Firewall on slash-root.fr

OPNsense : Block malicious IPs

Thu, 21 Mar 2024 10:08:02 +0100

Un jour, j'ai décidé d'ajouter des blocklists à mes instances Crowdsec. Tout fier, j'en informe mon copain BoB sur Discord. C'est à ce moment là, qu'il me répond : "Hey, rajoute cette liste comportant + de 200k IP !"

Cette fameuse liste est disponible sur ce dépôt git : https://github.com/duggytuxy/Intelligence_IPv4_Blocklist

En complément : Un clin dœil à Romain Marcoux pour ses travaux open source liés autour de la CTI : https://github.com/romainmarcoux

La communauté BE.CYBER a même découpé cette liste pour bypass la limitation des équipements Fortinet. Pour ici, pas besoin de la découper puisque je vais présenter comment la mettre en place sur OPNsense et la mettre à jour automatiquement.

Allez, c'est parti !

Mise en place d’un alias

Pour la mise en place de la liste, il faudra créer un alias. C'est également grâce à cet alias qua liste se mettra à jour automatiquement.

Tout d'abord, se rendre dans Firewall (1), Aliases (2). Puis, ajouter un nouvel alias (3).

5 champs à remplir :
- Name (1) : Le nom qui permettra d'utiliser cet alias dans les règles du firewall.
- Type (2) : Sélectionner URL Table (IPs). Cela va permettre d'indiquer une fréquence de mise à jour.
- Refresh Frequency (3) : Indiquer la fréquence de mise à jour de la liste. Ici, tous les jours.
- Content (4) : La fameuse liste au format raw.
- Description (5) : Le nom de ce champs parle de lui-même.

Lien de la liste : [Update 13/09/2025] https://raw.githubusercontent.com/duggytuxy/Data-Shield_IPv4_Blocklist/refs/heads/main/prod_data-shield_ipv4_blocklist.txt

Valider en cliquant sur Save, puis Apply.

La liste est mise en place avec 8309 entrées à ce jour (1) à travers ce nouvel alias. De plus, on peut constater que le firewall d'OPNsense peut comporter jusqu'à 1 millions d'entrées par défaut (2).

Augmenter le nombre d’entrées

Si cette limite d'un million d'entrées dans le système n'est pas suffisante, il est possible de l'augmenter.

Se rendre dans Firewall (1), Settings (2), Advanced (3), et indiquer le nombre désiré (4).

Valider en cliquant sur Save.

Configuration des règles du firewall

Pour bloquer ces IPs malicieuses en entrées comme en sorties du firewall, il est nécessaire de créer 2 nouvelles règles. Pour réaliser ça, les définir dans Floating est intéressant. Ainsi ces règles vont s'appliquer sur toutes les interfaces en priorité.

Se rendre dans Firewall (1), Rules (2), Floating (3). Puis ajouter une nouvelle règle (4).

4 champs importants :
- Action (1) : Par défaut, ce champs sera sur Pass. Le modifier pour Block
- Direction (2) : Peu importe la direction, on bloque ! Donc, any.
- Source (3) : Sélectionner l'alias créé précédemment.
- Destination (4) : Peu importe la destination ! Donc, any.

Valider en cliquant sur Save.
Créer une seconde règle identique à la première mais en inversant Source et Destination.
Ne pas oublier de cliquer sur Apply pour valider l'ajout de ces 2 règles.

Voilà, c'est mis en place !

Bien évidemment, il est possible d'activer les logs sur ces 2 règles afin d'en mesurer l'impact et/ou pouvoir les remonter dans un SIEM par exemple.

OPNsense : Déploiement d’une instance sur OVHcloud [Partie 2/2]

Fri, 18 Nov 2022 15:17:42 +0100

Cet article fait suite à mon précédent OPNsense : Déploiement d'une instance sur OVHcloud [Partie 1/2] afin d'avoir un routeur opensource exploitable.

