Sécurité réseau

[R4v3n]

- Pour 40€ livré on trouve 48 ports POE Gb avec 4 uplinks SFP Gb/s, il suffit de checker régulièrement.
D'ailleurs on peut même trouver pour 100€ (mais pas sur lbc) des switches infiniband 18 ou 36 ports en QSFP+ (40gb/s).
- Effectivement tout ça c'est overkill, alors qu'une simple OPNsense sur du matos d'occaz en ITX (ou non) ferait amplement l'affaire et ne coûterait pratiquemet rien.
Un switch d'occaz, un PC d'occaz avec OPNsense, il y en a pour 200€ et tu fais tout avec.

48 ports POE Gb avec 4 uplinks SFP Gb/s : c'est pour connecter où les 4 uplinks SFP Gb/s ?
OPNsense sur du matos d'occaz en ITX : un lien sur du neuf me donnerait une idée des caractéristiques.
Il manque un routeur dans cette liste , non ?

Pour connecter à d'autres switches  
Mais ce n'est pas ton besoin, j'indiquais juste le genre de modèle (un peu vieux mais qui ne coûte plus rien).

OPNSense ne propose pas d'appliance, contrairement à PFsense. Mais le matos sera cher.
Tu prends n'importe quelle config x86 potable (un Atom c'est le minimum, mais si tu choppes un ryzen bas de gamme ou un core i3, ça fera tout aussi bien le boulot).
Il te faut juste 3 ports RJ45 (2 WANs et 1 LAN), et tu as monté ton routeur.

[Ives]

- Pour 40€ livré on trouve 48 ports POE Gb avec 4 uplinks SFP Gb/s, il suffit de checker régulièrement.
D'ailleurs on peut même trouver pour 100€ (mais pas sur lbc) des switches infiniband 18 ou 36 ports en QSFP+ (40gb/s).
- Effectivement tout ça c'est overkill, alors qu'une simple OPNsense sur du matos d'occaz en ITX (ou non) ferait amplement l'affaire et ne coûterait pratiquemet rien.
Un switch d'occaz, un PC d'occaz avec OPNsense, il y en a pour 200€ et tu fais tout avec.

48 ports POE Gb avec 4 uplinks SFP Gb/s : c'est pour connecter où les 4 uplinks SFP Gb/s ?
OPNsense sur du matos d'occaz en ITX : un lien sur du neuf me donnerait une idée des caractéristiques.
Il manque un routeur dans cette liste , non ?

Pour connecter à d'autres switches  
Mais ce n'est pas ton besoin, j'indiquais juste le genre de modèle (un peu vieux mais qui ne coûte plus rien).

OPNSense ne propose pas d'appliance, contrairement à PFsense. Mais le matos sera cher.
Tu prends n'importe quelle config x86 potable (un Atom c'est le minimum, mais si tu choppes un ryzen bas de gamme ou un core i3, ça fera tout aussi bien le boulot).
Il te faut juste 3 ports RJ45 (2 WANs et 1 LAN), et tu as monté ton routeur.

Une config de ce genre ? Quelles options pour la capacité RAM et SSD ?
Si je connecte mes ORBI Netgear wifi je pourrai sécuriser (filtre des adresses MAC ou autre solution) ?
La structure de réseau sera comme ça ?

[Du21]

C'est ça, sur le tarif les USG sont pas cher en ce moment : 
https://www.wifi-france.com/ubiquiti/uni...YMQAvD_BwE

A mettre en perspective avec un petit PC d'occaz avec Opensense, dont les capacité seront plus étendues certes, mais utiles, je ne sais pas. De plus sur USG la conso électrique sera moindre. Le contrôleur peut aussi être installé sur un PC Windows et n'être lancé que lorsque l'on veut appliquer des changement, en dehors hormis pour des besoin de logs, il n'est pas indispensable et ça peut simplifier la config

[kalhimeo]

un bon site en général un peu moins cher pour le matériel Ubiquiti : https://www.eurodk.com

[filou59]

un bon site en général un peu moins cher pour le matériel Ubiquiti : https://www.eurodk.com

tu as deja commander a titre perso chez eux ?
Si oui ca se passe comment ? TVA / Frais de douane ?

