Spécification de la machine tun-greA.house.cpb

Host : tun-greA.house.cpb

• IP :192.168.1.54
  • VIP : 100.100.0.1/24
• OS : RockyLinux
• vCPU : 2
• DD : 8Go
• Ram : 2Go

Mise à jour de la machine

[root@tun-grea ~]# dnf update -y

TimeDate

[root@tun-grea ~]# timedatectl set-timezone "Europe/Paris"
[root@tun-grea ~]# timedatect

Ajouter les hosts (Si pas de DNS)

[root@tun-grea ~]# echo "192.168.1.54 tun-grea tun-grea.house.cpb" >> /etc/hosts
[root@tun-grea ~]# echo "192.168.1.55 tun-greb tun-greb.house.cpb" >> /etc/hosts

[root@tun-grea ~]# echo "100.100.0.1 tunnel-grea tunnel-grea.house.cpb" >> /etc/hosts
[root@tun-grea ~]# echo "100.100.0.2 tunnel-greb tunnel-greb.house.cpb" >> /etc/hosts

Installation epel

[root@vpn-sita ~]# dnf install epel-release

Chargement Module GRE – CLI

[root@tun-grea ~]# lsmod | grep ip_gre
[root@tun-grea ~]# modprobe ip_gre
[root@tun-grea ~]# lsmod | grep ip_gre

Chargement Module GRE – On BOOT

[root@tun-grea ~]# echo ip_gre >> /etc/modules-load.d/tun.conf

[root@tun-grea ~]# ls -al /etc/modules-load.d/tun.conf
-rw-r--r--. 1 root root 7 30 mai 19:39 /etc/modules-load.d/tun.conf

Configuration Réseau Tunnel GRE

Création du Tunnel tun0

[root@tun-grea ~]# nmcli connection add type ip-tunnel ip-tunnel.mode ipip con-name tun0 ifname tun0 remote 192.168.1.55 local 192.168.1.54
Connexion « tun0 » (80e7cefb-c070-4b9a-8ac0-200edd9090a6) ajoutée avec succès.

Création de l’adresse VIP

[root@tun-grea ~]# nmcli connection modify tun0 ipv4.addresses '100.100.0.1/24'

Configuration IPV4 sur tun0

[root@tun-grea ~]# nmcli connection modify tun0 ipv4.method manual

Configuration static route sur tun0

[root@tun-grea ~]# nmcli connection modify tun0 +ipv4.routes "192.168.1.0/24 100.100.0.2"

Activation de la connexion tun0

[root@tun-grea ~]# nmcli connection up tun0
Connexion activée (chemin D-Bus actif /org/freedesktop/NetworkManager/ActiveConnection/11)

Check de la connexion tun0

[root@tun-grea ~]# nmcli connection

[root@tun-grea ~]# ip a show tun0

Activer le Forward IPv4

[root@tun-grea ~]# echo "net.ipv4.ip_forward=1" > /etc/sysctl.conf
[root@tun-grea ~]# sysctl -p
net.ipv4.ip_forward = 1

Activer les rules Firewall GRE

[root@tun-grea ~]# firewall-cmd --permanent --direct --add-rule ipv4 filter INPUT 0 -p gre -j ACCEPT
[root@tun-grea ~]# firewall-cmd --remove-service={dhcpv6-client,cockpit} --permanent
[root@tun-grea ~]# firewall-cmd --reload
[root@tun-grea ~]# iptables -L

Installation de la machine tun-greB.house.cpb – Centos7

Spécification de la machine tun-greB.house.cpb

Host : tun-greB.house.cpb

• IP :192.168.1.55
  • VIP : 100.100.0.2/24
• OS : Centos7
• vCPU : 2
• DD : 8Go
• Ram : 2Go

Mise à jour de la machine

[root@tun-greb ~]# yum -y update

TimeDate

[root@tun-greb ~]# timedatectl set-timezone "Europe/Paris"

Ajouter les hosts (Si pas de DNS)

[root@tun-greb ~]# echo "192.168.1.54 tun-grea tun-grea.house.cpb" >> /etc/hosts
[root@tun-greb ~]# echo "192.168.1.55 tun-greb tun-greb.house.cpb" >> /etc/hosts

[root@tun-greb ~]# echo "100.100.0.1 tunnel-grea tunnel-grea.house.cpb" >> /etc/hosts
[root@tun-greb ~]# echo "100.100.0.2 tunnel-greb tunnel-greb.house.cpb" >> /etc/hosts

Désactiver l’IPv6 (non nécessaire)

[root@tun-greb ~]# echo "net.ipv6.conf.all.disable_ipv6 = 1" >> /etc/sysctl.conf
[root@tun-greb ~]# echo "net.ipv6.conf.all.autoconf = 0" >> /etc/sysctl.conf
[root@tun-greb ~]# echo "net.ipv6.conf.default.disable_ipv6 = 1" >> /etc/sysctl.conf
[root@tun-greb ~]# echo "net.ipv6.conf.default.autoconf = 0" >> /etc/sysctl.conf

[root@tun-greb ~]# sysctl -p
net.ipv6.conf.all.disable_ipv6 = 1
net.ipv6.conf.all.autoconf = 0
net.ipv6.conf.default.disable_ipv6 = 1
net.ipv6.conf.default.autoconf = 0

[root@tun-greb ~]# ip a

Chargement Module GRE – CLI

[root@tun-greb ~]# lsmod | grep ip_gre
[root@tun-greb ~]# modprobe ip_gre
[root@tun-grea ~]# lsmod | grep ip_gre

Chargement Module GRE – On BOOT

[root@tun-greb ~]# echo ip_gre >> /etc/modules-load.d/tun.conf
[root@tun-greb ~]# ls -al /etc/modules-load.d/tun.conf
-rw-r--r--. 1 root root 7 18 juin 18:19 /etc/modules-load.d/tun.conf

Configuration Réseau Tunnel GRE

Création de l’interface tun0

[root@tun-greb ~]# nmcli connection add type ip-tunnel ip-tunnel.mode ipip con-name tun0 ifname tun0 remote 192.168.1.54 local 192.168.1.55
Connexion « tun0 » (163dbe74-79b7-4ba9-90f6-6e0d4fec4271) ajoutée avec succès.

