Bonjour

Cet article est venu plus vite que prévu, étant donné que les limites de la licence de mon Firewall UTM Sophos ont été atteinte début avril.

Après plusieurs tests, de différentes solutions c’est la solution OPNsense qui a été retenue, pour remplacer la solution actuelle au cœur de mon réseau.

Cette migration est dans les cartons, mais lors d’un week-end avec un peu de monde à la maison et donc des équipements en wifi en plus sur le réseau, j’ai reçu une alerte de mon firewall Sophos me disant que j’avais atteinte 48 IPs gérés sur 50 maximum. Après validation du support Sophos, il n’y a pas de moyen de réinitialiser la liste des IPs sous licence avec le baux de 7 jours glissants.

Ce point a fait accélérer le remplacement, car je ne pouvais plus garder cette épée de Damoclès sur mon réseau.

La migration a été réalisée sur un week-end en utilisant la même machine (lien ici et ici) que le serveur Sophos en remplaçant juste le disque dur par un nouveau permettant un retour arrière simple rapide et complet en cas de migration partielle en fin du week-end.

Je ne vais pas détailler l’installation en elle-même j’ai tout simplement suivi la documentation officielle disponible sur le site officiel du projet OPNsense.

Par contre je vais essayer de lister les différentes fonctionnalités utilisées sur cette nouvelle solution après un mois de migration, mais avant tout voici un petit rappel sur les connectivités de ce firewall :

  • Une zone LAN, hébergeant les périphérique filaires de mon réseau (ordinateurs, imprimantes, tv etc)
  • Une zone DMZ hébergeant les services accessible aussi bien depuis la zone LAN mais surtout depuis l’extérieur (NAS / Proxmox, etc…)
  • Une zone WLAN, donnant accès à tous les périphérique wifi via une solution de point d’accès Ubiquiti diffusant deux SSID différents dont un tagué Guest.
  • Une zone WAN1 reliée au réseau K-Net Fibre
  • Une zone WAN2 reliée au réseaux Orange en ASDL

Ces deux dernières zones gèrent le multi wan en actif / backup.

Quelles sont les différentes fonctions que j’utilise et que j’ai reprise lors de la re configuration de ce nouvelle machine :

  • La gestion du multi WAN (Fibre & ADSL pour ma part)
  • Le routage
  • Les règles de filtrage entre les différentes zones
  • Le NAT très peu au final car tout passe par le réseau OpenVPN pour l’accès aux données internes depuis l’extérieur. Au final le nat ne sert que d’accès de secours en cas de soucis.
  • Les serveurs DHCP
    • Un pour la zone LAN
    • Un pour la zone WLAN Guest, pour la zone WLAN traditionnelle c’est par filtrage MAC que l’attribution des IPs se fait
  • Le service de DNS Dynamique via OVH DynHOST
  • Les services comme SNMP / Smart / NTP / WOL sont bien sûr activés et utilisés
  • La sauvegarde automatique vers Google Drive (un peu compliqué à mettre en place mais on n’y touche plus après et pour moi une sauvegarde automatique externe est indispensable, le tout bien évidemment chiffré)

De plus par rapport à mon ancien Firewalll UTM Sophos, j’utilise la fonctionnalité de client OpenVPN pour connecter mon réseau domestique à mes hébergeurs externes comme OVH et Aruba Cloud.

Cette fonctionnalité était remplie jusqu’à présent par un machine virtuelle en zone DMZ en attendant mieux, celle ci est devenu inutile à ce jour.

De plus j’ai aussi activé la fonction de Netflow interne pour avoir une vision plus fine des flux transitant par ce firewall.

Après un mois d’utilisation et configuration, je confirme l’efficacité du produit OPNsense, en tout cas il comble à ce jour tous les points de mon cahier de charge.

Il reste encore quelques paramétrages et affinages à faire, mais je suis satisfait du changement et de mon choix.

Bonne lecture

Bonjour à tous

Ce petit article pour vous dire que la version v4 de Proxmox est sortie, et donc voici un petit article de la marche à suivre pour cette mise à jour depuis une version v3.4.