Configuration IP

1er démarrage

Lors du 1er démarrage de l'instance OPNsense, un écran similaire à celui-ci est affiché :

L'adressage IP des différentes interfaces réseaux est à paramétrer.

Attention à la dénomination de LAN et de WAN. A ce stade, l'attribution du LAN et du WAN fait par l'installateur est incorrect. En réalite :

vtnet0 = Adresse IP publique soit le WAN pour l'instance

vtnet1 = Adresse IP du vRack soit le LAN pour l'instance

Se connecter

Pour réaliser la configuration IP nécessaire, il faut tout d'abord se connecter dans la console.

Login : root
Password : opnsense

Le menu d'administration de la console est maintenant disponible :

Assignation des interfaces

Comme évoqué précédemment, l'attribution des interfaces faites par l'installeur est erronée. Il faut donc refaire l'assignation des 2 interfaces.

Faire le choix 1 : Assign interfaces
- Do you want to configure LAGGS now ? : N
- Do you want to configure VLANs now ? : N
- Enter the WAN interface name : vtnet0
- Enter the LAN interface name : vtnet1
- Enter the Optional interface 1 name : Press Enter

Le récapitulatif suivant doit être affiché :

The interfaces will be assigned as follows :
WAN -> vtnet0
LAN -> vtnet1

Appliquer les modifications
- Do you want to proceed ? : Y

A présent, les interfaces sont correctement assignées. L'adresse IP publique est récupérée par le DHCP d'OVH sur l'interface WAN.

Paramétrage IP

Avant d'aller plus loin, il va falloir récupérer quelques informations sur l'instance :

L'adresse IP publique et sa passerelle : Ces informations sont disponibles dans le tableau de bord de l'instance.
L'adresse IP sur le vRack : Cette information est disponible dans la liste des instances (colonne IP privée).

Attention au masque de sous-réseau :

IP publique = Masque de sous-réseau en 32 bits

IP privée vRack = Masque de sous-réseau en 16 bits

Puis passer au paramétrage des adresses IP sur OPNsense dans la console VNC :

Faire le choix 2 : Set interface IP address

Available interfaces :
1 - LAN (vtnet1 - static, track6)
2 - WAN (vtnet0 - dhcp, dhcp6)

Paramétrer d'abord l'interface WAN
- Enter the number of the interface to configure : 2
- Configure IPv4 address WAN interface via DHCP ? : N
- Enter the new WAN IPv4 address : Adresse IP publique relevée précédement
- Enter the new WAN IPv4 subnet bit count : 32
- Enter the new WAN IPv4 upstream gateway address : Adresse passerelle / gateway relevé précédement
- Do you want to use the gateway as the IPv4 name server, too ? : N
- Enter the IPv4 name server : 213.186.33.99 (DNS OVH)
- Configure IPv6 address WAN interface via DHCP6 ? : N
- Enter the new WAN IPv6 address : Press Enter
- Do you want to change the web GUI protocol from HTTPS to HTTP ? : N (Un certificat SSL Let's Encrypt sera appliqué plus bas)
- Do you want to generate a new self-signed web GUI certificate ? : N
- Restore web GUI access defaults ? : N

L'interface WAN est paramétrée.

Maintenant, passer au paramétrage de l'interface LAN:

Refaire le choix 2 : Set interface IP address
- Enter the number of the interface to configure : 1
- Configure IPv4 address LAN interface via DHCP ? : N
- Enter the new LAN IPv4 address : Adresse IP privée du vRack relevée précédement
- Enter the new LAN IPv4 subnet bit count : 16
- Enter the new LAN IPv4 upstream gateway address : Press Enter
- Configure IPv6 address LAN interface via DHCP6 ? : N
- Enter the new LAN IPv6 address : Press Enter
- Do you want to enable the DHCP server on LAN ? : N
- Do you want to change the web GUI protocol from HTTPS to HTTP ? : N
- Do you want to generate a new self-signed web GUI certificate ? : N
- Restore web GUI access defaults ? : N

L'interface LAN est paramétrée.

