L’accès à des serveurs FTP externes n’est possible que sur le lien WAN avec pfsense et pour corriger des problèmes de connexion il faut procéder à deux paramétrages importants :

• cliquer sur Firewall > Rules puis sur l’onglet LAN. Cliquer sur l’icône « + » pour ajouter une règle qui contiendra les éléments suivants :
  • Action : Pass
  • Interface : LAN
  • Protocol : TCP/UDP
  • Source: any
  • Destination : Type : Single host or alias et Address : 127.0.0.1
  • Destination port range : From (other) 1 To (other) 65535
  • Gateway : default
  • Description : LAN -> FTP -> WAN
  • Cliquer sur Save puis Apply.
• dans Interfaces > LAN, décocher la case « Disable the userland FTP-Proxy application« 

Il est relativement simple de créer une connexion VPN avec pfsense, par exemple au moyen d’OpenVPN qui est intégré dans le logiciel. Une fois l’installation de pfsense terminée et validée il faut suivre différentes étapes qui sont détaillées dans la suite de cet article. Cette VPN est configurée pour permettre l’accès à des utilisateurs itinérants comme des commerciaux disposant de portables et souhaitant se connecter à distance au réseau interne de l’entreprise de manière sécurisée.

continue reading "pfsense et OpenVPN pour road warriors"

Suite à la mort brutale et simultanée de deux des trois disques durs montés en RAID 5 de mon serveur SQLServer 2000 (comme quoi c’est possible), j’ai du reconstruire en urgence un nouveau serveur. Pour rappel on peut perdre un disque dur dans une grappe RAID 5 sans perte de données, au delà on perd tout… Je détaille ici les étapes que j’ai suivi pour restaurer entièrement les données.

continue reading "Restauration de SQL Server"

Dans un domaine il est important que les horloges de l’ensemble des machines soient synchronisées. En effet le protocole d’authentification Kerberos requiert par défaut une différence maximale de 5 minutes entres les horloges afin de prévenir les attaques.

Si l’authentification se basait uniquement sur un nom d’utilisateur et un mot de passe il serait théoriquement possible pour une personne mal intentionnée d’enregistrer le trafic réseau, d’en extraire ces données et de les rejouer au serveur. Les clés de sessions Kerberos sont uniques et basées sur l’heure du client, ce qui permet d’éviter ces attaques si la différence maximale tolérée est relativement faible.

Afin d’être certain que les horloges sont toutes synchronisées entre elles il est nécessaire de définir une source de temps faisant autorité. Il est ainsi possible de configurer le contrôleur de domaine maître d’opération PDC afin qu’il devienne une source de temps de strate 2 se synchronisant sur une source de temps de strate 1 (en général un serveur de temps basé sur une horloge atomique).

continue reading "Configurer un serveur de temps faisant autorité sous Windows 2003"

J’ai récemment installé deux nouveaux contrôleurs de domaine en Windows 2003 R2 afin de remplacer un vieux contrôleur de domaine en Windows 2000 qui montrait des signes certains de faiblesse. Problème, après la phase habituelle de dcpromo les partages SYSVOL et NETLOGON ne se sont pas créés automatiquement sur les deux nouveaux DCs. Les transferts de rôles FSMO se sont eux passés sans problème et Active Directory (utilisateurs, ordinateurs) et le DNS se répliquent parfaitement.

Ce problème est en fait critique puisque si le contrôleur de domaine en Windows 2000 venait à mourir il ne serait plus possible de s’authentifier sur le domaine ni sur les serveurs SQL utilisant l’authentification Windows. Un backup très régulier de l’état du système du DC avec ntbackup est primordial tant que la situation n’est pas stabilisée. D’autre part les stratégies de groupe ne sont pas répliquées et les serveurs ne sont pas intégralement considérés comme des contrôleurs de domaine tant que les partages SYSVOL et NETLOGON n’auront pas été créés.

continue reading "Problème de réplication des partages SYSVOL et NETLOGON"