Création de l’adresse VIP

[root@tun-greb ~]# nmcli connection modify tun0 ipv4.addresses '100.100.0.2/24'

Configuration IPV4 sur tun0

[root@tun-greb ~]# nmcli connection modify tun0 ipv4.method manual

Configuration static route sur tun0

[root@tun-greb ~]# nmcli connection modify tun0 +ipv4.routes "192.168.1.0/24 100.100.0.1"

Activation de la connexion tun0

[root@tun-greb ~]# nmcli connection up tun0
Connexion activée (chemin D-Bus actif : /org/freedesktop/NetworkManager/ActiveConnection/6)

Check de la connexion tun0

[root@tun-greb ~]# ip a show tun0

[root@tun-greb ~]# nmcli connection

Activer le Forward IPv4

[root@tun-greb ~]# echo "net.ipv4.ip_forward=1" > /etc/sysctl.conf
[root@tun-greb ~]# sysctl -p
net.ipv4.ip_forward = 1

Activer les rules Firewall GRE

[root@tun-greb ~]# firewall-cmd --permanent --direct --add-rule ipv4 filter INPUT 0 -p gre -j ACCEPT
[root@tun-greb ~]# firewall-cmd --remove-service=dhcpv6-client --permanent
[root@tun-greb ~]# firewall-cmd --reload

[root@tun-greb ~]# iptables -L |grep gre
ACCEPT gre -- anywhere anywhere

Check des flux réseaux Public et Tunnel

Serveur tun-grea

[root@tun-grea ~]# ping -c 3 tunnel-grea

[root@tun-grea ~]# ping -c 3 tunnel-greb

Serveur tun-greb

[root@tun-greb ~]# ping -c 3 tunnel-grea

[root@tun-greb ~]# ping -c 3 tunnel-greb

[root@tun-greb ~]# ssh -l root tunnel-grea

Views: 3

L’article MODOP – Installation Tunnel GRE Host to Host est apparu en premier sur CoffeeBreak Info.

Lancer un script BASH permettant de récupérer une liste d’IP Botnet malveillant une fois par jour via crontab ,  afin de les ajouter à vos règles firewall.

• https://feodotracker.abuse.ch/downloads/ipblocklist_recommended.txt

Création du répertoire Projet

[root@XXXXXXXX chris]# mkdir Ban_BotNet
[root@XXXXXXXX chris]# # cd Ban_BotNet

Installation Dos2unix

[root@XXXXXXXX Ban_BotNet]# yum install dos2unix

Le Script

#!/bin/bash

APP_LOG=BanBotnet.log
APP_HOME=/home/chris/Ban_BotNet
URL_BOT=https://feodotracker.abuse.ch/downloads/ipblocklist_recommended.txt
CE_JOUR=`date +%F`

echo "-------------------------------------------"
echo " Suppression des fichiers périmés J-1 "
echo "-------------------------------------------"
echo ""

if [[ -f $APP_HOME/ipblocklist_recommended-1.txt ]]
then
 echo "On efface le fichier d'hier..."
 rm -f $APP_HOME/ipblocklist_recommended-1.txt
fi

if [[ -f $APP_HOME/ipblocklist_recommended.txt ]]
then
 echo "On efface le fichier d'hier..."
 rm -f $APP_HOME/ipblocklist_recommended.txt
fi

if [[ -f $APP_HOME/ip_firewall_block.txt ]]
then
 echo "On efface le fichier d'hier..."
 rm -f $APP_HOME/ip_firewall_block.txt
fi

echo "-------------------------------------------"
echo "On récupère le fichier des BOTNET du jour "
echo "-------------------------------------------"
echo ""
wget -O - https://feodotracker.abuse.ch/downloads/ipblocklist_recommended.txt |grep -v "#" >> $APP_HOME/ipblocklist_recommended.txt
touch $APP_HOME/ipblocklist_recommended-1.txt
dos2unix -850 -n $APP_HOME/ipblocklist_recommended.txt $APP_HOME/ipblocklist_recommended-1.txt

echo "-------------------------------------------"
echo "On récupère la liste des IP déjà bloquées "
echo "-------------------------------------------"
echo ""
firewall-cmd --list-all >> $APP_HOME/ip_firewall_block.txt

## Traitement des IP à Bannir
for IP in `cat $APP_HOME/ipblocklist_recommended-1.txt`
 do
 ## Verifie si Déja Bloqué
 FIRE=`cat $APP_HOME/ip_firewall_block.txt |grep $IP |wc -l`
 if [[ $FIRE != 0 ]]
 then

 echo "-----------------------------------------------------------------"
 echo "Cette IP : $IP est déjà bloquée dans le Firewall"
 echo "-----------------------------------------------------------------"
 echo "$CE_JOUR : $IP est déjà bloquée dans le Firewall" >> $APP_HOME/$APP_LOG

else
 echo "-----------------------------------------------------------------"
 echo " Mise en Reject de l'IP : $IP dans le Firewall"
 echo "-----------------------------------------------------------------"
 firewall-cmd --add-rich-rule='rule family=ipv4 source address='$IP' reject' --permanent
 echo "$CE_JOUR : $IP ajouter dans le Firewall" >> $APP_HOME/$APP_LOG
 echo ""
 fi
 done

echo "------------------------------------------------------------"
echo "Application des nouvelles règles de Blocage sur le Firewall "
echo "------------------------------------------------------------"
echo ""

firewall-cmd --reload

Lancement du Script

[root@ XXXXXXXX Ban_BotNet]# ./Bannir_Botnet.sh

Lancement du script et récupération des prérequis pour le traitement des IP à Bannir

Lancement des bannissements des IP s’ils ne sont pas présente dans le Firewall.

Application des nouveaux bannissements dans les « Rules » du firewall.

[root@XXXXXXXX Ban_BotNet]# firewall-cmd --list-all

IP des BotNet bloquées par votre Firewall.

Dans le log de notre Script

[root@XXXXXXXX Ban_BotNet]# cat BanBotnet.log

Il vous reste à présent , de positionner votre script dans un crontab tous les matins à 6H00

Views: 28

L’article MODOP – Bloquer les IP Botnet malveillant est apparu en premier sur CoffeeBreak Info.