Interface web

1ère connexion

Par défaut, pour se connecter à l'interface web d'administration de la solution OPNsense, il faut s'y connecter à travers l'interface LAN.

Dans le cas présent, il n'y a pas d'autre machine présente sur ce contexte réseau. Il faut donc s'y connecter à travers l'interface WAN.

Pour se faire, dans la console VNC de l'instance :

Faire le choix 8 : Shell
- Désactiver le pare-feu :

pfctl -d

Attention, à chaque rechargement de la configuration d'OPNsense, le pare-feu sera réactivé. Une règle autorisant l'administration à distance par le WAN sera définie plus bas.

Il est maintenant possible de se connecter à l'interface web d'administration d'OPNsense à travers l'interface WAN.

Se rendre sur l'adresse https://IP_PUBLIC
Accepter le certificat auto-signé
Renseigner les credentials
- Username : root
- Password : opnsense

Un assistant de configuration est proposé lors de la 1ère connexion, celui-ci peut être by-passé en cliquant sur le logo OPNsense en haut à gauche.

Filtrage

Pour accéder à la page d'administration d'OPNsense, le pare-feu a été désactivé pour effectuer la 1ère connexion.

Rappel : A chaque rechargement de configuration, le pare-feu sera réactivé automatiquement.

Idéalement, il faut définir une seule adresse IP (ou plusieurs) qui sera autorisée à y accéder.

Tout d'abord, créer un alias afin de mieux identifier l'hôte qui sera autorisé à se connecter à l'interface web d'administration.

Se rendre dans Firewall (1), Aliases (2)
Ajouter un nouvel alias (3)

Voici un exemple d'alias pour une adresse IP donnée. Bien penser à valider le Content en appuyant sur Enter, puis Save en bas à droite :

Ne pas valider tout de suite les modifications avec le bouton Apply figurant en bas sur la page des Aliases. Sinon, le pare-feu se réactivera et la connexion sera perdue. Si cela se produit, revenir dans la console VNC de l'instance et refaire la commande pfcl -d.

Ensuite, ajouter une règle sur l'interface WAN du pare-feu.

Se rendre dans Firewall (1), Rules (2), WAN (3)
Ajouter une nouvelle règle (4)

La partie Source de la règle :

La partie Destination de la règle :

Enregistrer avec le bouton Save
Valider toutes les modifications de configuration en cliquant sur Apply changes en haut à droite de la page

L'alias créé ainsi que la règle ajoutée dans l'interface WAN du pare-feu vont être appliqué. Le pare-feu sera également réactivé automatiquement.

Pour être sûr et certain que le pare-feu soit bien actif :

Se rendre dans la console VNC de l'instance et exécuter la commande :

pfctl -e

Le shell doit renvoyer :

pfctl: pf already enabled

Mot de passe root

Maintenant que l'accès externe à l'interface web d'administration est filtré, il est important de changer le mot de passe root.

Se rendre dans Lobby (1), Password (2)

La modification de ce mot passe entraine également la modification du mot de passe dans la console VNC et/ou par SSH si cet accès est activé.

Hostname, Timezone…

Il peut être intéressant de modifier le nom d'hôte, le domaine, ou bien la timezone d'OPNsense.

Se rendre dans System (1), Settings (2), General (3)

Sécurité

Sujet très vaste !

Je vais m'attarder sur 2 points principaux :

La mise à jour d'OPNsense
La mise en place d'un certificat SSL avec Let's Encrypt

Mise à jour

Il est important de mettre régulièrement à jour la solution.

Se rendre dans System (1), Firmware (2), Status (3)
Puis Check for updates (4)

Si des mises à jour sont disponibles, la liste des packages concernés sera affichée dans l'onglet Updates.

En bas de cette page, un bouton Update sera disponible. Il sera également indiqué si un redémarrage d'OPNsense est requis.

