Besoin d'avis de pro

screech

Bonjour,

Je viens de déménager et mon installation réseau prends forme.

Voici le contexte :

Il s'agit de mon installation à domicile
Tout le câblage est en cat6 et la baie de brassage est dans mon garage ainsi que l'arrivé télécom.
Dans le garage se trouve :

Un PC recyclé avec Pfsense V2
Un PC recyclé en serveur web avec une Debian Etch
Dans un future proche, un PC recyclé en Freenas
La Freebox V5
Un switch Netgear GS108V3
Un onduleur MGE Protection Center 600
Un Écran, un clavier et un KVM

Dans le reste de la maison :

Freebox HD et téléviseur
Téléphone
2 PC de bureau
1 PC portable
1 Xbox 360
1 Nintendo DS
et bientôt un Point d'accès Linksys que j'ai mais que je n'ai jamais utilisé ;)

Pour schématiser tout ça :

Donc pour le moment voici ce que j'ai fait et qui fonctionne :

Réinstallation du firewall avec pfsense (je possédais IPCop avant, mais pfsense à l'air d'offrir beaucoup plus de possibilité et surtout est un peu plus suivi qu'IPCop)
Remise en service du Serveur Web
Câblage etc…

J'ai pu créer mes quelques petites règles qui permettent de publier les différents site web de mon serveur et cela fonctionne (j'y accède aussi bien depuis le net que depuis mon lan)
Je peux surfer tranquillou depuis mon lan.

Ce que je n'ai pas encore réussi à faire (mais je vais y arriver ;) ) :

Faire marcher NUT (mon Onduleur est branché en USB sur le Firewall... Je ne sais pas si c'est le mieux, mais pfsense possède un package pour ça et je n'ai pas trop le choix physiquement parlant)
Refaire marcher Logmein (ça à marché, puis sa s'est arrêté :( surement une règle de trop ou pas assez de règle, il va falloir que je vérifie ;) )
Faire marcher IP-Blocklist (des problèmes de mémoire, qui sont référencé dans le sujet adéquat, il faut que je m'y attèle)

Ce qu'il me reste à faire :

Créer mon point d'accès Wifi (J'ai un petit linksys qui devrait suffire pour ça ;) )
Créer le Freenas

Et enfin mes questions :

J'aimerais qu'un pro qui passe par la et qui à 30 secondes à me consacrer me dise ce qu'il pense de l'installation (des choses qu'il n'aurait pas faite comme ça, qu'il améliorerait, qu'il changerait, qui lui semble bizarre, enfin juste un avis)
J'ai trouvé pas mal d'info très contradictoire sur l'utilisation de Freenas et de la fonction UPNP AV de la Freebox HD. Des fois ça marche des fois ça marche pas... De plus la ça va devoir passer par pfsense... Donc si vous avez des conseils ou des tutos qui vont bien je suis preneur (rien de pressé, le Freenas est loin d'être monté, et je n'ai pas fait de recherche plus approfondie que ça. Je prends juste la température pour voir dans quoi je me lance ;))
J'ai l'impression que mon réseau Wifi va être bancale... Comme c'est la, j'imagine que mon point d'accès va pouvoir faire serveur DHCP. Est-ce possible ? J'ai comme un doute... Si ce n'est pas le cas, pfsense va t'il pouvoir fournir les IP en DHCP depuis le point d'accès ? Vaut il mieux que je change de plan d'adressage (et passer sur une plage 192.168.2.xxx) ? Dans ce cas le point d'accès va t'il pouvoir router et me permettre de communiquer entre mon LAN et le WIFI ? J'ai aussi la possibilité de rajouter une "patte" sur mon pfsense et de brancher mon Linksys dessus. Est-ce conseillé ? Enfin, toute cette partie n'est encore qu'à l'étude... Donc si vous avez des conseils préliminaire je suis à votre écoute...

Voila, je suis un débutant de 33 ans autodidacte... Donc j'essaie de me renseigner un maximum avant de tout casser chez moi ;)
Ne soyez pas trop sévère, je ne demande que des conseils architecturaux (c'est une partie théorique que je trouve peu aborder sur le net... Il est facile de monter n'importe quoi n'importe comment, mais dés qu'on veut faire quelque chose de propre sans avoir BAC+15 dans le domaine, ce n'est pas simple ;) )

Merci d'avance pour vos conseils.

ccnet

J'ai aussi la possibilité de rajouter une "patte" sur mon pfsense et de brancher mon Linksys dessus. Est-ce conseillé ?

C'est ce qu'il faut faire. Pour le reste, dans un contexte domestique, je n'ai rien à ajouter.

screech

Dommage, ce n'est pas mon option préférée ;) (ajout d'une carte réseau et création d'un "NAT", je suppose entre mon LAN et la patte Wifi)

Mais si c'est ce qui est le mieux, je vais diriger mes recherches la dessus ;)

(Question bête, est ce possible de mettre ma patte WIFI dans le même adressage que mon LAN pour simplifier/faciliter les choses ou est ce impossible/fortement déconseillé ?)

ccnet

Possible. Se fait régulièrement. Moins sûr. Si le wifi est compromis, tout le réseau y passe.

screech

Merci beaucoup ;)

Je reviendrais quand j'aurais avancé dans mes démarches pour vous tenir au courant ;)

screech

Voici mes avancées :

Faire marcher NUT :
Toujours pas réussi :( mais j'ai l'impression que c'est FreeBsd qui ne détecte pas mon Onduleur (MGE Protection Center 600 USB). Lorsque je le branche ou le débranche, rien n'apparait sur le Shell pour me dire qu'il a détecté quelque chose. Pourtant mon Onduleur apparait bien dans la liste de NUT. Comme celui-ci est en USB, je n'ai normalement pas de câble à configurer.