• IP: 172.32.185.40
• Subnet : 172.32.185.0/24
• vSwitch : vmbr2
• Disque : 50Go (Système)
• RAM :8Go
• vCPU : 4
• OS : Windows10

1°) Installer le Client WireGuard

• https://download.wireguard.com/windows-client/

Télécharger la version MSI souhaitée et lancée.

« Exécuter »

« Oui »

WireGuard se lance.

2°) Configurer WireGuard Client

« Ajouter le tunnel » et « Ajouter un tunnel vide »

Pour Rappel des données Serveur

• IP serveur : 172.16.185.40
• Public Key Serveur : H9JrgVaNJh9wmB25K4wlQlG/fVii1um+mhkGApPJXUs=
• Private Key Serveur : 8DLZHyjeS2HHozkYpeaZJM64oGOwYDcbU/i+E1FjQ0Y=

« Enregistrer »

3°) Ajout cléf Public du client sur le serveur WireGuard

• Récupérer la Clef Public du client01 : IPfz1pVoJZLZf2dsRtsr08RhoGj3JCDsdacwXsUnels=
• Adresse du Client sur le VPN : 100.10.0.3

[root@wireguard-server wireguard]# wg set wg0 peer IPfz1pVoJZLZf2dsRtsr08RhoGj3JCDsdacwXsUnels= allowed-ips 100.10.0.3

Démarrer la connexion VPN avec le server « Activer »

La connexion est désormais activée et connectée au serveur wireguard-server

4°) Check WireGuard client

Ouvrir un terminal CMD

C:\Users\admin> ipconfig /all

Check Client => Server wireguard via le VPN

Connexion SFTP du client => Server wireguard via le VPN

« Oui »

La connexion VPN est bien ouverte et active.

Views: 2

L’article MODOP – Ajout Client Win10 sur Serveur WireGuard Linux est apparu en premier sur CoffeeBreak Info.

Host : wireguard-server.house.cpb

• IP: 172.16.185.40
• Subnet : 172.16.185.0/24
• vSwitch : vmbr1
• Disque : 8Go (Système)
• RAM :2Go
• vCPU : 2
• OS : RockyLinux 8

Host : wireguard-client01.house.cpb

• IP: 10.10.0.40
• Subnet : 10.10.0.0/24
• vSwitch : vmbr4
• Disque : 8Go (Système)
• RAM :2Go
• vCPU : 2
• OS : RockyLinux 8

Les deux machines doivent être joignable mutuellement.

Check wireguard-server (172.16.185.40) => wireguard-client01(10.10.0.40)

[root@wireguard-server ~]# echo "10.10.0.40 wireguard-client01" >> /etc/hosts
[root@wireguard-server ~]# ping -c 3 wireguard-client01

wireguard-client01(10.10.0.40) => Check wireguard-server (172.16.185.40)

[root@wireguard-client01 ~]# echo "172.16.185.40 wireguard-server" >> /etc/hosts
[root@wireguard-client01 ~]# ping -c 3 wireguard-server

Installation Serveur VPN WireGuard – RockyLinux

1°) Mise à jour

[root@wireguard-server ~]# dnf -y update

2°) Désactivation IPv6 (Option)

[root@open-serveurvpn ~]# echo "net.ipv6.conf.all.disable_ipv6 = 1" >> /etc/sysctl.conf
[root@open-serveurvpn ~]# echo "net.ipv6.conf.all.autoconf = 0" >> /etc/sysctl.conf
[root@open-serveurvpn ~]# echo "net.ipv6.conf.default.disable_ipv6 = 1" >> /etc/sysctl.conf
[root@open-serveurvpn ~]# echo "net.ipv6.conf.default.autoconf = 0" >> /etc/sysctl.conf
[root@open-serveurvpn ~]# sysctl -p

3°) Installation des dépendances

[root@wireguard-server ~]# dnf install epel-release
[root@wireguard-server ~]# yum install elrepo-release

4°) Installation WireGuard VPN

[root@wireguard-server ~]# dnf search wireguard

[root@wireguard-server ~]# dnf -y install wireguard-tools kmod-wireguard

5°) Création des clefs Public/Privée pour le  Server

[root@wireguard-server ~]# cd /etc/wireguard/
[root@wireguard-server wireguard]# wg genkey | tee /etc/wireguard/privatekey | wg pubkey | tee /etc/wireguard/publickey

[root@wireguard-server wireguard]# cat publickey
H9JrgVaNJh9wmB25K4wlQlG/fVii1um+mhkGApPJXUs=

[root@wireguard-server wireguard]# cat privatekey
8DLZHyjeS2HHozkYpeaZJM64oGOwYDcbU/i+E1FjQ0Y=

6°) Création/Configuration du server VPN

[root@wireguard-server wireguard]# vi wg0.conf

[Interface]
Address = 100.10.0.1/24
SaveConfig = true
ListenPort = 51820
PrivateKey = 8DLZHyjeS2HHozkYpeaZJM64oGOwYDcbU/i+E1FjQ0Y=
PostUp = firewall-cmd --zone=public --add-port 51820/udp && firewall-cmd --zone=public --add-masquerade
PostDown = firewall-cmd --zone=public --remove-port 51820/udp && firewall-cmd --zone=public --remove-masquerade

[root@wireguard-server wireguard]# chmod 600 /etc/wireguard/{privatekey,wg0.conf}

[root@wireguard-server wireguard]# echo "net.ipv4.ip_forward = 1" >> /etc/sysctl.conf
[root@wireguard-server wireguard]# sysctl –p

7°) Démarrage du server VPN

[root@wireguard-server wireguard]# wg-quick up wg0

[root@wireguard-server wireguard]# ip addr

Le VPN est monté sur la Carte Virtuelle wg0 et le Subnet 100.10.0.0/24

8°) Démarrage du service  » boot machine » 

[root@wireguard-server wireguard]# systemctl enable wg-quick@wg0
[root@wireguard-server wireguard]# wg-quick down wg0
[root@wireguard-server wireguard]# systemctl start wg-quick@wg0
[root@wireguard-server wireguard]# systemctl status wg-quick@wg0

