Gogo Wiki

This page is read only. You can view the source, but not change it. Ask your administrator if you think this is wrong.
====== Installation et configuration d'un serveur OpenVPN ======

{{ :wiki:pfsense:pfsense:openvpn.png?200 |}}

**OpenVPN** permet à des pairs de s'authentifier entre eux à l'aide d'une **clé** privée partagée à l'avance, de **certificats** électroniques ou de couples de noms d'utilisateur/mot de passe. C'est **VPN SSL** client-to-site sous **pfSense** pour permettre à vos PCs d'accéder à distance aux ressources de l'entreprise.

{{ :wiki:pfsense:pfsense:installation_openvpn_pfsense01.png?900 |}}


<WRAP center round tip 100%>
Cet article est tiré en grande partie de l'article de la plateforme **IT-Connect**, le voici pour complémenter cet article :
[[https://www.it-connect.fr/pfsense-configurer-un-vpn-ssl-client-to-site-avec-openvpn/|PfSense : configurer un VPN-SSL client-to-site avec OpenVPN ]]
</WRAP>


----


===== Gestion des certificats =====


==== Création de l'autorité de certification ====

Afin de pouvoir générer puis vérifier les certificats utilisé pour le serveur ainsi que les utilisateurs, il faut créer une autorité de certification.

Cliquer sur **Système > Certificats**.

{{ :wiki:pfsense:pfsense:installation_openvpn_pfsense02.png?400 |}}

Dans **Autorités** puis **<color #22b14c>AJOUTER</color>**.

{{ :wiki:pfsense:pfsense:installation_openvpn_pfsense03.png?400 |}}

Nommer la nouvelle autorité de certification.

{{ :wiki:pfsense:pfsense:installation_openvpn_pfsense04.png?400 |}}

Remplir les champs géographiques et le nom du client comme ci-dessous et enfin **<color #00a2e8>Sauvegarder</color>**.

{{ :wiki:pfsense:pfsense:installation_openvpn_pfsense05.png?400 |}}

La nouvelle autorité est désormais visible.

{{ :wiki:pfsense:pfsense:installation_openvpn_pfsense06.png?400 |}} 

==== Création du certificat Serveur ====

Il faut désormais créer le certificat serveur pour **OpenVPN**

Cliquer dans l'onglet **certificat** puis **<color #22b14c>Ajouter</color>**

{{ :wiki:pfsense:pfsense:installation_openvpn_pfsense07.png?400 |}}

Assigner une description, l'autorité de certification précédemment créer et le nom du certificat (doit être explicitement nommer comme serveur pour différencier plus facilement avec les autres certificats)

{{ :wiki:pfsense:pfsense:installation_openvpn_pfsense08.png?400 |}}

Désigner le certificat comme certificat serveur.

Un **FQDN** généralement pour ne pas poser de conflit **"vpn.nomduclient.local"** et enfin **<color #00a2e8>Sauvegarder</color>**

{{ :wiki:pfsense:pfsense:installation_openvpn_pfsense09.png?400 |}}

Le nouveau certificat serveur est désormais visible.

{{ :wiki:pfsense:pfsense:installation_openvpn_pfsense10.png?400 |}}

----


===== Création des utilisateurs locaux pfSense =====
 
Voici l'étape pour créer un utilisateur + son certificat

Cliquer sur **Système > Gestion des utilisateurs**.

{{ :wiki:pfsense:pfsense:installation_openvpn_pfsense11.png?400 |}}

Dans l'onglet Utilisareurs cliquer sur **<color #22b14c>Ajouter</color>**.

{{ :wiki:pfsense:pfsense:installation_openvpn_pfsense12.png?400 |}}

Assigner un nom et un mot de passe.

{{ :wiki:pfsense:pfsense:installation_openvpn_pfsense13.png?400 |}}

Cocher **créer un certificat utilisateur** puis nommer le explicitement avec le nom de l'utilisateur et sélectionner l'autorité de certification.

{{ :wiki:pfsense:pfsense:installation_openvpn_pfsense14.png?400 |}}

A la fin, cliquer sur **<color #00a2e8>Sauvegarder</color>**

{{ :wiki:pfsense:pfsense:installation_openvpn_pfsense15.png?400 |}}

Le nouvel utilisateur ainsi que son certificat sont désormais visibles.

{{ :wiki:pfsense:pfsense:installation_openvpn_pfsense16.png?400 |}}

----
===== Configuration du serveur OpenVPN =====

Le serveur OpenVPN et ces caractéristiques sont désigné dans cette partie.

Cliquer sur **VPN > OpenVPN**.

{{ :wiki:pfsense:pfsense:installation_openvpn_pfsense17.png?400 |}}

Dans l'onglet **Serveurs** cliquer sur **<color #22b14c>Ajouter</color>**.

{{ :wiki:pfsense:pfsense:installation_openvpn_pfsense18.png?400 |}}

Assigner une **description**, la méthode d'authentification, ici **certificat + mot de passe** et enfin le **mode**.

{{ :wiki:pfsense:pfsense:installation_openvpn_pfsense19.png?400 |}}

Changer le **port** du VPN ( par défaut le port est 1194 ).