Config :
UPS Monitoring : Local UPS
Local UPS Name : Onduleur
Local UPS Model : MGE UPS SYSTEM Protection Center USB
Local UPS Port : Auto (USB Only)

Il m'indique : NUT is enabled, however the service is not running!

suite à mes recherches sur le net, voici ce que j'ai essayé :

Forcer le démarrage du service avec : $ /usr/local/etc/rc.d/nut.sh start
Résultat :
_starting usbhid-ups
Network UPS Tools: 0.29 USB communication driver - core 0.33 (2.2.2)

Network UPS Tools - UPS driver controller 2.2.2
usbhid-ups failed to start_

Vérification si mon Onduleur est supporté via le site officiel de NUT:
Protection Center 500/675 VA USB - usbhid-ups est dans la liste (le mien est un 600VA, cela serait il la source du PB ?)

Forcer le chargement du moduel avec : /usr/local/libexec/nut/upsdrvctl start
Resultat :
_Network UPS Tools - UPS driver controller 2.2.2
Network UPS Tools: 0.29 USB communication driver - core 0.33 (2.2.2)

No matching HID UPS found
Driver failed to start (exit status=1)_

Donc pour le moment, j'ai l'impression que mon onduleur n'est pas du tout détecté en USB. Y a t'il des modules à charger avant le démarrage pour que celui ci détecte les periphs HID ?

Refaire marcher Logmein
J'ai réussi, en décochant le "Block private networks" et le "Block bogon networks" sur mon interface WAN. Mais il me semblait que ce n'était pas conseillé. Quelqu'un peut il me dire pourquoi cela remarche sans ces 2 paramétrages (j'avoue que c'est un peu flou pour moi). Et surtout s'il faut absolument qu'ils soient cochés pour le WAN (c'est ce qu'indique plusieurs tuto :( ) et surtout qu'elles sont les risques encourus ?
Faire marcher IP-Blocklist
J'ai réussi, non sans mal à charger quelques "petites" listes. Dès que le fichier est un peu trop gros cela ne marche pas.
Erreur : Fatal error: Allowed memory size of 134217728 bytes exhausted (tried to allocate 81 bytes) in /etc/inc/util.inc on line 381
Suite aux conseils de tommyboy180 le créateur du Package, j'ai tenté de modifier les 2 fichiers php.ini (/usr/local/lib/php.ini et /usr/local/etc/php.ini) en ajoutant "memory_limit = 128M".
Problème, au redémarrage, il ne garde pas mes modifications.
Toujours suite à ses conseils, j'ai modifié /etc/inc/config.inc en ajoutant : ini_set("memory_limit","128M");
Cela n'apparait pas dans les php.ini….
Et ne fonctionne toujours pas sur de grosse liste...
J'ai donc laissé 2 petites listes pour le moment, et je m'aperçois que le service Fonctionne, mais qu'il s'arrête de temps en temps.
J'ai donc creer un CRON sur /usr/local/etc/rc.d/IP-Blocklist.sh toutes les heures. Mais cela ne me semble pas très "fiable" comme méthode.
Dés que j'aurais 5 minutes, j'irais sur le sujet concerné pour lui poser la question ;)

(Je raconte un peu ma vie, mais cela permet aux gens de passage qui rencontrerais les mêmes problèmes que moi de suivre l'évolution du truc ;) )

psylo

@screech:

Dommage, ce n'est pas mon option préférée ;) (ajout d'une carte réseau et création d'un "NAT", je suppose entre mon LAN et la patte Wifi)

Mais si c'est ce qui est le mieux, je vais diriger mes recherches la dessus ;)

(Question bête, est ce possible de mettre ma patte WIFI dans le même adressage que mon LAN pour simplifier/faciliter les choses ou est ce impossible/fortement déconseillé ?)

Mettre le WiFi dans la même patte que votre LAN est en effet moins sécurisé et donc déconseillé - je ne dirais pas interdit. En effet, vous pouvez configurer votre WiFi avec du WPA2/802.1x avec authentification RADIUS (installation de freeradius sur le pfSense ou sur une autre machine). Peut-être que le Linksys supporte ce type de sécurité avec le firmware d'origine. Si ce n'est pas le cas, vous pouvez utiliser dd-wrt. Ce n'est pas "incrackable" mais ça devient très difficile…

Mettre le WiFi sur une autre patte apporte plus de sécurité mais est plus contraignant (au niveau configuration & utilisation). Je suppose que vous donnerez accès au LAN à partir de votre WiFi. Si c'est le cas et que le WiFi est compromis un jour, une personne pourra donc aussi accéder à votre LAN... Donc...

A vous de voir quel niveau de sécurité est nécessaire pour les données présentes sur votre réseau...

Hope this helps.