J'ai déjà commandé chez eux mais de maniere indirecte via Amazon

[Ives]

C'est ça, sur le tarif les USG sont pas cher en ce moment : 
https://www.wifi-france.com/ubiquiti/uni...YMQAvD_BwE

A mettre en perspective avec un petit PC d'occaz avec Opensense, dont les capacité seront plus étendues certes, mais utiles, je ne sais pas. De plus sur USG la conso électrique sera moindre. Le contrôleur peut aussi être installé sur un PC Windows et n'être lancé que lorsque l'on veut appliquer des changement, en dehors hormis pour des besoin de logs, il n'est pas indispensable et ça peut simplifier la config

Oui le coût du routeur est très raisonnable et l'argument de la consommation moindre un plus. La configuration ne va pas changer tous les jours donc ça ne semble pas très pénalisant de l'effectuer à partir d'un PC .
Il faut un switch manageable de la même marque ?
Pour sécuriser mon wifi il faudra que je remplace mes ORBI Netgear par des bornes Ubiquiti ?

[Du21]

Un switch de la même marque n'est pas obligatoire, cela simplifie seulement la configuration, mais du coup ça fait cher la config   .

Un bon switch manageable fera le job, pour ma part je préfere, un HP, ou Cisco d'ocazz à un Tplink ou Dlink neuf mais c'est une question de gout
Pour tes Orbis tu auras au moins le même niveau de sécurité que ce qu tu as à ce jour, et en fonction de leur capacités techniques, tu pourras peut-être l'élever

[Ives]

un bon site en général un peu moins cher pour le matériel Ubiquiti : https://www.eurodk.com

Comparatif pour le switch :

[R4v3n]

un bon site en général un peu moins cher pour le matériel Ubiquiti : https://www.eurodk.com

Comparatif pour le switch :

Pense à ajoute la TVA au "prix remisé".

[Ives]

Pour tes Orbis tu auras au moins le même niveau de sécurité que ce qu tu as à ce jour, et en fonction de leur capacités techniques, tu pourras peut-être l'élever

Finalement, d'après cet article, le filtrage par adresse MAC semble assez facile à contourner.

[filou59]

Oui après tout dépend son habitation et de la configuration.
Ne pas forcément chercher a avoir un WIFI trop puissant qui arose tout les voisins.
Un WIFI bien placé ou plusieurs borne bien réparties permettront de n'arroser que la maison et de drolement limiter le signal a l'exterieur.

Allumer le WIFI qu'en présence de personne, tu peux très bien programmer la ou les prises alimentant les bornes en fonction de la présence.

Ensuite on peut combiner plusieurs choses comme le filtrage d'adresse MAC, le masquage du SSID, la désactivation du DHCP avec en parallèle l'utilisation d'une plage d'IP moins courante que ce que l'on trouve dans 99% des cas (192.168.0.X ou 192.168.1.X) ...

Au fait , tu dis que tu veux remplacer ton routeur de la freebox, je sais pas si quelqu'un y a pensé ou si quelqu'un en a parlé mais tu peux très bien utiliser le routeur de ton Orbi si tu veux. Tu peux même mettre en place une connexion OpenVPN directement avec.

[Ives]

Au fait , tu dis que tu veux remplacer ton routeur de la freebox, je sais pas si quelqu'un y a pensé ou si quelqu'un en a parlé mais tu peux très bien utiliser le routeur de ton Orbi si tu veux. Tu peux même mettre en place une connexion OpenVPN directement avec.

Effectivement, je viens de regarder et, actuellement, je l'ai configuré en point d'acces. La prise de la base repérée "internet" est connecté à un port LAN de la Freebox et la prise repérée "Ethernet" connectée au satellite.