Voici les grandes nouveautés de cette version v4 :

  • OpenVZ à été remplacé par LXC
  • Nouvelle version de corosync a été implantée
  • Une reconfiguration de gestionnaire d’haute disponibilité a été mis en place
  • Passage d’un kernel 2.6.32 à 4.2.2

Prérequis à la mise à jour :

  • Proxmox 3.4 et ces dernière mises à jour
  • Accès à tous les périphériques de stockage
  • Toutes les VM ou CT doivent être à l’arrêt
  • Une sauvegarde à jour de vos VM ou CT (notez que les CT devront être converties)
  • Au moins 1Go d’espace libre disponible

Mise à jour proprement dite :

On vérifie que notre Proxmox est bien à jour :

apt-get update && apt-get dist-upgrade

Ensuite on supprime ce qu’on a plus besoin pour la version v4:

apt-get remove proxmox-ve-2.6.32 pve-manager corosync-pve openais-pve redhat-cluster-pve pve-cluster pve-firmware

On ajoute les dépôts de Jessie et on les mets à jour :

sed -i 's/wheezy/jessie/g' /etc/apt/sources.list
sed -i 's/wheezy/jessie/g' /etc/apt/sources.list.d/pve-enterprise.list
apt-get update

On installe la nouvelle version du kernel :

apt-get install pve-kernel-4.2.2-1-pve

Maintenant on mets à jour notre système vers Jessie et on redémarre pour prendre en charge la nouvelle version du kernel

apt-get dist-upgrade
reboot

On installe donc la nouvelle version de notre hyperviseur Proxmox :

apt-get install proxmox-ve

Et pour finir on supprime la version obsolète de l’ancien kernel :

apt-get remove pve-kernel-2.6.32-41-pve

Un dernier petit reboot et votre serveur est en v4 :

reboot

Migration des conteneurs OpenVZ vers LXC

On restaure ensuite les conteneurs OpenVZ vers des conteneurs LXC avec la commande :

pct restore 101 /var/lib/vz/dump/vzdump-openvz-101-2015_11_05-10_42_42.tar.lzo

On restaure la configuration IP :

pct set 101 -net0 name=eth0,bridge=vmbr0,ip=192.168.20.101/24,gw=192.168.20.10

Puis on démarre la VM :

pct start 101

Et on y accède via la commande :

pct enter 101

Ou directement via une console :

pct console 101

Voilà j’ai testé tout ça sur un environnement de test et tout semble correct. Je vais donc prévoir la migration des tous mes serveurs Proxmox vers la version v4, dans un premier temps ceux auto-hébergé et dans un second temps ceux sur des serveurs dédiés chez OVH.

Cas d’un cluster de deux serveurs Proxmox

Chez moi j’ai deux serveurs Proxmox en cluster, une fois les deux nœuds mis à jour, il faut reconstruire le cluster avec les commandes suivantes :

Sur le premier nœud du cluster :

pvecm create <nom_du_cluster>

Sur le second ou sur les nœuds suivants du cluster :

pvecm add <ip_du_premier_nœud> -force

Tout est fonctionnel chez moi, voici deux commandes pour visualiser l’état du cluster :

pvecm status
pvecm nodes

Bonne lecture à tous

Bonjour à tous

Depuis quelque temps j’utilise Proxmox comme solution de virtualisation que ce soit chez moi ou sur mes serveurs OVH, et depuis peu pour des clients.

Ce dernier point m’a poussé à mettre en place une double authentification via OTP (One Time Password).

Rien de plus simple vu que déjà présent en natif dans la distribution Proxmox et que la mise place ne prends que deux minutes.

Dans un premier temps se connecter en SSH sur le serveur et lancer la commande suivante pour générer une clé :

root@Proxmox:~# oathkeygen
RXRYWAHMGO64C7JZ

Une fois cette clé générée il faut se rendre dans l’interface web du serveur, dans le menu Authentification et éditer la ligne PAM pour choisir dans le menu TFA : OATH.

proxmox-otp-001Une fois cette option activée il suffit d’aller renseigner la clé générée avant en ssh dans l’utilisateur, ici root

proxmox-otp-002Il ne reste plus qu’à se déconnecté et à la prochaine connections l’OTP sera nécessaire en plus du mot de passe habituel.

proxmox-otp-003

D’un point de vue application client pour la génération de l’OTP, j’utilise pour ma part Google Authentificator sur mon téléphone portable et sur mon iMac je préfère OTP Manager.

