplacer par le vrai :

cd /usr/share/doc/dhcp-whateverversionyouhave/  
vi dhcpd.conf.sample

Vous pouvez couper/coller celui que j’utilise, ou simplement éditer le vôtre pour l’adapter à vos besoins. Un mot de prudence, votre réseau pourrait être différent du mien. Ce fichier donnera à vos ordinateurs internes une plage d’adresses IP de 192.168.0.128 à 192.168.0.254 avec un masque de sous-réseau de 255.255.255.0, changez-le selon vos besoins. Vous devrez également faire correspondre les informations IP sur eth1 avec une IP statique plus tard si vous utilisez vos propres valeurs ici.

ddns-update-style none; # gardons-le simple pour l'instant
ignore client-updates;  # ici aussi
DHCPARGS=eth1;          # indique l'interface à écouter
subnet 192.168.0.0 netmask 255.255.255.0 {
# --- passerelle par défaut
       option routers                  192.168.0.1;   # passerelle sur votre interface interne eth1
       option subnet-mask              255.255.255.0; # masque de sous-réseau
       option domain-name              "example.com" # nom de domaine attribué au client
       option domain-name-servers      209.242.10.10; # l'IP des serveurs de noms de votre FAI que vous utilisez
       option time-offset              -18000;        # Heure normale de l'Est - définissez selon ce que vous avez
       range 192.168.0.128 192.168.0.254;             # la plage d'adresses IP que vos clients obtiendront
       default-lease-time 21600;                      # combien de temps les clients garderont la même IP
       max-lease-time 43200;
       # nous voulons que le serveur de noms apparaisse à une adresse fixe
       host ns {
               next-server ns1.ispserver.net;         # changez pour les serveurs de noms de votre FAI
               hardware ethernet 00:09:5B:8E:05:67;   # matériel MAC
               fixed-address 209.242.10.10;           # l'IP du serveur de noms de votre FAI
      }
}

Maintenant, sauvegardez votre fichier de configuration dhcp actuel et copiez celui que vous venez de créer par-dessus :

mv /etc/dhcpd.conf /etc/dhcpd.conf.old  
cp dhcpd.conf.sample /etc/dhcpd.conf

Maintenant, nous redémarrons le serveur DHCP (après avoir vérifié la configuration pour des erreurs, s’il y a des erreurs, vous les trouverez listées dans /var/log/messages) afin que les changements prennent effet

service dhcpd configtest  
service dhcpd restart

Maintenant, nous devons configurer l’interface eth1 (interne) pour correspondre à ce que nous venons de faire dans le serveur DHCP, alors éditez le fichier /etc/sysconfig/network-scripts/ifcfg-eth1 pour qu’il ressemble à ceci :

DEVICE=eth1
BOOTPROTO=static
ONBOOT=yes
IPADDR=192.168.0.1
NETMASK=255.255.255.0
GATEWAY=10.1.10.43

Vous devrez éditer au moins l’IP de la passerelle, c’est juste l’IP de mon interface eth0, changez-la pour qu’elle corresponde à l’IP de votre eth0, que vous pouvez trouver en exécutant :

ifconfig

Cela devrait dire quelque chose comme : eth0 inet addr:10.1.10.43, c’est celui que vous voulez.

Ensuite, vous devez dire à votre ordinateur d’écouter la demande DHCP caractéristique qui traverse le réseau interne. Lorsqu’un ordinateur client cherche une adresse DHCP, il envoie un signal à quiconque écoutera avec une adresse IP de 255.255.255.255, donc vous devez dire à votre serveur DHCP d’écouter cette IP :

route add -host 255.255.255.255 dev eth1

Alors maintenant, nous testons la configuration. Vous devriez être en mesure d’aller sur l’un des ordinateurs clients, de le connecter au commutateur où votre passerelle est connectée (dans mon cas, un commutateur Netgear bon marché de 30 $ modèle # FS608) et il devrait trouver une IP en utilisant votre nouveau serveur DHCP, et vous devriez être en mesure de naviguer sur Internet.

Vous devriez également configurer votre pare-feu pour bloquer plus de choses que ce que nous avons fait dans ce tutoriel pour garder vos ordinateurs internes en sécurité, ce que vous pouvez faire en utilisant l’outil de configuration intégré en exécutant :

setup

pour dire au pare-feu ce qu’il doit bloquer. Une règle de base est de bloquer tout et ensuite de n’autoriser que ce dont vous avez besoin, mais vous pouvez lire à ce sujet ailleurs en profondeur si vous le souhaitez.