Ssl on slash-root.fr

OPNsense : Configuration d’un VPN SSL Road Warrior avec PKI

Tue, 12 Jul 2022 23:21:48 +0200

Le but de cette documentation va être de configurer un serveur VPN dit SSL Road Warrior sur OPNsense (Un PFsense en mieux et totalement opensource :P). Les clients VPN pourront accéder à des ressources sur le réseau LAN distant de façon sécurisé.

Le serveur VPN sera OpenVPN et celui-ci sera configuré de façon à accepter les connexions sur le port HTTPS (TCP 443). De cette façon, l'accès pourra se faire de n'importe où car ce port n'est pas (ou très très très rarement) filtré sur une connexion standard à Internet.

Une autorité de certification sera créé pour délivrer un certificat afin de sécuriser les échanges.

Un exemple de configuration d'un client sous Windows 10 est traité à la fin.

Let's go !!!

Contexte

Voici la version utilisée d'OPNsense :

OPNsense 22.1.2_2-amd64
FreeBSD 13.0-STABLE
OpenSSL 1.1.1m 14 Dec 2021

Au niveau des interfaces de paramétrées :

LAN = 192.168.56.254/24
WAN = IP_PUBLIC

Aucune configuration particulière à été apportée après l'installation d'OPNsense à part l'adressage IP des interfaces WAN et LAN.

Tout le paramétrage sera à réaliser à travers l'interface web d'administration d'OPNsense.

PKI

Création de l’authorité de certification

Dans System (1), Trust (2), Authorities (3), cliquer sur + (4) pour ajouter une authorité de certification :
Sélectionner Create an internal Certificate Authority :

Je ne vais pas traiter la partie algorithme ni de type ou de longueur de clef. Je laisse les paramètres par défaut mais dans un contexte de production, il sera important de modifier ces différents paramètres.

Entrer une Descriptive name ainsi que le Common Name et les informations désirées.
Enregistrer la nouvelle authorité de certification :

Génération du certificat serveur

Dans Certificates (1), cliquer sur + (2) pour ajouter un nouveau certificat :
Sélectionner Create an internal Certificate :

Même remarque que précédement concernant la partie algorithme, clef...

Entrer une Descriptive name. Sélectionner le bon Certificate authority et le type Server Certificate.
Les informations provenant de l'authorité de certification doivent être pré-remplies.
Renseigner le Common Name :
Enregistrer le nouveau certificat :

OpenVPN

Dans VPN (1), OpenVPN (2), Servers (3), cliquer sur l'icône du Wizard (4) :

En passant par le wizard, il y aura la possibilité de créer automatiquement les 2 règles nécessaires pour autoriser le flux provenant des clients VPN.Sinon, il faudra les ajouter à la main, ça fonctionne très bien aussi.

Type de serveur d'authentification : Local User Access
Authorité de certification : OPNsense-CA
Certificat : OPNsense-VPN-Cert
Dans la partie General OpenVPN Server Information, renseigner les paramètres suivants :
Les clients se connecteront sur l'interface WAN d'OPNsense par le protocol TCP sur le port 443. Par défaut OpenVPN écoute sur le port 1194 en UDP. Pour que la connexion soit possible depuis n'importe quel réseau Internet, il faut bien modifier ce paramètre. C'est quasiment indétectablement par les pare-feux pour faire la différence avec du flux HTTPS (du stateful inspection permet de faire la différence).
Dans la partie Tunnel Settings, renseigner les paramètres suivants :
Dans IPv4 Tunnel Network, entrer le réseau virtuel qui sera attribué aux clients VPN.
Dans IPv4 Local Network, entrer le réseau LAN qui doit être accessible aux clients VPN.

Le reste des paramètres sont laissés par défaut. Ils pourront être définis si besoin mais ne seront pas traités dans cet article.

Passer à la prochaine étape en cliquant sur Next.
Cocher Firewall Rule et OpenVPN Rule pour générer les 2 règles adéquats dans le pare-feu :
Valider en cliquant sur Next puis Finish pour terminer le paramétrage du serveur VPN.

Utilisateur

Création d’un utilisateur

Dans System (1), Access (2), Users (3), cliquer sur + (4) pour ajouter un nouveau utilisateur :
Renseigner un Username et un Password :
Plus bas, cocher Click to create a user certificate :
Terminer en cliquant sur Save. Cela déclenche la génération d'un certificat.

Génération du certificat utilisateur

Sélectionner Create an internal Certificate :
Entrer une Descriptive name. Sélectionner le bon Certificate authority et le type Client Certificate.
Les informations provenant de l'authorité de certification doivent être pré-remplies.
Renseigner le Common Name.
Enregistrer le nouveau certificat.
Le certificat est maintenant associé à l'utilisateur :
Terminer en cliquant sur Save.

