Intérêt des VLAN

• séparation logique des réseaux Voix & Data
• séparation logique des services d'une entreprise
• mise en place d'un réseau invité différent du réseau local

Mode de fonctionnement des VLAN

• le subnet associé (ex : 192.168.1.0/24)
• l'ID du VLAN (allant de 1 à 4094)

Terminologie

• tagged port (= trunk port chez Cisco)
• untagged port (= access port chez Cisco)

Tagged port

Untagged port

Cas concret : séparation VLAN voix / VLAN data

• pfSense fait office de routeur/firewall et de serveur DHCP pour l'ensemble des VLAN
• Les ordinateurs (et tous les autres équipements sauf téléphones) disposent d'une adresse IP sur la plage 192.168.1.0/24 - VLAN 10 (ce sera notre VLAN par défaut - configuré en untagged)
• Les postes téléphoniques disposent d'une adresse IP sur la plage 192.18.2.0/24 - VLAN 20 (VLAN dédié à la téléphonie - configuré en tagged)
• Le switch de cœur de réseau est un switch supportant les VLAN
• Tous les ordinateurs sont branchés derrière un téléphone. C'est-à-dire que sur chaque port du switch il y aura généralement deux équipements branchés : un téléphone (dans le VLAN 20) et un ordinateur (VLAN 10) branché derrière

Configuration du pfSense

• VLAN "LAN Data"
• VLAN "LAN VoIP"

1. Parent interface : l'interface physique à laquelle sera rattachée le VLAN
2. VLAN tag : l'ID du VLAN (la valeur doit être comprise entre 1 et 4094)
3. VLAN Priority : la priorité à appliquer au VLAN (la valeur doit être comprise entre 0 et 7)
4. Description : champ optionnel de description du VLAN

1. Enable Interface : cocher cette case pour activer l'interface
2. Description : nom de l'interface
3. IPv4 Configuration Type : la configuration IPv4 de cette interface. Dans notre cas, nous choisissons "Static IPv4"
4. IPv6 Configuration Type : la configuration IPv6 de cette interface. Dans notre cas, nous choisissons "None"
5. MAC controls : par défaut, c'est l'adresse MAC de l'interface physique qui est utilisée. Elle peut être personnalisée ici
6. MTU : la MTU pour cette interface. 1500 octets par défaut
7. MSS : "Maximum Segment Size", devrait être inférieur au MTU. Nous laissons vide
8. Speed and duplex : nous laissons le choix par défaut

Configuration du Switch

1. Déclaration des VLAN sur le switch - sur la plupart des switches, il faut déclarer les VLANs avant de pouvoir les configurer sur n'importe quel port (dans notre cas, nous déclarons 2 VLAN : vlan_data avec l'ID 10 et vlan_voix avec l'ID 20)
2. Configuration du port du switch sur lequel est branché le pfSense en mode trunk (ou tagged) sur les VLAN 10 et 20
3. Configurer les ports du switch sur lesquels seront branchés les PC en mode access (ou untagged) - dans notre cas sur le VLAN 10
4. Configurer les ports du switch sur lesquels seront branchés les téléphones en mode trunk (ou tagged) - dans notre cas sur le VLAN 20

sw# vlan database
sw(vlan)# vlan 10 name "vlan_data"
sw(vlan)# vlan 20 name "vlan_voix"
sw(vlan)# exit

sw# configure terminal
sw(config)# interface FastEthernet0/24
sw(config-if)# switchport mode trunk

sw# configure terminal
sw(config)# interface FastEthernet0/12
sw(config-if)# switchport mode access
sw(config-if)# switchport access vlan 20

Peut-on configurer un VLAN sur le port LAN ?

Pour aller plus loin

Retrouvez nos services et firewall pour pfSense

store.provya.fr

Tags de l'article : pfSensesécuritéVLAN

fail2ban & iptables, qu'est-ce que c'est ?

[1/4] Pour commencer : soyons pragmatiques

1. n'autoriser que ce qui est nécessaire. C'est-à-dire que l'on n'activera pas les services que l'on n'utilise pas d'une part, et que l'on appliquera des filtrages par adresse IP lorsque cela est possible d'autre part.
2. ne pas utiliser un identifiant et/ou un mot de passe simple. Jamais. Il ne faut pas utiliser d'identifiant trivial comme : "100", "abc", "demo", "Pierre", "test", "temporaire", etc. Idem pour les mots de passe.

Filtrer l'authentification SIP par adresse IP

deny=0.0.0.0/0.0.0.0
permit=33.12.13.14/255.255.255.255

deny=0.0.0.0/0.0.0.0
permit=33.12.13.14/255.255.255.255
permit=33.22.23.24/255.255.255.255

Appliquer une sécurité de base sur notre configuration SIP

[general]
...
allowguest=no
alwaysauthreject=yes
...