[root@wireguard-server wireguard]# wg show wg0

[root@wireguard-server wireguard]# ip a show wg0

Côté Firewall

[root@wireguard-server wireguard]# firewall-cmd --list-all

Installation Client Linux VPN WireGuard – RockyLinux

1°) Mise à jour

[root@wireguard-client01 ~]# dnf -y update

2°) Désactivation IPv6 (Option)

[root@wireguard-client01 ~]# echo "net.ipv6.conf.all.disable_ipv6 = 1" >> /etc/sysctl.conf
[root@wireguard-client01 ~]# echo "net.ipv6.conf.all.autoconf = 0" >> /etc/sysctl.conf
[root@wireguard-client01 ~]# echo "net.ipv6.conf.default.disable_ipv6 = 1" >> /etc/sysctl.conf
[root@wireguard-client01 ~]# echo "net.ipv6.conf.default.autoconf = 0" >> /etc/sysctl.conf
[root@wireguard-client01 ~]# sysctl -p

3°) Installation des dépendances

[root@wireguard-client01 ~]# dnf install epel-release elrepo-release

4°) Installation WireGuard VPN

[root@wireguard-client01 ~]# dnf install kmod-wireguard wireguard-tools –y

5°) Création des certificats Client01

[root@wireguard-client01 ~]# cd /etc/wireguard/
[root@wireguard-client01 wireguard]# wg genkey | tee /etc/wireguard/privatekey | wg pubkey | tee /etc/wireguard/publickey

[root@wireguard-client01 wireguard]# cat /etc/wireguard/privatekey
gLHwqTDBJtw2wYfCdqvBthcmpDsDqtCC+FKeKOZaaVo=

[root@wireguard-client01 wireguard]# cat /etc/wireguard/publickey
bXbsDi3C2PThp8Eq8dmPtmiwNteEhexjyq4NHAtg/0U=

6°) Création/Configuration du client01 VPN

[root@wireguard-client01 wireguard]# vi wg0.conf

[Interface]
#Clef Privée du client
PrivateKey = gLHwqTDBJtw2wYfCdqvBthcmpDsDqtCC+FKeKOZaaVo=
#Adresse du client sur le VPN
Address = 100.10.0.2/24

[Peer]
#Clef Public du serveur
PublicKey = H9JrgVaNJh9wmB25K4wlQlG/fVii1um+mhkGApPJXUs=
#Adresse et port du Serveur WireGuard
Endpoint = wireguard-server:51820
AllowedIPs = 0.0.0.0/0

7°) Ajout Clef Public du client01 sur le serveur WireGuard

• Clef Public du client01 : bXbsDi3C2PThp8Eq8dmPtmiwNteEhexjyq4NHAtg/0U=
• Adresse du Client sur le VPN : 100.10.0.2

[root@wireguard-server wireguard]# wg set wg0 peer bXbsDi3C2PThp8Eq8dmPtmiwNteEhexjyq4NHAtg/0U= allowed-ips 100.10.0.2

8°) Démarrage du client VPN

[root@wireguard-client01 wireguard]# wg-quick up wg0

[root@wireguard-client01 wireguard]# ip addr

Le VPN (Client01) est monté sur la Carte Virtuelle wg0 et le Subnet 100.10.0.0/24

9°) Démarrage du service « boot machine »

[root@wireguard-client01 wireguard]# systemctl enable wg-quick@wg0
[root@wireguard-client01 wireguard]# wg-quick down wg0
[root@wireguard-client01 wireguard]# systemctl start wg-quick@wg0
[root@wireguard-client01 wireguard]# systemctl status wg-quick@wg0

[root@wireguard-client01 wireguard]# wg show wg0

[root@wireguard-client01 wireguard]# ip a show wg0

10°) Check connexion

Check de wireguard-client01 => wireguard-server via réseau VPN

[root@wireguard-client01 wireguard]# ping -c 3 100.10.0.1

Check de wireguard-server => wireguard-client01 via réseau VPN

[root@wireguard-server log]# ping -c 3 100.10.0.2

Connexion SSH du client01 sur le Serveur

[root@wireguard-client01 wireguard]# ssh -l root 100.10.0.1

On se connecte bien sur la machine serveur à partir de notre client via le réseau VPN.

Views: 3

L’article MODOP – Installation WireGuard VPN est apparu en premier sur CoffeeBreak Info.

Host : open-client02.house.cpb

• IP: 172.32.185.30
• Subnet : 172.32.185.0/24
• vSwitch : vmbr2
• Disque : 50Go (Système)
• RAM :8Go
• vCPU : 4
• OS : Windows10

Les deux machines doivent être joignable mutuellement.

Check open-serveurvpn (172.16.185.30) => open-client02(172.32.185.30)

[root@open-servervpn pki]# echo "172.32.185.30 open-client02" >> /etc/hosts
[root@open-servervpn pki]# ping -c 3 open-client02

Check open-client02 (172.32.185.30) => open-serveurvpn (172.16.185.30)

C:\Users\admin> ping open-servervpn

1°) Génération des certificats pour le client02 sur le Serveur OpenVPN

[root@open-servervpn ~]# cd /etc/openvpn

Création des certificats du Client

[root@open-servervpn openvpn]# ./easyrsa gen-req open-client02 nopass

Signature du certificat du Client avec les RootCA

[root@open-servervpn openvpn]# ./easyrsa sign-req client open-client02 nopass

Inventaire du certificat du Client

[root@open-servervpn openvpn]# ls -al /etc/openvpn/pki/{issued,private} |grep client02

Préparation pour le transfert

[root@open-servervpn openvpn]# mkdir win10
[root@open-servervpn openvpn]# cp pki/ca.crt win10
[root@open-servervpn openvpn]# cp pki/private/open-client02.key win10
[root@open-servervpn openvpn]# cp pki/issued/open-client02.crt win10
[root@open-servervpn openvpn]# ls -al win10

2°) Installation du Client OpenVPN sur Windows10

• https://openvpn.net/community-downloads/

Choisir le client souhaité, pour ma part la version 64Bits et lancer celui-ci

« Exécuter »

« Install Now »

« Oui »

Laisser l’installation se dérouler

« Close »

3°) Récupérer les certificats Client

Lancer le client WinSCP

Remplir les données de votre serveur OpenVPN et « connexion »

« Oui »

Copier vos certificats du serveur Linux vers c:\tmp\*.*

Déplacer vos certificats de c:\tmp\*.* vers c:\Programmes\OpenVPN\Config

4°) Configuration du Client OpenVPN

Sur votre Serveur Linux, éviter de faire cela via le fichier « sample-client » pour des raisons de pré-formatage de caractère.