Certificat SSL Let’s Encrypt

Installation du client

La 1ère étape à réaliser est l'installation du client acme.

Se rendre dans System (1), Firmware (2), Plugins (3)
Installer le client acme (4)

Activation du plugin

Une fois ce plugin installé, forcer un rafraichissement de l'interface web (CTRL+SHiFT+R) pour avoir le service ACME Client de disponible.

Se rendre dans Services (1), ACME Client (2), Settings (3)
Activer le plugin (4)

Valider avec le bouton Apply

Une tâche cron est générée afin de renouveler automatiquement le certificat. Celle-ci est définie dans l'onglet Update Schedule.

Création du compte Let’s Encrypt

Ensuite, un compte doit être créé et enregistré pour la génération du certificat chez Let's Encrypt.

Se rendre dans Accounts (1)
Créer un compte (2)

Compléter les champs requis

Valider avec le bouton Save
Enregistrer le compte

Le status du compte passe en OK (registred).

Enregistrement DNS

Avant de passer à la suite, il est impératif de créer un enregistrement de type A dans la zone DNS publique adéquate pointant vers l'adresse IP publique d'OPNsense.

Par exemple :

opnsense-demo.example.com. IN A xxx.xxx.xxx.237

xxx.xxx.xxx.237 = IP publique de l'interface WAN d'OPNsense

Bien vérifier que cet enregistrement a été répercuté sur les serveurs DNS de Google (Let's Encrypt s'appuie dessus).

Dans votre terminal GNU/Linux :

dig opnsense-demo.example.com @8.8.8.8

Il est également est possible de vérifier l'enregistrement à cette adresse : https://dns.google

Paramétrage du challenge

Une fois cet enregistrement fait et vérifié, paramétrer un type de challenge :

Se rendre dans Challenge Types (1)
Créer un nouveau type de challenge (2)

Choisir un challenge de type HTTP-01

Dans le champ IP Addresses bien valider l'adresse IP publique de l'interface WAN en appuyant sur Enter

Valider avec le bouton Save

Automatisation

Avant de passer à la génération du certificat, il est recommandé d'ajouter une tâche d'automatisation. Celle-ci sera effectuée à chaque fois que le certificat sera renouvelé.

Se rendre dans Automations (1)
Créer une tâche d'automatisation (2)

Sélectionner la tâche de redémarrage de la Web UI d'OPNsense

Cette partie d'automatisation est optionelle mais recommandée.

Génération du certificat

Maintenant, un certificat peut être généré :

Se rendre dans Certificates (1)
Créer un nouveau certificat (2)

Dans le champ Common Name, bien renseigner l'URL d'accès qui permettra d'accéder à l'interface web d'administration d'OPNsense en correspondance avec l'enregistrement de type A faites dans la zone DNS au préalable.

Bien spécifier la tâche d'automatisation dans le champ Automations.

Valider avec le bouton Save
Générer le certificat avec le bouton Issue/Renew All Certificates

Vérification

Vérifier l'ajout de l'autorité de certification :
- Se rendre dans System (1), Trust (2), Authorities (3)
- L'authorité de certification Let's Encrypt doit être présente

Vérifier la présence du certificat préalablement généré :
- Se rendre dans Certificates (1)
- Le certificat préalablement généré doit être présent

Application du certificat

A ce stade, ce nouveau certificat Let's Encrypt peut être appliqué pour la connexion à l'interface d'administration d'OPNsense (en lieu et place du certificat auto-signé).

Se rendre dans System (1), Settings (2), Administration (3)

Je recommande de modifier le port d'administration HTTPS et d'adapter la règle de filtrage (vu dans le chapitre Interface web / Filtrage de cet article).

Valider avec le bouton Save

Et voilà !

Il est désormais possible d'accéder de façon sécurisée à l'admimistration d'un OPNsense hébergé chez OVHcloud avec un certificat SSL reconnu.