Si je passe l'ORBI en mode routeur :
1) je passe la Freebox en mode "bridge"
2) je mets en place dans l'ORBI toutes règles d'ouverture des ports qui sont actuellement paramétrées dans la Freebox ?
3) J'installe OpenVPN sur les smartphones et je pourrai accéder à Lifedomus et à l'alarme via un tunnel VPN (que deviennent alors  les règles de routage dans l'ORBI pour Lifedomus et pour l'alarme) ?
4) le flux sera t-il plus "étranglé qu'avec la Freebox en mode routeur ?

Ce qui manquerait avec cette solution c'est un firewall (Sur Orbi il semble y avoir Armor by Bitdefender mais un abonnement payant annuel) et un routeur sachant gérer des VLAN les règles de firewalling entre chaque VLAN, même si je ne sais pas quelles règles il faudrait appliquer  ?

[kalhimeo]

tu as deja commander a titre perso chez eux ?
Si oui ca se passe comment ? TVA / Frais de douane ?
J'ai déjà commandé chez eux mais de maniere indirecte via Amazon

Oui déjà commandé deux fois, pas de frais de douane, juste des frais de ports normaux. Le site existe depuis longtemps et le marchand est reconnu et safe (comme tu dis il vend aussi via Amazon).

Comparatif pour le switch :

Comme dit R4v3n, compares bien avec la TVA, du coup eurodk reste moins cher ;-)

[filou59]

Oui déjà commandé deux fois, pas de frais de douane, juste des frais de ports normaux. Le site existe depuis longtemps et le marchand est reconnu et safe (comme tu dis il vend aussi via Amazon).

OK j'ai eu un doute car ils ont l'air dans l'europe mais vue que les prix sont indiqué en $$ ca seme le doute

Effectivement, je viens de regarder et, actuellement, je l'ai configuré en point d'acces. La prise de la base repérée "internet" est connecté à un port LAN de la Freebox et la prise repérée "Ethernet" connectée au satellite.

Si je passe l'ORBI en mode routeur :
1) je passe la Freebox en mode "bridge"
2) je mets en place dans l'ORBI toutes règles d'ouverture des ports qui sont actuellement paramétrées dans la Freebox ?
3) J'installe OpenVPN sur les smartphones et je pourrai accéder à Lifedomus et à l'alarme via un tunnel VPN (que deviennent alors  les règles de routage dans l'ORBI pour Lifedomus et pour l'alarme) ?
4) le flux sera t-il plus "étranglé qu'avec la Freebox en mode routeur ?

Ce qui manquerait avec cette solution c'est un firewall (Sur Orbi il semble y avoir Armor by Bitdefender mais un abonnement payant annuel) et un routeur sachant gérer des VLAN les règles de firewalling entre chaque VLAN, même si je ne sais pas quelles règles il faudrait appliquer 

1) Oui toi tu as la chance de pouvoir passer ta box en mode bridge, ce que je ne peux pas faire avec une Livebox par exemple
En mode bridge tu as l'équivalent d'un modem et deriere tu lui mets un routeur.

Cette config est idéal a défaut de se passer directement de la box, ce qui est possible parfois quand meme.
Pour ceux que ca interesse je vous recommande le forum suivant : https://lafibre.info/routeurs/?PHPSESSID...marht7icm4
2)Oui
3)Tu vas faire un minimum de conf sur ton Orbi pour activer le serveur OpenVPN
Ensuite tu install l'apli OpenVPN (a moins que le telephone en soit capable d'origine),
Tu mets en place la config pour te connecter chez toi. *
On en a jamais parlé mais tu es en IP Dynamique ou Fixe ? 
Si tu as une IP Fixe c'est facile, sinon il faut mettre en place un nom de domaine Dynamique que tu devras mettre a jour via un petit script.
Ce script peut tourner parfois sur le routeur, sinon sur un raspberry ou autre ...