Client Windows

Exportation de la configuration client

Dans VPN (1), OpenVPN (2), Client Export (3), télécharger l'archive contenant la confirmation client d'OpenVPN avec le certificat utilisateur correspondant :

En cochant Windows Certificate System Store, un certificat .crt est récupéré. Malgré le faites de l'inscrire (ou d'inscrire le CA) dans le magasin (des certificats de l'ordinateur) des autorités de certification racines de confiance, celui-ci ne sera pas approuvé.

Le contenu de l'archive récupérée contient les éléments suivant :

OPNsense_VPN_Server_batman_vpn-tls.key
OPNsense_VPN_Server_batman_vpn.ovpn
OPNsense_VPN_Server_batman_vpn.p12

Installation du client

Sur le poste client en Windows 10 :

Télécharger le client OpenVPN Community : https://swupdate.openvpn.org/community/releases/OpenVPN-2.5.7-I602-amd64.msi
Installer le client OpenVPN (Attention, il faudra des droits d'administrateur sur le poste Windows).
Un message d'avertissement indique qu'il n'y a aucun profil de connexion.
Copier le contenu de l'archive préalablement exporter dans le répertoire %USERPROFILE%\OpenVPN\config :
Se connecter :
Un message peut survenir indiquant que l'utilisateur Windows doit faire partie du groupe local de la machine OpenVPN Administrators :

Si contexte de domaine, une GPO peut appliquer ce paramètre automatiquement.

S'identifier avec le compte utilisateur créé précédement dans OPNsense :
La connexion VPN est établie :

Apache2 : Installation serveur web de base + SSL

Tue, 08 Mar 2022 21:13:57 +0100

Contexte

Cet article à pour but de servir de base pour l'installation d'un serveur web sous Apache2 avec un certificat SSL.

Let's Encrypt est utilisé et la résolution du challenge se fera sur le port 666 (donc sans interruption de service).

Réalisé sous Debian 11

Installation Apache2

Installation du serveur web apache2 :

sudo apt install apache2

Modification du fichier /etc/apache2/apache2.conf comme suit :

# Les variables d'environnement sont définies dans /etc/apache2/envvars
DefaultRuntimeDir ${APACHE_RUN_DIR}
PidFile ${APACHE_PID_FILE}
Timeout 300
KeepAlive On
MaxKeepAliveRequests 100
KeepAliveTimeout 5

User ${APACHE_RUN_USER}
Group ${APACHE_RUN_GROUP}

HostnameLookups Off

ErrorLog ${APACHE_LOG_DIR}/error.log

LogLevel warn

IncludeOptional mods-enabled/*.load
IncludeOptional mods-enabled/*.conf

Include ports.conf

<Directory />
# Pas de suivi des liens symboliques
 Options -FollowSymLinks
 AllowOverride None
 Require all denied
</Directory>

<Directory /usr/share>
 AllowOverride None
 Require all granted
</Directory>

<Directory /var/www/>
# Pas de listage des fichiers du site mais ok pour le suivi des liens symboliques
 Options -Indexes +FollowSymLinks
 AllowOverride None
 Require all granted
</Directory>

AccessFileName .htaccess

<FilesMatch "^\.ht">
 Require all denied
</FilesMatch>

LogFormat "%v:%p %h %l %u %t \"%r\" %>s %O \"%{Referer}i\" \"%{User-Agent}i\"" vhost_combined
LogFormat "%h %l %u %t \"%r\" %>s %O \"%{Referer}i\" \"%{User-Agent}i\"" combined
LogFormat "%h %l %u %t \"%r\" %>s %O" common
LogFormat "%{Referer}i -> %U" referer
LogFormat "%{User-agent}i" agent

IncludeOptional conf-enabled/*.conf
IncludeOptional sites-enabled/*.conf

Modification du fichier /etc/apache2/ports.conf comme suit :

# Ecoute sur le port 80 et 443
Listen 80
Listen 443

Modification du fichier /etc/apache2/conf-available/security.conf comme suit :

# Definit les informations du serveur retourné par l'en-tête HTTP
ServerTokens Prod
# Serveur version et nom du vhost désactivés
ServerSignature Off
TraceEnable Off

Activation des modules de bases :

sudo a2enmod rewrite actions headers expires ssl

Activation du site par défaut en SSL :

sudo a2ensite default-ssl

Redémarrage du serveur web apache2 :

sudo systemctl restart apache2

A ce stade, le serveur web doit être accessible : http://ip_srv_web/ et https://ip_srv_web/ (erreur de certificat)

Une fois cette vérification faites, désactivation des sites par défaut :

sudo a2dissite 000-default default-ssl

Puis rechargement de la configuration du serveur web :

sudo systemctl reload apache2

Certificat SSL

Installation de Let's Encrypt :

sudo apt install letsencrypt

Modification du fichier /etc/apache2/mods-available/proxy.conf comme suit :

