evolix/wiki
22
0
Fork 0
Code Releases Activity

Relecture

Browse source
This commit is contained in:
jdubois 2024-02-05 11:56:02 +01:00
parent fded41ac19
commit 03c0fab6ca
1 changed files with 26 additions and 30 deletions
Show stats Download patch file Download diff file Expand all files Collapse all files

56
HowtoOpenBSD/PFSYNC.md
View file

@ -5,43 +5,43 @@ title: Howto PFSYNC sous OpenBSD
<http://www.openbsd.org/faq/pf/carp.html#pfsyncintro>
Pfsync est un protocole permettant le transfert et la synchronisation de la table d'états utilisée par PacketFilter entre plusieurs firewalls. Son fonctionnement par défaut met en place une diffusion multicast des changements de table sur une interface donnée, permettant au noeuds du même cluster de mettre à jour leur tables en conséquence. Généralement utilisé de concert avec [CARP](https://wiki.evolix.org/HowtoOpenBSD/CARP) cela permet un fail-over transparent entre plusieurs firewalls.
Pfsync est un protocole permettant le transfert et la synchronisation de la table d'états utilisée par PacketFilter entre plusieurs firewalls. Son fonctionnement par défaut met en place une diffusion multicast des changements de table sur une interface donnée, permettant aux noeuds du même cluster de mettre à jour leur table en conséquence. Généralement utilisé de concert avec [CARP](/HowtoOpenBSD/CARP) cela permet un fail-over transparent entre plusieurs firewalls.
> **Attention Pfsync ne dispose d'aucun mécanisme d'authentification, ce qui expose les noeuds de votre cluster au spoofing de packets, et à la création d'états falsifiés permettant à un tier d'outre-passer totalement le jeu de régles pf. Ce protocol est à mettre en place uniquement dans un réseau de confiance.**
> **Attention, Pfsync ne dispose d'aucun mécanisme d'authentification, ce qui expose les noeuds de votre cluster au spoofing de packets, et à la création d'états falsifiés permettant à un tier d'outre-passer totalement le jeu de règles pf. Ce protocole est à mettre en place uniquement dans un réseau de confiance.**
# Configuration
La configuration de pfsync consiste simplement à créer une pseudo-interface puis à lier celle-ci avec l'interface physique de notre choix. Dans un soucis de sécurité il est important de ne pas utiliser une interface existante afin d'isoler les trafiques.
La configuration de pfsync consiste simplement à créer une pseudo-interface puis à lier celle-ci avec l'interface physique de notre choix. Dans un souci de sécurité il est important de ne pas utiliser une interface existante afin d'isoler les trafics.
## Première Configuration
## Première configuration
Dans un premier temps, il est possible de choisir entre une synchronisation par diffusion multicast ou une synchronisation peer-to-peer (p2p). Par défaut pfsync diffuse tous les paquets de synchronisation vers l'addresse multicast ```224.0.0.240```.
Note : la diffusion peer-to-peer permet la protection du trafique pfsync via ipsec.
Note : la diffusion peer-to-peer permet la protection éventuelle du trafic pfsync via ipsec.
### Configuration à la volée
Afin de commencer à émettre les paquets de synchronisation sur une interface :
Afin de commencer à émettre les paquets de synchronisation sur une interface :
~~~
# ifconfig pfsync0 create
# ifconfig pfsync0 syncdev <interface>
~~~
Pour arrêter l'émission et supprimer l'interface :
Pour arrêter l'émission et supprimer l'interface :
~~~
# ifconfig pfsync0 -syncdev <interface>
# ifconfig pfsync0 destroy
~~~
Pour passer en mode peer-to-peer :
Pour passer en mode peer-to-peer :
~~~
# ifconfig pfsync0 syncpeer <ip-address>
# ifconfig pfsync0 syncpeer <ip_address>
~~~
Pour retourner en mode multicast :
Pour retourner en mode multicast :
~~~
# ifconfig pfsync0 -syncpeer
@ -49,38 +49,34 @@ Pour retourner en mode multicast :
### Configuration persistente
```/etc/hostname.pfsync0``` tel que :
Pour le mode multicast, créer `/etc/hostname.pfsync0` :
~~~
/etc/hostname.pfsync0
----------------------
syncdev <Interface>
syncdev <interface>
up
~~~
Pour une configuration peer-to-peer ajouter la ligne :
~~~
syncpeer <ip-address>
~~~
# Autorisation par règles de filtrage (pf)
Afin d'autoriser le trafique pfsync en entrée, ajouter la régle :
Pour une configuration peer-to-peer :
~~~
syncpeer <ip_address>
syncdev <interface>
up
~~~
Note : la ligne `up` doit être en dernier pour que la configuration fonctionne.
# Autorisation par règles de filtrage (pf)
Afin d'autoriser le trafic pfsync, ajouter la règle dans `/etc/pf.conf` :
~~~
/etc/pf.conf
-------------
[...]
pass quick on pfsync0 proto pfsync
[...]
~~~
# Commandes
Afficher les statistiques du protocole pfsync :
Afficher les statistiques du protocole pfsync :
~~~
# netstat -sp pfsync