(que deviennent alors  les règles de routage dans l'ORBI pour Lifedomus et pour l'alarme) ?

Tu as deja des regle dans ton Orbi ? pour faire quoi ?
4)Le flux ne sera pas étranglé ta freebox et ton orbi sont en Gigabit.
Au contraire cette config est mieux que si tu mets 2 routeur a la suite, c'est ce que les PRO DU RESEAU n'aime, fait une recherche sur Double Nat et tu verras que tout le monde dit que c'est beurk. 
Parfois on a pas le choix, (moi par exemple avec ma config) mais en gros de ce que j'ai compris ce type de config peut parfois poser problème dans certains cas par exemple avec des consoles ou autre qui digere mal ce type de connexion.

[filou59]

Ce qui manquerait avec cette solution c'est un firewall (Sur Orbi il semble y avoir Armor by Bitdefender mais un abonnement payant annuel) et un routeur sachant gérer des VLAN les règles de firewalling entre chaque VLAN, même si je ne sais pas quelles règles il faudrait appliquer Smile  ?

Je suis pas un expert, mais toute box ou routeur intégre un firewall, après certains préfère confier ca a des distributions pfsense/opnsense/untangle ou autre qui ont l'avantage de pouvoir s'installer sur n'importe quel matériel. Tant que la distrib ne meurt pas, il suffit de la mettre a jour. Lavantage de ce type de distrib c'est aussi des réglages plus poussé aussi.

Armor bu Bitdefender c'est un service suplémentaire qui n'a rien avoir avec un firewall, c'est sensé protéger contre les virus/programme malveillants, tentative de fraude / phishing/ ransomware ... , l'avantage avec ca c'est que ca protege tout ton réseau alors que sinon tu doit installer l'appli Bitdefender sur chaque machine et avoir l'abo adequat.
Sous forme d'abo il y a aussi le truc "Circle" il me semble, pour du controle parental.

[R4v3n]

Ce qui manquerait avec cette solution c'est un firewall (Sur Orbi il semble y avoir Armor by Bitdefender mais un abonnement payant annuel) et un routeur sachant gérer des VLAN les règles de firewalling entre chaque VLAN, même si je ne sais pas quelles règles il faudrait appliquer Smile  ?

Je suis pas un expert, mais toute box ou routeur intégre un firewall, après certains préfère confier ca a des distributions pfsense/opnsense/untangle ou autre qui ont l'avantage de pouvoir s'installer sur n'importe quel matériel. Tant que la distrib ne meurt pas, il suffit de la mettre a jour. Lavantage de ce type de distrib c'est aussi des réglages plus poussé aussi.

Armor bu Bitdefender c'est un service suplémentaire qui n'a rien avoir avec un firewall, c'est sensé protéger contre les virus/programme malveillants, tentative de fraude / phishing/ ransomware ... , l'avantage avec ca c'est que ca protege tout ton réseau alors que sinon tu doit installer l'appli Bitdefender sur chaque machine et avoir l'abo adequat.
Sous forme d'abo il y a aussi le truc "Circle" il me semble, pour du controle parental.

Ta box ou routeur n'intègre pas de firewall, elle intègre simplement du NAT, qui n'a rien à voir avec du firewalling, je le répète.

A savoir que PF/OPN intègrent Snort/Suricata pour la détection d'intrusion. De même qu'ils ont squid (transparent ou non)/C-ICAP et ClamAV pour la détection virale.

[filou59]

Ta box ou routeur n'intègre pas de firewall, elle intègre simplement du NAT, qui n'a rien à voir avec du firewalling, je le répète.

On nous ment alors   car si je vais sur ma box je vois ca :    

OK je veux bien te croire si tu me dis qu'une solution PF/OPN ou autre est plus performante / sécurisante. 
Mais bon 99% du parc domestique est constitué de box/routeur... 
Ca veut dire quoi que tout le monde court un risque ? si oui lequel ?