[root@open-servervpn server]# cd /etc/openvpn/client

[root@open-servervpn client]# vi client.ovpn

client
dev tun
proto udp
remote open-servervpn
port 1194
ca ca.crt
cert open-client02.crt
key open-client02.key
verb 5
remote-cert-tls server
auth-nocache
cipher AES-256-CGM

Sauvegarder et transférer à votre client sur la ressource c:\Programmes\OpenVPN\Config\*

5°) Lancement du Client « Mode Test – Console »

Clique droit de souris « Start OpenVPN on this config file »

« Autoriser l’accès »
Le terminal du fond, trace les interactions avec votre serveur de VPN

6°) Check de connexion

Côté logs Serveur

Côté Client
Dans un terminal Wndows

C:\Users\admin> ipconfig /all

Open-client02 => open-servervpn via réseau VPN 10.8.0.0/24

C:\Users\admin> ping 10.8.0.1

Open-client02 => open-client01 via réseau VPN 10.8.0.0/24

C:\Users\admin> ping 10.8.0.2

7°) Lancement du Client « Mode GUI »

Ajouter le fichier à OpenVPN-GUI

Clic droit sur le fichier et « import into OpenVPN-Gui »

Lancer votre Client OpenVPN

Se rendre en bas à droite et clic droit sur l’icône

« Connecter »

Le client va se connecter au serveur VPN

L’icône OpenVPN passe au vert.

Vous êtes à présent connecté en VPN.

Views: 18

L’article MODOP – Ajout Client Windows sur Serveur OpenVPN Linux est apparu en premier sur CoffeeBreak Info.

Inventaire des Machines

Host : open-serveurVPN.house.cpb

• IP: 172.16.185.30
• Subnet : 172.16.185.0/24
• vSwitch : vmbr1
• Disque : 8Go (Système)
• RAM :2Go
• vCPU : 2
• OS : RockyLinux 8

Host : open-client01.house.cpb

• IP: 10.10.0.30
• Subnet : 10.10.0.0/24
• vSwitch : vmbr4
• Disque : 8Go (Système)
• RAM :2Go
• vCPU : 2
• OS : RockyLinux 8

Le Pool de machine VPN

Les deux machines doivent être joignable mutuellement.

Check open-serveurvpn (172.16.185.30) => open-client01(10.10.0.30)

[root@open-servervpn pki]# echo "10.10.0.30 open-client01" >> /etc/hosts
[root@open-servervpn pki]# ping -c 3 open-client01

Check open-client01(10.10.0.30) => open-serveurvpn (172.16.185.30)

[root@open-client01 ~]# echo "172.16.185.30 open-servervpn" >> /etc/hosts
[root@open-client01 ~]# ping -c 3 open-servervpn

Installation Serveur VPN – RockyLinux

1°) Mise à jour

[root@open-serveurvpn ~]# dnf -y update

2°) Désactivation IPv6 (Option)

[root@open-serveurvpn ~]# ip addr

[root@open-serveurvpn ~]# echo "net.ipv6.conf.all.disable_ipv6 = 1" >> /etc/sysctl.conf
[root@open-serveurvpn ~]# echo "net.ipv6.conf.all.autoconf = 0" >> /etc/sysctl.conf
[root@open-serveurvpn ~]# echo "net.ipv6.conf.default.disable_ipv6 = 1" >> /etc/sysctl.conf
[root@open-serveurvpn ~]# echo "net.ipv6.conf.default.autoconf = 0" >> /etc/sysctl.conf
[root@open-serveurvpn ~]# sysctl -p

[root@open-serveurvpn ~]# ip addr

3°) Installation EPEL

[root@open-serveurvpn ~]# dnf install -y epel-release

4°) Installation OpenVPN et Paquets de création PKI

[root@open-serveurvpn ~]# dnf install -y openvpn easy-rsa

5°) Préparation de notre PKI

[root@open-serveurvpn ~]# cd /usr/share/easy-rsa/3.0.8
[root@open-serveurvpn 3.0.8]# ls -al

[root@open-serveurvpn 3.0.8]# cp -r * /etc/openvpn/.
[root@open-serveurvpn 3.0.8]# cd /etc/openvpn/

[root@open-serveurvpn ]# vi vars

set_var EASYRSA "$PWD"
set_var EASYRSA_PKI "$EASYRSA/pki"
set_var EASYRSA_DN "cn_only"
set_var EASYRSA_REQ_COUNTRY "FR"
set_var EASYRSA_REQ_PROVINCE "PARIS"
set_var EASYRSA_REQ_CITY "Fontenay ss Bois"
set_var EASYRSA_REQ_ORG "House Corp"
set_var EASYRSA_REQ_EMAIL "chris@house.cpb"
set_var EASYRSA_REQ_OU "House Corp EASY CA"
set_var EASYRSA_KEY_SIZE 4096
set_var EASYRSA_ALGO rsa
set_var EASYRSA_CA_EXPIRE 3650
set_var EASYRSA_CERT_EXPIRE 3650
set_var EASYRSA_NS_SUPPORT "no"
set_var EASYRSA_NS_COMMENT "House Corp CERTIFICATE AUTHORITY"
set_var EASYRSA_EXT_DIR "$EASYRSA/x509-types"
set_var EASYRSA_SSL_CONF "$EASYRSA/openssl-easyrsa.cnf"
set_var EASYRSA_DIGEST "sha256"