En suivant l'exemple donné ici, l'accès se fera sur l'URL : https://opnsense-demo.example.com (Adresse fictive pour l'article !).

OPNsense : Déploiement d’une instance sur OVHcloud [Partie 1/2]

Fri, 23 Sep 2022 08:00:46 +0200

Dans cet article je vais décrire comment installer une instance sous OPNsense au sein d'OVHcloud.

Par défaut, il n'est pas possible de déployer une image OPNsense lors de la commande d'une instance sur OVHcloud.

En effet les distributions disponibles sont :

AlmaLinux
RockyLinux
CentOS
Debian
Fedora
Ubuntu

Pourtant, on peut très bien déployer un système complet OPNsense (FreeBSD) nativement sur une instance OVHcloud.

Un vRack sera déployé pour la partie LAN d'OPNsense.

Préparation de l’instance OVHcloud

Contexte

Voici un schéma simplifié du contexte de déploiement de l'OPNsense :

L'instance qui hébergera OPNsense utilisera l'offre Discovery à 4.99€ HT/mois avec 1 vCPU, 2 Go de RAM, et 25GB de disque SSD.
Un vRack sera déployé pour relier d'autres instances futures derrière l'OPNsense. Par exemple pour héberger un cluster swarm.

Création d’un vRack

En tout premier, il faut créer le vRack auquel sera rataché la future instance OPNsense. Cette opération se réalise dans le panel d'administration (OVH Manager) de vos services Public Cloud chez OVH.

Dans la catégorie Network, se rendre dans la partie Private Network.
Créer un réseau privé.
Définir un ID de VLAN (Recommandé)
Choisir le mode de distribution des adresses (Statique recommandé).

Dans la partie Localisation, il est possible de définir à quelle région sera rattaché ce vRack. Pour cet article tout ce passera à Gravelines.
Définir un nom pour ce vRack (ClusterSwarm dans cet article).

Cela peut prendre un peu de temps à être déployé la 1ère fois. Patience...

Une fois déployé et disponible, ce vRack apparait dans la liste des réseaux privés disponible avec la plage d'adresse attribuée.

Création de l’instance

Maintenant que le vRack est déployé, une nouvelle instance peut être créée.

Dans la partie Instances, créer une nouvelle instance.
Choisir un modèle (Instance D2-2 amplement suffisante).
Choisir une localistation (Gravelines par exemple).
Sélectionner une image. Ici, je suis parti sur une Debian 11 mais peut importe le choix car l'installation d'OPNsense se fera à travers une image rescue.

Ajouter sa clef SSH publique de type RSA ou ECDSA (Les clefs de type ED25519 ne sont pas pris en charge).
Définir un nom pour cette instance (hostname).
Sélectionner le réseau privé à attacher à cette instance (Le vRack préalablement créé doit être disponible).

Sélectionner une période facturation (Mensuel ou horaire).
Créer l'instance.

Cette instance est maintenant disponible. Son adresse IP publique et son IP privée y sont indiquées.

Installation OPNsense

Démarrage en mode rescue

Pour pouvoir installer OPNsense, il est nécessaire de démarrer en mode rescue l'instance préalablement créée.

En mode rescue, le disque principal sera disponible mais non monté. Le système rescue sera chargé en RAM (soit 2 Go avec une instance D2-2).

L'ISO d'OPNsense fait 1,3 Go

Il est donc impératif de sélectionner une image rescue qui prend très d'espace afin d'y loger également l'iso d'OPNsense.

De celle que j'ai testé, c'est la Debian 9 qui est la plus approprié pour la suite des manipulations.

Dans les détails de l'instance, redémarrer en mode rescue.
Sélectionner l'image Debian 9.

Une fois le redémarrage effectué en mode rescue en Debian 9, il est possible de s'y connecter avec la clef SSH qui a été définie lors de la création de l'instance.