[Ives]

On en a jamais parlé mais tu es en IP Dynamique ou Fixe ? 
Si tu as une IP Fixe c'est facile, sinon il faut mettre en place un nom de domaine Dynamique que tu devras mettre a jour via un petit script.
Ce script peut tourner parfois sur le routeur, sinon sur un raspberry ou autre ...

J'étais chez Orange avec la Livebox et j'avais ouvert un compte NO-IP pour disposer d'un nom de domaine. Maintenant chez Free, je suis en IP fixe (j'ai fait la procédure car avec la fibre, par défaut, l'IP est partagée entre 4 utilisateurs donc avec un partage des ports"

Tu as deja des regle dans ton Orbi ? pour faire quoi ?

Non, l'OrBi est actuellement paramétré en point d'accès ; les règles sont dans la freebox (pour Lifedomus, alarme, visiophones)

Au contraire cette config est mieux que si tu mets 2 routeur a la suite, c'est ce que les PRO DU RESEAU n'aime, fait une recherche sur Double Nat et tu verras que tout le monde dit que c'est beurk. 

Ce n'était pas mon intention de mettre 2 routeurs en cascade.

[R4v3n]

Ta box ou routeur n'intègre pas de firewall, elle intègre simplement du NAT, qui n'a rien à voir avec du firewalling, je le répète.

On nous ment alors   car si je vais sur ma box je vois ca :

OK je veux bien te croire si tu me dis qu'une solution PF/OPN ou autre est plus performante / sécurisante. 
Mais bon 99% du parc domestique est constitué de box/routeur... 
Ca veut dire quoi que tout le monde court un risque ? si oui lequel ?

Parce que tout comme "crypter", c'est un abus de langage.
Certaines boxes indiquent "Transfert de port" à la place, bien plus approprié.

Evidemment que tout le monde court un risque, mais le risque est l'user avant d'être le routeur. Cela dit le fait d'avoir une box opérateur, c'est déjà faciliter le hack d'une majorité à partir du moment où la box contient une faille (et c'est pas ça qui manque).

Le NAT existe à la base à cause du peu d'ipv4 dispos. Sinon chaque machine aurait sa propre IP sur le net (ce qui est le cas en ipv6).
Le NAT n'est qu'une translation d'adresse, elle permet à plusieurs ordinateurs (via l'ip privée) de n'utiliser qu'une IP publique.
Ce que les boxes intègrent, c'est du forwarding de port avec plus ou moins d'options, c'est à dire qu'on peut dire "Ouvre le port 21 (sur tel protocole) vers telle IP du LAN" pour permettre d'avoir une communication dans les 2 sens (net vers LAN et LAN vers net) sans aucun contrôle supplémentaire.

Avec un firewall, en dehors de la fonction NAT, tu gères tes règles de firewalling au niveau des ports, mais dans les 2 sens. De base tu interdits toute entrée, mais AUSSI toute sortie, parce que ton réseau peut aussi être toxique pour internet.
C'est à dire que tu peux tout à fait autoriser le 21 en entrée, mais pas en sortie, ou l'inverse.
La 2eme chose avec un firewall, c'est que tu gères tes règles entre les différents LANs (que ce soit des VLANs ou des LANs physiques), et donc tes interactions entre tes éléments de tes réseaux.
Tu pourras aussi gérer EAP, NTP, passerelle RADIUS, LDAP etc. Enfin là ça dépend de ton firewall.
Enfin sur un firewall on peut ajouter des fonctionnalités type IDS, Antivirus, Proxy etc.. Pareil, dépend de ton firewall.

[Ives]

Quelques nouvelles ! 

Le matériel est commandé :

• un switch manageable AVAYA ERS 5650TD PWR 48 ports PoE (occasion)
  
• un mini PC Qotom Core i5, 8 Gb RAM, SSD 256 Gb, Fanless, 4 ports Gigabit (Routeur, Firewall, VPN)
  
• deux points Accès UBIQUITI UniFi UAP-AC-LR
  

Si dans un mois vous constatez que je ne poste plus, c'est que mon réseau sera hyper sécurisé !  


