Pfsense ne sauvegarde pas la configuration UserManager

crym

Bonjour à tous,

Contexte : Pro

Besoin : Je souhaite donner un accès ldap sur tcp à pfsense pour permettre l'autorisation des utilisateurs Active Directory à utiliser Openvpn.

Informations : Le lien ldap entre pfsense et mon AD était fonctionnel jusqu'au jour ou j'ai passé la dernière mise à jour de pfsense. Après cette mise à jour nous avions eu des soucis de droit sur certains fichiers, lorsque l'on souhaitait modifier des règles de firewalls, ces mêmes modifications n'étaient pas enregistrées.

J'ose penser que pour la configuration du lien Ldap le problème est le même, car quand je Re-configure mon lien ldap dans pfsense cela marche par contre lorsque j'applique ces modifications et que je retourne sur la page UserManager –> Onglet Servers mais modifications ne sont pas prises en comptes.

Ce qui fait que le lien ldap se remet en tls ce que je ne souhaite pas utiliser et rend donc le service openvpn indisponible.

Question : Du fait de la dernière mise à jour des fichiers doivent avoir un propriétaire différent de root je suppose, Comment trouver ces fichiers dédiés à UserManager ?

Logs: j'ai regardé dans les logs mais je ne vois pas du tout ou cela peut-être. Aucune donnée intéressante est ressortie des logs.

EDIT : en prenant la main en ssh j'ai trouvé que des fichiers avaient comme utilisateur l'uid 1001 et guid 1001, pour cela j'ai fait un

ls -Rl / | grep 1001 >> test1

J'ai regarder dans /etc/passwd mais aucun n'utilisateur a l'uid 1001.

je vous attache le résultat de la commande, je serais bien tenté de mettre root et wheel sur tous ses fichiers.

Cordialement,
test1.txt

ccnet

Un numéro de version pour Pfsense peut être ? Avant et après mise à jour de préférence.

crym

Je suis désolé d'avoir oublié ce détail important :

Version actuelle : 2.2.2-RELEASE (i386)

Ancienne version : je ne sais plus laquelle, c'était une assez ancienne de 2010 me semble t'il.

ccnet

Il est possible que ce soit une version 1.2.3 (12/2009) ou 2.0 (09/2011). Hélas je ne suis pas surpris par les conséquences d'un saut de version important. Il existe des restrictions documentées pour passer de la 2.1.5 à 2.2 notamment sur les vpn si ma mémoire est bonne.
J'ose penser que pour la configuration du lien Ldap le problème est le même, car quand je Re-configure mon lien ldap dans pfsense cela marche par contre lorsque j'applique ces modifications et que je retourne sur la page UserManager –> Onglet Servers mais modifications ne sont pas prises en comptes.
Je m'aperçois que je ne comprend pas bien votre problème. Celui ci est consécutif à la migration où à la configuration actuelle après une migration correcte ?

crym

Pour moi je dirais qu'il est consécutif à la migration.

je vais essayer d'expliquer plus clairement :

1- Pfsense m'indique qu'il y a une mise à jour à faire –> à ce moment la tout fonctionne (le lien ldap / vpn etc...)
2- j'effectue la mise à jour --> la mise à jour se passe correctement
3 - Quelques jours après on s'aperçoit que nos nouvelles règles du firewall que l'on souhaite créer par l'interface graphique ne s'appliquent pas, on constate donc un problème de droit on à résolu ce problème en positionnant l'user root et le groupe WHEEL sur ces fichiers.
4 - reboot et re-configuration du firewall --> les règles s'appliquent de nouveaux.
5- Un mois après ces soucis on constate que notre openvpn ne fonctionne plus, après analyse on remonte jusqu’à l'User Manager (lien ldap) qui comme les règles du firewall n'appliquent les modifications apportées c'est à dire que le pfsense ne les sauvegardes pas.
6 - je suppose donc que sur les fichiers de User Manager les droits ne sont pas les bons et donc pfsense ne sauvegarde pas la config

Comme CCNET l'a évoqué je pense aussi que nous n'avons pas respecté le processus de mise à jour. On est passé à une version de 2009 ou 2011 à la version de 2015 on aurait du passer par les versions qui se trouvaient entre 2009/2011 à 2015. C'est à dire faire toutes les mises à jours entre notre version que l'on avait avant et celles qui sont sorties après.

Le lien ldap avant migration était en tcp standard, maintenant il est en tls et il est impossible de pouvoir enregistrer la configuration en tcp puisque pfsense ne veux pas sauvegarder cette configuration (problème de droits je pense), je ne peux pas vous le confirmer mais cela est surement du à cette migration.

Dites-moi si je n'ai pas été assez clair.

ccnet

Ce qui m'étonne, et m’inquiète, c'est qu'il se passe plusieurs jours avant que le problème survienne. Il pourrait être utile de vérifier que le hardware est compatible avec une version récente de Pfsense (donc FreeBSD).
Les logs seront utiles aussi bien sur.

crym

Bonjour et Désolé de la réponse tardive,

Je ne maîtrise pas entièrement pfsense, quels sont les fichiers de log que je devrais regarder ou copier ici ou sur pastebin ? (syslog?messages ou autres fichiers de log )

Peut être que les problèmes sont apparues directement et on ne nous les a pas fait remontés. Si je tente de supprimer WHEEL des permissions sur les fichiers et que je tente de le remplacer par root peut-être que les problèmes seront réglés.

Cordialement,

Tatave

salut salut

je vais mettre ma petite pierre à l'édifice.

j'ai pour un pf le même genre de comportement perte de conf ou non application.

En parcourant les log de l'époque, il s'avère que la machine au début reboutait sans intervention physique ou logiciel d'un admin.

La sources ou plutôt la cause était du au dissipateur et ventilateurs de la machine qui ne permettaient plus/presque plus la circulation d'air.

La solutionspour mon cas était de souffler les interstices et évacuations, tout en changeant tous les ventilateurs boitier+cpu.

autres options car à l’époque nous avons un 1.2xx nous avons fait des sauvegarde complète des conf avant toutes les mises à jours auto mais par l'injection des sources que nous avions récupéré avant.

nota il n'y a pas de solution globale, juste une ou pas de solution au cas par cas.
je n'ai exprimé qu'une solution qui pourrait coller à votre cas.

Cordialement

crym

Salut,

Merci Tatave pour les informations, sauf que moi c'est une machine virtuelle alors je veux bien décrasser mon hôte esx mais je pense que cela ne résoudra pas mon soucis.

Ce que je vais faire dans les semaines qui vont venir c'est que je vais remonter un machine virtuelle pfsense en 64 bits et je vais réimporter ma configuration actuelle et si besoin je créerai ce qui manquera du style openvpn etc…

Cordialement,

crym

Bonjour,

après export et import de ma configuration pfsense vers une nouvelle vm pfsense tout fonctionne à merveille.

Je clôture ce sujet