J’utilise en reseau local la fonctionnalité de reverse proxy de mon synology. Mais avoir un certificat pour chaque site n’est pas tres pratique. Nativement, le synology gere les certificats let’s encrypt mais cela necessite que le serveur soit accessible sur internet.
Pfsense propose un package pour generer des certificats let’s encrypt. Il permet aussi de valider le certificat par DNS. Différents providers dns sont disponibles. Dans mon cas, ce sera ovh.
La première étape est d’installer le module acme qui va nous installer tout ce qui est nécessaire.
Ensuite il faut se rendre dans le service « Acme Certificate »
Il faut d’abord créer un compte sur le serveur ACME dans la partie « Account keys ». Pour faire des tests, on peut utiliser le serveur de staging d’ACME. Une fois que c’est bon, on pourra passer sur le serveur de production. Le choix de l’un ou l’autre serveur ACME aura une influence sur la chaine de certification.
Dès que le compte est créé, on peut passer à la création du certificat.
Sur l’ecran de création, il faut choisir le compte acme que l’on a crée juste avant.
Dans la partie SAN, on va paramétrer en 1, le nom de domaine ciblé par le certificat en 2, la méthode de validation. Dans mon cas, ce sera une validation par DNS ovh.
Une fois le certificat enregistré, bien vérifié qu’il y a une coche sur on, sinon, il faut cliquer sur issue/renew
Et voila le certificat est disponible dans la partie certManager de pfsense. On peut s’en servir comme certificat pour l’UI de pfsense ou pour un autre service comme openvpn.
PS:
Ne pas oublier dans la partie settings d’activer le cron pour renouveler le certificat:
Avec le confinement, la bande passante devient un sujet sensible. Les services de vidéos à distances et le télétravail prenant de plus en plus de place, je cherchais un moyen pour limiter la bande passante disponible en download pour mon nas afin de ne pas perturber les autres services. J’ai trouvé un moyen avec pfsense.
Voici pour commenter un résumé un schéma du reseau. Tout le traffic passe par le pfsense, il est donc facile de l’utiliser pour réguler les choses.
Pour commencer, il faut aller dans le menu Traffic Shapper.
Et choisir le menu Limiters pour utiliser la fonction de limitation. Les autres menu permettent de gerer la Qos pour prioriser le traffic entre différents services.
Dans cet écran, il faut choisir new Limiter pour ajouter un Limiter. Dans mon cas, j’ai choisi de faire un limiter pour l’upload et le download, mais je pense que l’upload n’est pas forcément nécessaire.
Sur l’écran de création, les champs importants sont:
Enable: permet d’activer ou desactiver l’objet. A activer dans notre cas
Name: pour donner un nom
Bandwidth: La bande passante à allouer.
Mask: Sur quoi va s’appliquer ce limiter. Dans notre cas, on va se baser sur l’ip source et comme on ne veut qu’une ip, le mask sera de 32.
Une fois les options définies, on peut sauvegarder
Une fois que les 2 limiters sont crées, il ne reste plus qu’a les affecter. Pour cela, il faut aller dans la section Rules > Lan de notre pfsense. Sur cette écran, choisir le bouton ADD pour ajouter la règle en premier.
Sur cet écran, on va ajouter une regle pour affecter notre limitation à l’ip du nas. Pour cela, on va definir la source sur un « single host or alias » et préciser l’ip de la machine.
Puis, il faut afficher les options avancées.
Et dans les options, ajouter les limiters dans la partie « In / Out pipe »:
Il ne restera plus qu’a appliquer les changements et à constater le résultat.
J’ai bien un download qui ne depasse pas les 2Mo/s contre 4Mo/s auparavant.
Il est aussi possible de définir des limites en fonction d’une plage horaire. Il faut d’abord créer les plages horaires dans Firewall -> Schedules.
et ensuite configurer les bandes passantes pour ces plages:
Cela permet au nas d’avoir accès à la plaine bande passante la nuit.