# Permet d'effectuer les challenges acme sur le port 666
<IfModule mod_proxy.c>
 ProxyPass "/.well-known/acme-challenge/" "http://127.0.0.1:666/.well-known/acme-challenge/" retry=1
 ProxyPassReverse "/.well-known/acme-challenge/" "http://127.0.0.1:666/.well-known/acme-challenge/"
 <Location "/.well-known/acme-challenge/">
 ProxyPreserveHost On
 Order allow,deny
 Allow from all
 Require all granted
 </Location>
 </IfModule>

Activation des modules nécessaires :

sudo a2enmod proxy proxy_http ssl

Redémarrer le serveur web apache2 :

sudo systemctl restart apache2

Edition de la crontab pour le renouvellement automatique du certificat :

sudo crontab -e

Indiquer un renouvellement tous les dimanche à 5h00 du matin :

# Autorenew let's encrypt cert
00 05 * * 0 letsencrypt renew --standalone --preferred-challenges http-01 --http-01-port 666

Générer le certificat :

sudo letsencrypt certonly -d "monsite.example.org" --standalone --preferred-challenges http-01 --http-01-port 666 -m monadresse@email.org --agree-tos -n

Au préalable, un enregistrement DNS correspondant à mon site.example.org a été fait dans la zone DNS example.org.

Configuration vhost

Création du fichier /etc/apache2/sites-available/monsite.example.org.conf :

# Example pour le site : monsite.example.org
# DirectoryRoot : /var/www/monsite.example.org/www/
# Les logs seront dans /var/log/apache2/
<VirtualHost *:80>
 ServerName monsite.example.org
 Redirect Permanent / https://monsite.example.org/
</VirtualHost>
<VirtualHost *:443>
 ServerName monsite.example.org

 LogLevel warn 
 ErrorLog "|/usr/bin/rotatelogs -lc /var/log/apache2/error.monsite.example.org.%Y.%m.%d 86400"
 CustomLog "|/usr/bin/rotatelogs -lc /var/log/apache2/access.monsite.example.org.%Y.%m.%d 86400" combined

 SSLEngine on
 SSLCertificateFile /etc/letsencrypt/live/monsite.example.org/cert.pem
 SSLCertificateKeyFile /etc/letsencrypt/live/monsite.example.org/privkey.pem
 SSLCertificateChainFile /etc/letsencrypt/live/monsite.example.org/chain.pem

 DocumentRoot /var/www/monsite.example.org/www
 <Directory /var/www/monsite.example.org/www/>

 Require all granted 

 AllowOverride All
 DirectoryIndex index.html

 </Directory>
</VirtualHost>
SSLProtocol -all +TLSv1.2
SSLCipherSuite +HIGH:ECDHE-ECDSA-CHACHA20-POLY1305:ECDHE-ECDSA-CHACHA20-POLY1305-D:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-ECDSA-AES256-SHA384:ECDHE-ECDSA-AES256-SHA:ECDHE-RSA-CHACHA20-POLY1305:ECDHE-RSA-CHACHA20-POLY1305-D:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-SHA384:ECDHE-RSA-AES256-SHA:DHE-RSA-CHACHA20-POLY1305:DHE-RSA-CHACHA20-POLY1305-D:DHE-RSA-AES256-GCM-SHA384:DHE-RSA-AES256-SHA256:DHE-RSA-AES256-SHA:DHE-RSA-CAMELLIA256-SHA:ECDHE-ECDSA-AES128-SHA256:ECDHE-ECDSA-AES128-SHA
SSLHonorCipherOrder on
SSLCompression off
SSLSessionTickets off

Création de l'arborescence du site :

sudo mkdir -p /var/www/monsite.example.org/www/

Déplacer le fichier index.html de base à des fins de test :

sudo mv /var/www/html/index.html /var/www/monsite.example.org/www/

Attribuer les droits pour www-data :

sudo chown -R www-data:www-data /var/www/

Activation du site monsite.example.org :

sudo a2ensite monsite.example.org

Recharger le serveur web apache2 :

sudo systemctl reload apache2

Vérification

Si tout c'est bien passé, le site monsite.example.org doit être accessible à l'adresse https://monsite.example.org sans erreur de certificat.