{{ :wiki:pfsense:pfsense:installation_openvpn_pfsense20.png?400 |}}

Sélectionner la bonne **autorité de certification** et le bon **certificat serveur** tous les deux précédemment configurer

{{ :wiki:pfsense:pfsense:installation_openvpn_pfsense21.png?600 |}}

Définir le réseau du Tunnel en **10.10.10.0/24** ainsi que le réseau **local** on veut se connecter (réseau **lan** du client)

{{ :wiki:pfsense:pfsense:installation_openvpn_pfsense22.png?600 |}}

Activer la case **IP Dynamique** et sélectionner la topologie **net30**

{{ :wiki:pfsense:pfsense:installation_openvpn_pfsense23.png?600 |}}

Renseigner les informations **DNS** souhaiter (dans le cas d'un environnement **AD**, renseigner l'ip du serveur l'**AD**)

{{ :wiki:pfsense:pfsense:installation_openvpn_pfsense24.png?600 |}}

Renseigner **auth-nocache** dans les options custom, ette option offre une protection supplémentaire contre le vol des identifiants en refusant la mise en cache.

{{ :wiki:pfsense:pfsense:installation_openvpn_pfsense25.png?600 |}}

A la fin, cliquer sur **<color #00a2e8>Sauvegarder</color>**

{{ :wiki:pfsense:pfsense:installation_openvpn_pfsense26.png?600 |}}

Le nouveau serveur est désormais visible. 

{{ :wiki:pfsense:pfsense:installation_openvpn_pfsense27.png?600 |}}

----

===== Installer Client Exporter =====

Désormais installer sur le **pfSense** l'extension qui permettra de générer et d'exporter des exécutables/configs **OpenVPN GUI**.

Cliquer sur **Système > Gestionnaire de paquet**.

{{ :wiki:pfsense:pfsense:installation_openvpn_pfsense28.png?300 |}}

Slectionner l'onglet **paquets disponible**, rechercher **openvpn** et installer le paquet **openvpn-client-exporter**.

{{ :wiki:pfsense:pfsense:installation_openvpn_pfsense29.png?600 |}}

Confirmer l'installation du paquet.

{{ :wiki:pfsense:pfsense:installation_openvpn_pfsense30.png?600 |}}

Le paquet est désormais installé

{{ :wiki:pfsense:pfsense:installation_openvpn_pfsense31.png?600 |}}

----
===== Configurer Client Exporter =====

Cliquer sur **VPN > OpenVPN**.

{{ :wiki:pfsense:pfsense:installation_openvpn_pfsense17.png?600 |}}

Cliquer sur l'onglet **Client Export** et définir les options d'exportation.

sélectionner le **serveur OpenVPN**.

Sélectionner autres dans **Hosted Named Resolution** afin de pouvoir renseigner ensuite l'**IP publique** du client.

<WRAP round info 100%>
Si un **DNS** existe avec l'IP publique du client avec un **DynDNS** par exemple alors préférer connecter les client avec un nom de domaine.
</WRAP>


{{ :wiki:pfsense:pfsense:installation_openvpn_pfsense32.png?600 |}}

A la fin renseigner **auth-nocache** dans **options additionnels** puis cliquer sur **<color #00a2e8>Sauvegarder par défaut</color>** pour définir ces options pour toutes les prochains exports.

{{ :wiki:pfsense:pfsense:installation_openvpn_pfsense33.png?600 |}}

----
===== Exporter les configurations OpenVPN pour les utilisateurs =====

Toujours dans l'onglet **Client Export**, sélectionner la version **64-bits** de **Current Windows Installers** afin de télécharger l’exécutable avec la conf de l'utilisateur intégrer. 

Il sera à exécuté sur le poste Windows du client.

{{ :wiki:pfsense:pfsense:installation_openvpn_pfsense34.png?700 |}}

----
===== Configurer le pare-feu de l'interface OPENVPN  =====

Une interface **OpenVPN** à été créer, aux même titre que le **LAN** ou le **WAN** on peut créer des règles de pare-feu qui s'appliquera au réseau **VPN**.

Cliquer sur **Pare-feu > Règles**.

{{ :wiki:pfsense:pfsense:installation_openvpn_pfsense35.png?400 |}}

Cliquer sur l'onglet **OpenVPN** puis **<color #22b14c>Ajouter</color>** pour créer la règle.

{{ :wiki:pfsense:pfsense:installation_openvpn_pfsense36.png?600 |}}

Configurer la règle et la **logger** (traces).

{{ :wiki:pfsense:pfsense:installation_openvpn_pfsense37.png?600 |}}

A la fin, cliquer sur **<color #00a2e8>Sauvegarder</color>**

{{ :wiki:pfsense:pfsense:installation_openvpn_pfsense38.png?600 |}}

La règle est désormais visible mais n'est pas encore appliquer. Pour cela cliquer sur **<color #22b14c>Appliquer les changements</color>**.

{{ :wiki:pfsense:pfsense:installation_openvpn_pfsense39.png?600 |}}

<WRAP round info 100%>
Dans cette **procédure** la règle autorise **tout**, mais il possible d'autoriser seulement les flux souhaiter comme le **RDP** par exemple.
</WRAP>



----