[root@open-serveurvpn ]# chmod +x vars

7°) Initialisation des PKI

[root@open-serveurvpn ]# ./easyrsa init-pki

[root@open-serveurvpn ]# ls /etc/openvpn/vars
/etc/openvpn/vars

[root@open-serveurvpn ]# ls /etc/openvpn/pki
private reqs

8°) Création des certificats root CA

[root@open-serveurvpn ]# ./easyrsa build-ca nopass

[root@open-serveurvpn ]# ls /etc/openvpn/pki/ca.crt
/etc/openvpn/pki/ca.crt

9°) Création des certificats du Server

[root@open-serveurvpn ]#./easyrsa gen-req open-serveurvpn nopass

[root@open-serveurvpn ]# ls -al /etc/openvpn/pki/{reqs,private}

Signature de la clef serveur avec le certificat CA

[root@open-serveurvpn ]#./easyrsa sign-req server open-serveurvpn nopass

[root@open-serveurvpn ]# ls -a /etc/openvpn/pki/issued/open-serveurvpn.crt
/etc/openvpn/pki/issued/open-serveurvpn.crt

10°) Création des certificats du Client

[root@open-servervpn openvpn]# ./easyrsa gen-req open-client01 nopass

[root@open-servervpn openvpn]# ./easyrsa sign-req client open-client01 nopass

[root@open-servervpn openvpn]# ls -al /etc/openvpn/pki/{issued,private}

11°) Création du certificat « Diffie hellman »

[root@open-servervpn openvpn]# ./easyrsa gen-dh

….. Après quelques minutes

Inventaire des PKI

[root@open-servervpn openvpn]# ls -al pki/{ca.crt,dh.pem,issued,private}

12°) Création fichier de conf OpenVPN server

[root@open-servervpn openvpn]# cd /etc/openvpn/server
[root@open-servervpn server]# cp /usr/share/doc/openvpn/sample/sample-config-files/server.conf .

[root@open-servervpn server]# vi server.conf

Ligne 78

ca /etc/openvpn/pki/ca.crt
cert /etc/openvpn/pki/issued/open-serveurvpn.crt
key /etc/openvpn/pki/private/open-serveurvpn.key

Ligne 85

dh /etc/openvpn/pki/dh.pem

Ligne 92

;topology subnet
topology subnet

Ligne 102

server 10.8.0.0 255.255.255.0

Il est fortement conseillé de changer le Subnet VIP pour les échanges sur le VPN.

Dans notre MODOP nous allons laisser la conf d’orgine.

Ligne 193

push "redirect-gateway def1 bypass-dhcp"

Ligne 202

;push ;"dhcp-option DNS 208.67.222.222"
push "dhcp-option DNS 8.8.8.8"
;push "dhcp-option DNS 208.67.220.220"
push "dhcp-option DNS 8.8.4.4"

Ligne 247

#tls-auth ta.key 0 # This file is secret

Ligne 277

user nobody
group nobody

Sauvegarder le fichier et sortir.

13°) Configure partie réseau

Activer le forward « ipv4 »

[root@open-servervpn server]# echo "net.ipv4.ip_forward=1" >> /etc/sysctl.conf
[root@open-servervpn server]# sysctl -p

Régles Firewall

[root@open-servervpn server]# firewall-cmd --set-default-zone=trusted
[root@open-servervpn server]# firewall-cmd --add-masquerade --permanent
[root@open-servervpn server]# firewall-cmd --add-service=openvpn --permanent
[root@open-servervpn server]# firewall-cmd --reload

[root@open-servervpn server]# firewall-cmd --list-all

14°) Lancement OpenVPN serveur

Désactivation SELinux

[root@open-servervpn server]# getenforce
Enforcing 

[root@open-servervpn server]# setenforce 0

[root@open-servervpn server]# vi /etc/sysconfig/selinux
SELINUX=disabled

Test de la config

[root@open-servervpn server]# openvpn --config server.conf

« CTR+C pour sortir »

Lancement du service

[root@open-servervpn server]# systemctl enable openvpn-server@server --now
[root@open-servervpn server]# systemctl status openvpn-server@server

Vérification du Tunnel

[root@open-servervpn server]# ip addr

Installation OpenVPN Client RHEL 8

1°) Installation EPEL

[root@open-client01 ~]# dnf install -y epel-release

2°) Installation OpenVPN

[root@open-client01 ~]# dnf install -y openvpn

3°) Copie des certificats publics sur le client

Sur le serveur

Cléf Public Autorité

[root@open-servervpn ~]# cd /etc/openvpn/pki
[root@open-servervpn pki]# scp ca.crt root@open-client01:/etc/openvpn/client/ca.crt

Cléf Public Client

[root@open-servervpn pki]# cd issued/
[root@open-servervpn issued]# scp open-client01.crt root@open-client01:/etc/openvpn/client/open-client01.crt

Cléf Privée Client

[root@open-servervpn issued]# cd ../private/
[root@open-servervpn private]# scp open-client01.key root@open-client01:/etc/openvpn/client/open-client01.key

Sur le Client

[root@open-client01 ~]# cd /etc/openvpn/client
[root@open-client01 client]# ls -al

4°) Configurer openvpn Client

[root@open-client01 client]# vi client.conf

client
dev tun
proto udp
remote open-servervpn
port 1194
ca ca.crt
cert open-client01.crt
key open-client01.key
verb 5
remote-cert-tls server
auth-nocache
cipher AES-256-CBC

5°) Lancement OpenVPN client « open-client01 »

Test de la config

[root@open-client01 client]# openvpn --config client.conf

Lancement du service

[root@open-client01 client]# systemctl enable openvpn-client@client --now
[root@open-client01 client]# systemctl status openvpn-client@client

[root@open-client01 client]# ip addr

Côté log serveur

6°) Contrôle du Tunnel VPN

Check du client open-client01 =>  open-servervpn via  le réseau OpenVPN

[root@open-servervpn private]# ping -c 3 10.8.0.2

Check du server open-servervpn => copen-client01  via le réseau OpenVPN

[root@open-client01 client]# ping -c 3 10.8.0.1

Connexion du client open-client01 sur le serveur via le réseau OpenVPN

[root@open-client01 client]# ssh root@10.8.0.1

Views: 18

L’article MODOP – Installation OpenVPN (Easy-RSA3) – Client/serveur est apparu en premier sur CoffeeBreak Info.

• https://www.ipdeny.com/ipblocks/

Dans notre exemple nous allons bannir l’ISLANDE d’accès sur un serveur VPS.

L’iso Code est : IS et ce pays possède 136 Subnet.

• https://www.ipdeny.com/ipblocks/data/countries/is.zone

Pour la RUSSIE , l’ISO code est : ru

Le but est donc d’ajouter au firewall les 136 block.