Sur les conseils avisés de R4v3n (que je remercie), j'ai utilisé l'application Unifi Controller pour visualiser la couverture wifi dans la maison (pour différents types de bornes wifi). 
Il faut importer le plan de la maison, indiquer l’échelle puis placer les murs, cloisons, vitrages en tenant compte du type de matériau et de son épaisseur.

On obtient un graphique de la zone de couverture avec des couleurs qui représentent l'intensité du signal : rouge, orange, jaune, vert et bleu soit du plus fort au plus faible. 

Ce n'est qu'une indication car la sensibilité du récepteur (exprimé en décibel par milliwatt) est également à considérer ; la sensibilité c'est le niveau de puissance le plus bas auquel le récepteur peut détecter un signal RF et démoduler les données. 

Dans les graphiques ci-dessous, j'ai pris -74 dBm qui correspond à un récepteur peu sensible ;  pour le 2,4 Gbits, le signal est le moins fort (bleu) dans le bureau mais si j'ajuste la sensibilité du récepteur à -85 dBm (récepteur moyennement sensible), la zone devient verte.

D'une part, les récepteurs du bureau sont tous câblés ; d'autre part, le bleu indique une connexion qui ne sera pas optimale (débit faible) mais la connexion au réseau wifi doit être possible. Il restera à vérifier avec quelques mesures en situation réelle.
 
Couverture 2 G : 


Couverture 5 G
On remarque immédiatement que si on souhaite utiliser le wifi 5 Ghz pour son grand débit, il faudra augmenter le nombre de bornes car plus la fréquence est élevée moins la pénétration dans le bâtiment est bonne. Vous me direz qu'on le savait déjà sans ce simulateur ! 
 

[filou59]

Tes nouvelles bornes WIFI vont venir en complement ou a la place de ton systeme Orbi ?

Tu l'as commander ou le Qotom ?

[Kevlille]

@Ives

Tu nous diras ce que tu penses de tes UniFi UAP-AC-LR, car je comptais en acheter pour completer la couverture wifi de mes In-wall qui sont faiblard (en gros ils sont fait pour apporter le wifi dans une seule pièce mais en laissant des port eth dispo)

[Ives]

Tes nouvelles bornes WIFI vont venir en complement ou a la place de ton systeme Orbi ?
Je vais revendre mes deux ORBI qui fonctionnent d’ailleurs bien, hormis le fait qu'ils ne supportent pas de faire passer le réseau wifi via des VLANs.

Tu l'as commander ou le Qotom ?
Qotom official store avec AliExpress mais le vendeur n'a pas en encore accepté la commande. Je peux annuler ma commande mais je n'ai pas trouvé trouvé d'autres vendeurs.

@ Kevlille
Je ferai un retour de la couverture en comparaison avec les ORBI

[filou59]

Tu as été obligé de prendre une livraison DHL chez eux non ? C'était le cas quand j'avais regardé, par contre il y a une autre marque qui propose une livraison standard...
L'avantage / L'inconvénient de l'un ou de l'autre c'est qu'avec DHL tu es sur a 200% d'avoir des frais de douane+TVA ce qui est normal, alors qu'avec une livraison std tu peux passer entre les mailles. Après DHL sera bcp plus rapide logiquement 1 semaine en période normal, alors que sinon ca peut prendre 3 a 4 semaines.

[Du21]

Juste une chose en passant, après des test complets (plus de 150 bornes déployées et maintenues), les versions LR ont une utilité très limitée, à savoir augmenter la zone de couverture, principalement en 2.4, en 5ghz, ça n'est même pas perceptible. Mais cette extension est valable en zone ouverte extérieure, comme un camping, dans nos maisons et zones de bureaux, elles n'apportent rien. De plus, augmenter la distance de diffusion c'est bien, mais si l’appareil connecté n'en est pas capable, la liaison ne pourra s'établir