Sécurité réseau

[filou59]

Salut Yves

Je suis pas un spécialiste UI, mais l'USG si je ne me trompe pas c'es un routeur.
Controller-Unifi : c'est le logiciel qu'il faut obligatoirement avoir installer qq part pour administrer le matos UI, donc ca n'a rien avoir avec ORBI


Sinon voici ma config actuelle :
-Fibre Orange 2x1G avec pour le moment avec une Livebox 5
-Switch Mikrotik CRS328-24P-4S+
-Routeur WIFI Archer C7 (Solution que je vais peu être changer un jour ou l'autre...)

Sur une petite Machine Odroid-H2, je virtualise via Proxmox :

• Routeur OPNsense (avec OpenVPN)
  
• PiHole
  
• openHAB
  
• Logitech Media Server (Server pour Squeezebox) + OMV
  
• Docker + OMV
  
• ...
  
• Je dois encore ajouter une solution de supervision, type Grafana, une base de donnée (MySQL/MariaDB), emonCMS ...
  

Je peux me connecter sur mon reseau local de manière sécurisé grace a OpenVPN via un ordi ou via un téléphone sans problème.

Ma démarche chez moi c'est de tenter de lutter contre les Watts, j'avais avant un gros NAS dans un boitier 20 ou 24 disque, un ou 2 autres NAS, pas mal Raspberry, quelques switchs, des serveurs pour faire des tests etc... bref de quoi contribuer a la survie de mon fournisseur d'energie...  

Du coup au lieu de faire tourner H24 un gros Nas, je me suis monté 3 NAS que j'utilise en fonction des besoins.

Pour la machine virtuelle, j'ai opté pour un Odroid H2, c'est un processeur Intel J4105 qui a un TDP de 10W. J'ai 2 SSD qui sont en ZFS Raid Miroir.

Au lieu de dédier un Rpi a une fonction, comme j'avais tendance a le faire, j'ai regroupé tout ca dans une machine virtuelle, ca a plusieurs avantage, reduction de conso, ca simplifie les sauvergardes...

Je n'ai pas abandonné les rPi, j'en ai encore qui me serve de lecteur Audi via la distrib piCorePlayer.
J'en ai un qui est dédié a Codesys et la partie KNX.

Certains ont cité Untangle pfSense et OPNsense, j'ai essayé les 3
-pfsense : Le plus connu, celui ou l'on trouvera le plus d'info sur le Net et le plus de tuto. J'ai quitté pfsense a une époque ou je le faisais tourner sur du matos qui n'a plus été supporté, mais qui était supporté par OPNsense
-OPNsense : C'est dérivé de pfsense, donc on est pas trop perdu en y passant, il y a un peu moins de tuto mais on trouve quand même, donc il n'y a pas de problème la dessus ci besoin.

Ces 2 distribs s'administre via une page Web "classique"

-Untangle : C'est une distrib basé sur Linux (contrairement aux 2 autres qui sont sous Freebsd), a la base étant plus familiarisé avec linux je me suis laissé tenter.
J'ai aussi tenté l'expérience car lors de mon passage a la fibre je n'arrivais pas a exploiter tout le potentiel de celle-ci
Untangle est assez conviviale, on configure ca aussi via une page Web, mais c'est un peu sous la forme de fenetre ce qui est assez sympas.
Cette distrib est payante en version "Home" ca coute 50$/an , mais il est possible de la faire tourner gratuitement avec un peu moins de fonctions.
Untangle intégre pas mal d'application, en plus d'un traditionnel firewall, il y a un systeme d'Ad-blocker (comme pi-hole), un bloqueur de virus, phish-blocker, ...
La configuration d'OpenVPN se fait en quelques clique sans avoir besoin du moindre tuto, uniquement via la FAQ de leur site. C'est 10x plus simple que via pfsense et OPNsense.

Niveau perf, j'ai réussi a exploité mon Giga de la box.
Le seul bémol c'est que cette solution a l'air d'ête connu principalement sur le continent Américain, du coup j'ai trouvé bcp moins de tuto et peu être aucun en Francais

L'autre HIC, c'est les habitude qui ont la vie dur. Même si l'interface était belle et peu être plus simple, j'avais plus l'habitude d'OPNsense.

J'ai donc refait ma config OPNsense, et là j'ai récupérer les perf que je devais avoir, (mon install précédente etait basé sur de vieille version qui avait été mise a jour, ce qui est peu être l'origine de mes faibles perf)


Mon chantier actuel (enfin c'etait avant le confinement), c'est de virer la livebox, brancher directement la fibre via un convertisseur SFP/Ethernet, voir via un routeur dédié , vue que l'on ne peut pas passer la box en mode bridge, on fait avec ce type de config du double nat ce que les puriste n'aime pas et ce qui peut provoquer parfois des problème dans certaines situation.