Script BASH

[root@vps-xxxxxxxx chris]# vi Bannir_country.sh

#!/bin/bash
PAYS_ISO=$1
 echo "Ban IP of country $PAYS_ISO"
for IP in `wget -O - https://www.ipdeny.com/ipblocks/data/countries/"${PAYS_ISO[@]}".zone --no-check-certificate`
 do
 echo " Bloquer le range $IP"
firewall-cmd --permanent --add-rich-rule="rule family='ipv4' source address='$IP' reject"
 done
firewall-cmd --reload

[root@vps-xxxxxxxx chris]# chmod +x Bannir_country.sh

Le principe du script

[root@vps-xxxxxxxx chris]# ./Bannir_country.sh « ISO Country »

Je me connecte en VPN via l’ISLANDE pour accéder à mon serveur en France et se positionner comme un Islandais souhaitant se connecter sur le serveur Français.

Donc je suis en Islande et plus précisément à Keflavik.(Sans bouger de mon canapé  )

Mon IP dans cette ville est « 45.133.192.108 »

Lancement du script boquant l’Islande sur le Serveur

[root@vps-xxxxxxxx chris]# ./Bannir_country.sh is

Check «Block » IP Islande (Côté serveur)

Mon IP de provenance est 45.133.192.108 vérifions que celle-ci est bien « Banni » par le Firewall.

[root@vps-xxxxxxxx chris]# firewall-cmd --list-rich-rules |grep 45.133

[root@vps-xxxxxxxx chris]# iptables -L > liste_firewall
[root@vps-xxxxxxxx chris]# cat liste_firewall |grep 45.133

Check «Block » IP Islande (Côté client en ISLANDE)

L’accès Apache au site Français via l’ISLANDE

Débloquer le pays récemment « REJECT »

Script BASH 

[root@vps-xxxxxxxx chris]# touch Accept_country.sh
[root@vps-xxxxxxxx chris]# vi Accept_country.sh

#!/bin/bash
PAYS_ISO=$1
 echo "Ban IP of country $PAYS_ISO"
for IP in `wget -O - https://www.ipdeny.com/ipblocks/data/countries/"${PAYS_ISO[@]}".zone --no-check-certificate`
 do
 echo " Bloquer le range $IP"
firewall-cmd --permanent --remove-rich-rule="rule family='ipv4' source address='$IP' reject"
 done
firewall-cmd --reload

[root@vps-xxxxxxxx chris]# chmod +x Accept_country.sh

[root@vps-xxxxxxxx chris]# ./Accept_country.sh is

Views: 34

L’article MODOP – Bloquer/Débloquer Subnet IPv4 d’un pays sur firewall est apparu en premier sur CoffeeBreak Info.

Installation TCPFlow

[root@sqlssl ~]# dnf install wget
[root@sqlssl ~]# dnf install wget https://forensics.cert.org/cert-forensics-tools-release-el8.rpm
[root@sqlssl ~]# dnf install epel-release
[root@sqlssl ~]# dnf --enablerepo=forensics install tcpflow
[root@sqlssl ~]# tcpflow -c -p -i any dst port 3306

Client Mysql sql-client.house.cpb

[root@sql-client01 ~]# mysql -u chris -p -h sqlssl

mysql> select user,host from mysql.user;

Serveur sqlss.house.cpb

On remarque bien les flux de données en claire sur le réseau ce qui pose un réel souci de sécurité.
On peut vérifier les paramètre SSL sur MariaDB

MariaDB [(none)]> show variables LIKE « %ssl% »;

MariaDB [(none)]> status

Création des répertoires des certificats

[root@sqlssl ~]# mkdir -p /etc/mysql/newcerts/
[root@sqlssl ~]# cd /etc/mysql/newcerts/

Génération et auto-signature du Certificat d’autorité

[root@sqlssl newcerts]# openssl genrsa 4096 > ca-key.pem

[root@sqlssl newcerts]# openssl req -new -x509 -nodes -days 3650 -key ca-key.pem -out ca-cert.pem

Génération et auto-signature du Certificat serveur sqlssl.house.cpb

[root@sqlssl newcerts]# openssl req -newkey rsa:4096 -days 365000 -nodes -keyout server-key.pem -out server-req.pem

[root@sqlssl newcerts]# openssl rsa -in server-key.pem -out server-key.pem

writing RSA key

[root@sqlssl newcerts]# openssl x509 -req -in server-req.pem -days 3650 -CA ca-cert.pem -CAkey ca-key.pem -set_serial 01 -out server-cert.pem

Certificats nécessaire à Mysql
[root@sqlssl newcerts]# ls -al

Installer les certificats dans Mysql

[root@sqlssl newcerts]# chmod 644 *
[root@sqlssl newcerts]# vi /etc/my.cnf

ssl-ca=/etc/mysql/newcerts/ca-cert.pem
ssl-cert=/etc/mysql/newcerts/server-cert.pem
ssl-key=/etc/mysql/newcerts/server-key.pem
ssl-cipher = ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-CHACHA20-POLY1305:ECDHE-RSA-CHACHA20-POLY1305:DHE-RSA-AES128-GCM-SHA256:DHE-RSA-AES256-GCM-SHA384

[root@sqlssl newcerts]# systemctl restart mysqld
[root@sqlssl newcerts]# mysql -u root -p

mysql> show variables LIKE « %ssl% »;

Création d’un utilisateur « chrisSSL@ sqlssl-client.house.cpb » avec privlège SSL
mysql> CREATE USER « chrisSSL »@ »sql-client.house.cpb » IDENTIFIED BY « Votre_mot_de_passe » REQUIRE SSL;
Query OK, 0 rows affected (0,02 sec)

mysql> GRANT SELECT, SHOW DATABASES ON *.* TO « chrisSSL »@ »sql-client.house.cpb » ;
Query OK, 0 rows affected (0,01 sec)

mysql> FLUSH PRIVILEGES;
Query OK, 0 rows affected (0,00 sec)

mysql> select user,host,ssl_type from mysql.user;

Génération et auto-signature pour le client sql-client.house.cpb

[root@sqlssl newcerts]# openssl req -newkey rsa:2048 -days 3650 -nodes -keyout client-key.pem -out client-req.pem