• allowguest=no : bloque la possibilité de passer un appel sans être préalablement enregistré
• alwaysauthreject=yes : configure Asterisk pour qu'il renvoi le même message d'erreur générique lors d'une tentative de connexion erronée, que l'identifiant soit valide ou non

Utiliser un bon identifiant et un bon mot de passe

; Appel vers l'extension 100
exten => 100,1,Dial(SIP/aB7ytWxEd,25,rtT)
   same => n,Voicemail(100@mycontext,u)
   same=> n,Hangup()

[2/4] Bye-bye script-kiddies ou comment réduire le nombre d'attaques d'environ 99%

[general]
bindport=5872

[3/4] Configurer fail2ban pour Asterisk

Debian/Ubuntu/Mint : apt-get install fail2ban
CentOS/RedHat : yum install fail2ban (s'il ne trouve pas le paquet fail2ban, le faire précéder d'un yum install epel-release)

3.1 - Créons un fichier de log Asterisk pour fail2ban

fail2ban => notice,security

myserver# asterisk -rx 'logger reload'

3.2 - Créons un "jail" pour Asterisk

[asterisk-provya]
enabled  = true
ignoreip = 127.0.0.1 1.2.3.4
filter   = asterisk
action   = iptables-allports[name=asterisk, protocol=all]
logpath  = /var/log/asterisk/fail2ban
findtime  = 10m
maxretry = 3
bantime  = 360m

• [asterisk-provya] : nom de notre jail (prison)
• enabled = true : permet d'activer ce jail ; c'est-à-dire cette règle
• ignoreip = 127.0.0.1 1.2.3.4 : la liste des adresses IP sources qui ne doivent pas être prises en compte par fail2ban. Il s'agit généralement des adresses IP légitimes comme l'adresse IP de notre connexion Internet ou d'un serveur VPN, par exemple. Il est recommandé de toujours laisser l'adresse 127.0.0.1. Chaque adresse IP doit être séparée par un simple espace.
• filter = asterisk : le nom du filtre qui contient l'expression régulière qu'utilisera fail2ban pour détecter les tentatives d'intrusion. Le filtre "asterisk" est un filtre déjà pré-existant avec fail2ban. Il est bien fait. Nous l'utilisons.
• action = iptables-allports[name=asterisk, protocol=all] : l'action qui sera exécutée par fail2ban lorsque les critères de déclenchement s'activeront. Dans le cas présent, nous indiquons à fail2ban d'utiliser l'action "iptables-allports" qui est une action pré-existante qui va créer une règle iptables de filtrage. La règle de filtrage iptables comportera le mot clef "asterisk" (ce qui nous permettra de la repérer facilement) et bloquera tous les ports de notre serveur pour l'adresse IP source incriminée (protocol=all).
• logpath = /var/log/asterisk/fail2ban : le nom du fichier de log que fail2ban devra lire pour détecter les tentatives d'intrusion. Il s'agit du fichier de log Asterisk que nous avons créé à l'étape précédente.
• findtime = 10m : la durée sur laquelle le nombre de tentatives de connexion va être prise en compte par fail2ban. Ici, 10 minutes.
• maxretry = 3 : le nombre de tentatives de connexions à partir de laquelle notre filtrage va se déclencher. Ici, 3 tentatives.
• bantime = 360m : la durée de bannissement. Ici, 360 minutes, soit 6 heures. Si vous souhaitez bannir une adresse IP plus d'une journée, il vous faudra personnaliser la valeur de "dbpurgeage" du fichier fail2ban.conf

3.3 - [Optionnel] Personnalisons le filtre pour Asterisk

^Call from '[^']*' \(<HOST>:\d+\) to extension '[^']*' rejected because extension not found in context

systemctl reload fail2ban

3.4 - Les commandes utiles pour fail2ban

• fail2ban-client status : liste tous les « jails » configurés
• fail2ban-client status asterisk-provya : affiche le statut du jail spécifié (ici, asterisk-provya) et précise le nombre d'adresses IP bannies
• systemctl restart fail2ban : redémarre le service fail2ban
• fail2ban-client set asterisk-provya banip 1.2.3.4 : permet de bannir manuellement l'adresse IP 1.2.3.4 dans le jail asterisk-provya
• fail2ban-client set asterisk-provya unbanip 1.2.3.4 : permet de dé-bannir manuellement une adresse IP qui a été précédemment bannie
• fail2ban-regex /var/log/asterisk/fail2ban /etc/fail2ban/filter.d/asterisk.conf : permet de tester le bon fonctionnement d'un filtre fail2ban sur un fichier de log
• fail2ban-client get dbpurgeage : affiche la durée maximum durant laquelle les adresses IP bannies seront conservées
• fail2ban-client get asterisk-provya bantime : affiche la durée de bannissement du jail indiqué

[4/4] Configurer iptables pour Asterisk

• serveur Asterisk (SIP) : port UDP/5060 (ou celui que vous aurez configuré précédemment !)
• serveur Asterisk (flux audio RTP) : ports UDP/10.000-20.000
• serveur SSH : port TCP/22
• interface d'administration web (si installée) : port TCP/443
• ICMP (si l'on souhaite que son serveur réponde au ping) : icmp

• mise à jour (HTTP/HTTPS) : ports TCP/80, TCP/443
• flux NTP : port UDP/123
• flux DNS : port UDP/53
• flux trunk SIP : port UDP/5060 (ou celui configuré par votre opérateur SIP)
• flux RTP : ports UDP/10.000-20.000