L'URL http://monsite.example.org doit rediriger vers https://monsite.example.org

Pour tester le renouvellement du certificat SSL sur le port 666 :

sudo letsencrypt renew --standalone --preferred-challenges http-01 --http-01-port 666 --dry-run

Sujet non abordé

Les règles de pare-feu

Nginx : Reverse Proxy avec SSL

Fri, 15 Oct 2021 15:00:06 +0200

Pré-requis

Avoir suivi : Nginx : Installation d’un Reverse Proxy
Avoir suivi : Nginx : Ajouter un certificat SSL Lets Encrypt pour passer en HTTPS

Nginx configuration

Editez le fichier de configuration du reverse proxy :

sudo vim /etc/nginx/sites-available/reverse-proxy.example.conf

En principe, après avoir suivi l'installation d'un reverse proxy avec Nginx, le server block suivant va être modifié :

server {
 listen 80;
 server_name blog.example.com;

 location / {
 proxy_pass http://172.0.1.10:80;
 }
}

En premier lieu, nous allons réécrire l'url de http://blog.example.com en https://blog.example.conf, pour cela nous allons modifié le server block précédent en :

server {
 listen 80;
 server_name blog.example.com;
 rewrite ^ https://blog.example.com permanent;
 }

Ajouter un nouveau server block pour permettre de faire du reverse proxy SSL comme suit :

server {
 listen 443 ssl;
 server_name blog.example.com;
 ssl_certificate /etc/letsencrypt/live/blog.example.com/fullchain.pem;
 ssl_certificate_key /etc/letsencrypt/live/blog.example.com/privkey.pem;
 ssl_session_cache builtin:1000 shared:SSL:10m;
 ssl_protocols TLSv1 TLSv1.1 TLSv1.2 TLSv1.3;
 ssl_ciphers HIGH:!aNULL:!eNULL:!EXPORT:!CAMELLIA:!DES:!MD5:!PSK:!RC4;
 ssl_prefer_server_ciphers on;

 location / {
 proxy_set_header Host $host;
 proxy_set_header X-Real-IP $remote_addr;
 proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
 proxy_set_header X-Forwarded-Proto $scheme;
 proxy_pass https://172.0.1.10:443;
 proxy_read_timeout 90;
 }
}

ssl_certificate et ssl_certificate_key contiendront le chemin d'accès au certificat et à la clef privée. Bien entendu, il faudra les transféré sur le serveur reverse proxy au bon endroit avec les bonnes permissions. Générer un certificat wildcard est fortement recommandé si vous souhaitez développer plusieurs sous-domaine. Cette partie ne sera pas détaillé dans ce tutorial ainsi que la gestion de son renouvelement.

proxy_pass : L'URL http / https vers le serveur hébergeant blog.example.com.

Vérifiez la configuration de Nginx avec :

sudo nginx -t

Aucune erreur ne doit être retournée :

nginx: the configuration file /etc/nginx/nginx.conf syntax is ok
nginx: configuration file /etc/nginx/nginx.conf test is successful

Redémarrer le serveur reverse proxy :

sudo systemctl restart nginx

Nginx : Ajouter un certificat SSL Let’s Encrypt pour passer en HTTPS

Fri, 15 Oct 2021 14:05:01 +0200

Installation de Certbot pour Nginx

Installez les deux paquets nécessaires à l'utilisation de Certbot sous Debian avec un serveur Nginx :

sudo apt install certbot python3-certbot-nginx

Let’s Encrypt : Demander un certificat SSL pour Nginx

Effectuez une demande de certificat :

sudo certbot --nginx -d www.example.com

--nginx : Pour spécifier que l'on utilise un serveur web sous Nginx

-d www.example.com : Pour préciser le nom de domaine

Votre adresse e-mail vous sera demandé. Un e-mail vous sera envoyé dans le cas où le certificat ne parvient pas à se renouveler automatiquement avant expiration.

Il vous sera demandé si vous souhaitez rediriger automatiquement le traffic HTTP vers HTTPS :

Si tout se passe bien, un message de congratulations doit apparaitre :

Il a noté que dans le message final, les emplacements du certificat, clef privée, etc... sont également indiquées.

Certbot c'est occupé de configurer automatiquement le bloc server correspondant.

Vous pouvez aller voir les modifications apportées par Certbot dans le fichier de configuration de votre site. Les ajouts / modifications apportés par Certbot seront commentés en fin de ligne par # managed by Certbot

Renouvellement automatique du certificat SSL

Un certificat Let's Encrypt a une durée de validité de 90 jours.
Certbot va s'occuper tout seul du renouvellement de celui-ci.
Une tâche cron a été créée automatiquement par Certbot. Pour se rassurer :

sudo vim /etc/cron.d/certbot

La tâche planifiée va s'exécuter de façon à renouveler le certificat avant qu'il expire.

Il est possible de faire une simulation de renouvellement du certificat :

sudo certbot renew --dry-run

--dry-run : Permet de faire une simulation

Le message "Congratulations, all renewals succeded." doit apparaitre si la simulation du renouvellement du certificat est un succès.

La tâche planifiée va s'occuper de gérer cette opération à notre place. En cas de soucis, un e-mail sera envoyé à l'adresse indiqué lors de la demande de certificat.