[root@sqlssl newcerts]# openssl rsa -in client-key.pem -out client-key.pem
writing RSA key

[root@sqlssl newcerts]# openssl x509 -req -in client-req.pem -days 3650 -CA ca-cert.pem -CAkey ca-key.pem -set_serial 01 -out client-cert.pem

Copie des certificats clients à vos/votre client(s)

[root@sqlssl newcerts]# scp ca-cert.pem root@sql-client:/etc/ssl/certs/
[root@sqlssl newcerts]# scp client-cert.pem root@sql-client:/etc/ssl/certs/
[root@sqlssl newcerts]# scp client-key.pem root@sql-client:/etc/ssl/certs/

CLIENT sql-client.house.cpb

Ajout des certificats à Mysql

[root@sqlssl-client ~]# cd /etc/ssl/certs/
[root@sqlssl-client certs]# chmod 644 *.pem
[root@sqlssl-client certs]# la -al

Connexion en spécifiant les certificats en ligne de commande

[root@sqlssl-client certs]# mysql --ssl-ca=ca-cert.pem --ssl-cert=client-cert.pem --ssl-key=client-key.pem -h sqlssl -u chrisSSL -p

mysql> select user,host from mysql.user;

Côté flux serveur

Toutes les transactions sont désormais cryptées entre le client et le serveur.

mysql> status

Ajouter les clefs sur le fichier client my.cnf

[root@sqlssl-client certs]# vi /etc/my.cnf.d/client.cnf

[client]
ssl-ca=/etc/ssl/certs/ca-cert.pem
ssl-cert=/etc/ssl/certs/client-cert.pem
ssl-key=/etc/ssl/certs/client-key.pem

[root@sql-client certs]# mysql -h sqlssl -u chrisSSL -p

Côté serveur

Sur le Client

Sur le Serveur

Views: 17

L’article MODOP – Autoriser connexions Distantes à MariaDB via SSL est apparu en premier sur CoffeeBreak Info.

[root@coffee chris]# yum --enablerepo=epel -y install rkhunter
[root@coffee chris]# rkhunter --versioncheck

Configurer rkhunter

[root@coffee chris]# vi /etc/sysconfig/rkhunter

# System configuration file for Rootkit Hunter which
# stores RPM system specifics for cron run, etc.
#
# MAILTO= <email address to send scan report>
# DIAG_SCAN= no - perform normal report scan
# yes - perform detailed report scan
# (includes application check)
MAILTO=chris@en-images.info
DIAG_SCAN=yes 

Update base rkhunter et porperties

[root@coffee chris]# rkhunter --update

[root@coffee chris]# rkhunter --propupd

Check Rootkit

[root@coffee chris]# rkhunter --check --sk

Il va check tous les binaires

Check des rootkit présent sur la machine

Check la partie réseau

Check le local hosts

Résumé des scans de fichier via rkhunter

Automatiser le scan

[root@coffee chris]# vi /home/rkhunter.sh

#!/bin/sh
(
/usr/bin/rkhunter --versioncheck
/usr/bin/rkhunter --update
/usr/bin/rkhunter --cronjob --report-warnings-only
) | /bin/mail -s 'rkhunter Daily Scan Report (coffeebreak)' chris@en-images.info

[root@coffee chris]# chmod +x /home/rkhunter.sh

[root@coffee chris]# vi /etc/rkhunter.conf
MAIL-ON-WARNING= "chris@en-images.info"
MAIL_CMD=mail -s "[rkhunter] Warnings found for ${HOST_NAME}"
ALLOW_SSH_ROOT_USER=yes

Autoriser root Login SSH

[root@coffee chris]# vi /etc/ssh/sshd_config
PermitRootLogin yes
[root@coffee chris]# systemctl reload sshd

Crontab tous les jours à 12H00

[root@coffee chris]# systemctl start crond.service
[root@coffee chris]# systemctl enable crond.service

[root@coffee chris]# crontab -e
# Tous les jours à 12H00
00 12 * * * /usr/bin/sh /home/rkhunter.sh

[root@coffee chris]# tail -f /var/log/rkhunter/rkhunter.log

Dans les logs


Check des rootKIT

Check TCP port RootKit

Mail Rapport de rootKIT

Message Mail « Infection »

Views: 11

L’article MODOP – Installation rkhunter – Détection RootKIT est apparu en premier sur CoffeeBreak Info.

1° ) Installation de Fail2ban

[root@vps-xxxxxxxxx chris]# yum update
[root@vps-xxxxxxxxx chris]# yum install fail2ban

2°Configuration de fail2ban

[root@vps-xxxxxxxxx chris]# vi /etc/fail2ban/jail.d/sshd.local

[DEFAULT]
bantime = 86400
findtime = 600
maxretry = 3
ignoreip = IP_votre_Server IP_Client_Admin
banaction = iptables-multiport
[sshd]
enabled = true

Configuration Fail2ban – SSH

[root@vps-xxxxxxxxx chris]# vi /etc/fail2ban/filter.d/sshd.conf

before = paths-fedora.conf
destemail = fail2ban@house.cpb
sender = vps@house.cpb
action = %(action_mwl)s

3°) Démarrer le service Fail2ban

[root@vps-xxxxxxxxx chris]# systemctl start fail2ban && systemctl enable fail2ban
[root@vps-xxxxxxxxx chris]# systemctl status fail2ban

4°) Vérifier les premières connexions frauduleuses.(Assez rapide)

[root@vps-xxxxxxxxx chris]# grep 'sshd.*Failed password for' /var/log/secure | head -10

Les IP « BAN » via Fail2ban.log

[root@vps-xxxxxxxxx chris]# tail -f /var/log/fail2ban.log

Côté Firewall

[root@vps-xxxxxxxxx chris]# iptables -L f2b-sshd -n –v

Tous les bannis

[root@vps-xxxxxxxxx chris]# iptables -S |grep f2b-sshd

Côté Jail de Fail2ban

[root@vps-xxxxxxxxx chris]# fail2ban-client status sshd

5°) Notifications

Views: 60

L’article MODOP – Fail2ban – Surveiller/Protéger service SSH d’un VPS est apparu en premier sur CoffeeBreak Info.