Se connecter en SSH à l'instance :

ssh -i ~/.ssh/ma_clef_privee debian@[IP_PUBLIC_INSTANCE]

Adapter selon l'emplacement et le nom de la privée.

[IP_PUBLIC_INSTANCE] = IP publique de l'instance OVHcloud.

Récupération de l’ISO d’OPNsense

Une fois connecté en SSH à l'instance en mode rescue Debian 9, il est important de controler qu'il y aura assez d'espace disque afin de récupérer et décompresser l'ISO d'OPNsense.

Vérifier l'espace disque disponible (Le rescue mode est chargé en RAM) :

df -h | grep -v ^tmpfs

L'espace restant disponible est de 1,9G. Cela sera suffisant pour récupéré l'ISO compressé et la décompresser :

Filesystem Size Used Avail Use% Mounted on
udev 968M 0 968M 0% /dev
/dev/sda1 3.0G 954M 1.9G 34% /

Télécharger la dernière ISO disponible d'OPNsense :

wget -P /tmp https://mirror.vraphim.com/opnsense/releases/22.7/OPNsense-22.7-OpenSSL-dvd-amd64.iso.bz2

Installer bzip2 (Si celui-ci n'est pas disponible) :

sudo apt update
sudo apt install bzip2

Extraire et supprimer l'archive :

cd /tmp
bzip2 -dk OPNsense-22.7-OpenSSL-dvd-amd64.iso.bz2
rm OPNsense-22.7-OpenSSL-dvd-amd64.iso.bz2

Mise en place QEMU/VNC

Afin de pouvoir déclencher l'installation en mode console d'OPNsense à partir de l'ISO récupérée, VNC sera utilisé à travers QEMU.

Afin de pouvoir prendre réaliser cela, il est nécessaire de relancer la connexion SSH à l'instance à l'aide d'un tunnel SSH afin de mapper le port distant 5900 vers un port local.

Se reconnecter à la session SSH de l'instance en rescue :

ssh -i ~/.ssh/ma_clef_privee debian@[IP_PUBLIC_INSTANCE] -L 5900:localhost:5900

Télécharger le package :

wget -qO- /tmp /vkvm.tar.gz | tar xvz -C /tmp

Démarrer QEMU/VNC :

sudo /tmp/qemu-system-x86_64 -net nic -net user,hostfwd=tcp::80-:80,hostfwd=tcp::443-:443 -m 1024M -localtime -enable-kvm -hda /dev/sda -hdb /dev/sdb -vnc 127.0.0.1:0 -cdrom /tmp/OPNsense-22.7-OpenSSL-dvd-amd64.iso -boot d

En mode rescue, /dev/sda correspond à la racine (volume monté en RAM), et /dev/sdb dorrespond au disque principal de votre instance (disponible mais non monté).

Démarrage de l’installation d’OPNsense

A partir de maintenant, il est maintenant possible de se connecter en VNC sur 127.0.0.1:5900.

2 possibilités sont offertes lors du démarrage :

Boot en mode live : Se connecter en root avec le mot de passe opnsense.
Lancement de l'installation : Se connecter en installer avec le mot de passe opnsense .

Le boot en mode live ne présente aucun intérêt dans ce cas de figure. Le compte installer est donc à utiliser pour déclencher l'installation de la solution.

Sélectionner le bon disque pour l'installation (ada1 25GB car instance d2-2) :

vtnet0 = Interface publique

vtnet1 = IP vRack

Une fois l'installation terminée, dans les détails de l'instance sur le manager OVH, sortir du mode rescue :

Après quelques instants votre instance démarrera normalement sur son disque principal avec le chargement d'OPNsense.

Configuration OPNsense

Pour procéder à la 1ère configuration de la solution OPNsense :

Se rendre dans les détails de l'instance.
Puis console VNC dans le 2nd onglet.

Dans un prochain article, je traiterai de la configuration des interfaces avec une IP FailOver, la mise en place d'un certificat SSL avec Let's Encrypt.