• Nous autorisons l'accès aux services d'administration du serveur (SSH et HTTPS, par exemple) uniquement pour l'adresse IP de la connexion Internet de notre entreprise : 188.10.11.12
• Nous n'appliquons pas de filtrage par adresse IP pour les services Asterisk (SIP & RTP) afin de permettre l'accès par les utilisateurs nomades
• Nous autorisons la plage d'adresses IP utilisées par notre opérateur SIP : 51.5.6.0/24

iptables -A INPUT -s 51.5.6.0/24 -p udp -m udp --dport 5060 -m comment --comment "Opérateur SIP - flux SIP" -j ACCEPT
iptables -A INPUT -s 51.5.6.0/24 -p udp -m udp --dport 10000:20000 -m comment --comment "Opérateur SIP - flux RTP" -j ACCEPT
iptables -A INPUT -s 188.10.11.12/24 -p tcp -m tcp --dport 443 -m comment --comment "Administration - IP du bureau" -j ACCEPT
iptables -A INPUT -s 188.10.11.12/24 -p tcp -m tcp --dport 22 -m comment --comment "Administration - IP du bureau" -j ACCEPT
iptables -A INPUT -m comment --comment "filtrage fail2ban" -j asterisk-provya
iptables -A INPUT -p udp -m udp --dport 5060 -m comment --comment "Flux SIP Open" -j ACCEPT
iptables -A INPUT -p udp -m udp --dport 10000:20000 -m comment --comment "Flux RTP Open" -j ACCEPT
iptables -A INPUT -p icmp -m comment --comment "si l'on souhaite autoriser les PING" -j ACCEPT
iptables -A INPUT -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
iptables -A INPUT -m comment --comment "On bloque tout le reste" -j DROP

iptables -A asterisk-provya -j RETURN

iptables -A OUTPUT -d 51.5.6.0/24 -p udp -m udp --dport 5060 -m comment --comment "Opérateur SIP - flux SIP" -j ACCEPT
iptables -A OUTPUT -d 51.5.6.0/24 -p udp -m udp --dport 10000:20000 -m comment --comment "Opérateur SIP - flux RTP" -j ACCEPT
iptables -A OUTPUT -p udp -m udp --dport 10000:20000 -m comment --comment "Flux RTP Open" -j ACCEPT
iptables -A OUTPUT -p udp -m tcp --dport 80,443 -m comment --comment "Flux HTTP/HTTPS" -j ACCEPT
iptables -A OUTPUT -p udp -m udp --dport 123 -m comment --comment "Flux NTP" -j ACCEPT
iptables -A OUTPUT -d 9.9.9.9/32 -p udp -m udp --dport 53 -m comment --comment "Flux DNS vers Quad9" -j ACCEPT
iptables -A OUTPUT -p icmp -m comment --comment "si l'on souhaite autoriser les PING" -j ACCEPT
iptables -A OUTPUT -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
iptables -A OUTPUT -m comment --comment "On bloque tout le reste" -j DROP

Commandes utiles pour iptables[/u]

• [b]iptables -L -n : liste toutes les règles iptables (l'option -n permet l'affichage des adresse IP au format numérique)
• iptables -L --line-numbers : affiche le numéro de ligne de chaque règle
• iptables -D OUTPUT 2 : supprime la règle numéro 2 de la chaîne OUTPUT
• iptables-save > provya.txt : fait une sauvegarde des règles iptables vers le fichier provya.txt
• iptables-restore < provya.txt : restaure les règles contenues dans le fichier provya.txt

Pour aller plus loin

Retrouvez nos services et firewall pour pfSense

store.provya.fr

Tags de l'article : asterisklinuxsécurité

Activer et vérifier les logs !

S'assurer que la règle est configurée sur la bonne interface

Vérifier l'ordre de ses règles

1. Règles "floating" : ce sont les règles analysées en premier ;
2. Règles de groupe d'interfaces : second jeu de règles à être analysé. Cela comprend le groupe "IPsec" et "OpenVPN" ;
3. Règles de l'interface : les règles configurées sur l'interface (LAN, WAN, OPT1, ...) ne sont analysées qu'en dernier.

• règles d'Outbound NAT
• règles de translation de ports (Port Forwards)
• règles de NAT pour le load-balancing
• règles reçues dynamiquement par les clients OpenVPN et par RADIUS pour IPsec
• règles automatiques internes (obtenues par diverses sources comme snort, DHCP, ...)
• règles définies par l'utilisateur (sur l'interface floating, sur les interfaces de groupes et pour chaque interface)
• règles automatiques pour les VPN

Vérifier le protocole

Translation de port & NAT

Port source et port destination

Penser à réinitialiser la table d'état si nécessaire

Trafic ne pouvant pas être filtré

Règle "pass" automatiquement associée au Port Forward

Routage asymétrique

Pour aller plus loin

Retrouvez nos services et firewall pour pfSense

store.provya.fr

Tags de l'article : debugpfSense