En cas de soucis, il est toujours possible en SSH de désactiver cette fonctionnalité via en commentant une ligne dans le fichier /etc/pve/domains.cfg :

nano /etc/pve/domains.cfg
#tfa type=oath

Bonne journée

Bonjour

Cela fait un bout de temps que je voulais faire cet article pour présenter le plan de sauvegarde et de replication de mes données.

J’ai voulu attendre de stabiliser mon architecture pour pouvoir tester et valider avant de vous en faire part.

Plusieurs sauvegardes sont parallélisées sur mon infrastructure LAN & WAN :

Pour la partie LAN, nous avons les sauvegardes suivantes :

Pour la partie WAN, nous avons les sauvegardes ci dessous :

  • Pour les deux serveurs dédiés chez OVH sous Proxmox, ils sont sauvegardés toutes les nuits vers le NAS Qnap TS-439 Pro, via un VPN monté à la demande.
  • Les deux serveurs Proxmox hébergent chacun des machines virtuelles. Celles ci sont sauvegardées à tour de rôles chaque nuit via des Snapshots. Ce roulement me permet en une semaine d’avoir une sauvegarde de chaque machine virtuelle et permet l’export dans la nuit via la sauvegarde des deux serveurs physiques.
  • De plus le dernier Snapshot de chaque serveurs Proxmox sont exportés vers l’autre serveur Proxmox pour pouvoir restaurer rapidement via le réseaux rapide d’OVH des machines en cas de crash total d’un serveur physique.

De plus il y a des sauvegardes entre le LAN & WAN :

  •  Chaque nuit les données importantes sont exportés via Rsync vers deux machines virtuelles hébergées chacune sur un des deux serveurs Proxmox de chez OVH.

Le “cloud” est aussi présent dans mon architecture via Dropbox et hubiC :

  • Certaines de mes données doivent être synchronisées sur toutes mes machines donc il y a des années j’ai ouvert un compte Dropbox que j’utilise tous les jours.
  • Ces données sont sauvegardées dans un premier temps dans les sauvegardes des machines connectées à Dropbox mais aussi synchronisées toutes les 30 minutes vers hubiC de chez OVH qui sera un jour le remplacement de Dropbox. Hélas à ce jour pas de possibilité de mettre un proxy avec identification, ce qui est bloquant sur pas mal de réseaux.
  • Dropbox est aussi synchronisé sur le NAS Qnap TS-439 Pro ce qui permet aussi d’avoir les données sur un Raid 5.

Au final une dernière sauvegarde existe vers un disque USB :

  • Ce disque USB de 1,5 To est sur mon bureau relié à mon iMac. Ce disque me suit partout lors de mes grands déplacements, par exemple dans la boite à gants de la voiture pour les vacances, celui si est divisé en deux partitions.
    • Une première partition pour un TimeMachine
    • Une seconde partition contenant les sauvegardes des données brutes de l’iMac via Rsync

Je pense n’avoir rien oublié, mais on ne sait jamais, bien-sur toutes ces sauvegardes sont automatisées.

Bonjour

J’ai aussi profiter de cette première semaine de vacances pour migrer mon serveur dédié Online à mon nouveau hébergé chez OVH et donc ce blog.

A part le formatage par défaut de la Ubuntu 12.04 LTS de chez OVH qui me convenait pas, tout c’est bien passé.

Un point noir la progagation DNS pour les abonnés Free super longue… mais comme toujours.

La gallery avec ses 23000 photos a été aussi migrée sans soucis, et les comptes utilisateurs conservés.

Prochaine étape migrer mon site pro qui est encore chez 1&1 en mutualisé.

A plus

PS : Petit fait marquant je me suis fait rappelé 2 heures après avoir résilié par Online pour savoir pourquoi j’étais parti..

Bonsoir à tous

Là que dire de plus à part un grand BRAVO pour OVH avec leur nouvelle offre Kimsufi :

  • Un serveur dédié avec un Atom 1,6+ et 2 Go de Ram sans oublier 500Go de disque le tout pour 2,99 HT par mois soit 3,58 TTC

Bon ben là migration obligatoire à prévoir au plus vite entre autre de ce blog…

Pour des petites machines types blog, gallery photos etc, rien ne sert plus de virtualiser pour rentabiliser un serveur dédié.

Encore merci OVH et @olesovhcom

A très vite