4. Première configuration
Une demi-heure, dans l'ordre, pour passer d'un boîtier fraîchement installé à un boîtier que vous pouvez laisser tourner. Il n'y a pas d'assistant unique de mise en route : chaque étape est sa propre page, et ce chapitre donne l'ordre dans lequel les visiter.
4.1 Se connecter
Depuis une machine du réseau interne, ouvrez https://192.168.1.1/.
Le navigateur avertit au sujet du certificat — le boîtier se l'est délivré à lui-même, la seule chose qu'il puisse faire avant de connaître son propre nom. Acceptez-le ; vous le remplacerez dans Maintenance.
Connectez-vous en root, avec le mot de passe défini pendant l'installation, ou zedmos sur un boîtier écrit depuis l'image prête à l'emploi.
4.2 Changez le mot de passe — maintenant, pas plus tard
System → Password, ou le menu de compte dans le coin supérieur droit.
Un boîtier neuf répond aussi en SSH sur le port 22, avec la connexion root et l'authentification par mot de passe activées. Tant que le mot de passe n'est pas changé, quiconque atteint la machine en a le contrôle complet. Changez-le avant de raccorder le boîtier à un réseau que d'autres peuvent atteindre.
Pendant que vous y êtes, tranchez au sujet de SSH lui-même : System → Settings → Administration.
- Si vous n'utiliserez pas SSH, désactivez-le.
- Si vous l'utiliserez, coupez l'authentification par mot de passe et posez une clé publique sur le compte de chaque administrateur (Access → Users). Un mot de passe volé ne suffit alors plus pour atteindre le boîtier.
4.3 Nommez le boîtier, donnez-lui le DNS et l'heure
System → Settings → General.
- Hostname et domain — ce nom apparaît dans les journaux, dans les certificats et sur la console. Nommez-le d'après l'endroit où il est, pas d'après ce qu'il est :
fw-agence-lyonvaut mieux quefirewall1. - DNS servers — ce que le boîtier lui-même utilise. Le laisser au DHCP du lien montant convient pour commencer.
- Time zone — réglez-la correctement. La validité des certificats, la négociation VPN et chaque horodatage de journal dépendent de l'horloge.
4.4 Le lien montant (WAN)
Network → Interfaces, sélectionnez la ligne WAN, Edit.
| Votre lien montant | Réglez |
|---|---|
| Un routeur ou un modem qui distribue des adresses | Addressing Mode : DHCP. Rien d'autre à faire. |
| Une adresse fixe de votre opérateur | Manual, puis l'adresse, le préfixe et la passerelle de l'opérateur. |
| Une ligne DSL avec identifiants | Créez l'interface avec Type : PPPoE et saisissez le nom d'utilisateur et le mot de passe fournis par l'opérateur. |
Sur un WAN, il est normalement juste de laisser block private networks et block bogon networks activés : ils jettent le trafic qui prétend venir d'adresses qui ne peuvent pas légitimement être sur l'internet.
Vérifiez que ça a marché : Network → Gateways → Configuration doit montrer la passerelle comme active, avec un temps d'aller-retour.
4.5 Le réseau interne (LAN)
Toujours dans Network → Interfaces, modifiez la ligne LAN.
- Addressing Mode : Manual, avec l'adresse que le boîtier portera sur ce réseau —
192.168.1.1/24à la sortie d'usine. Changez-la si cette plage entre en collision avec quelque chose que vous exploitez déjà, et souvenez- vous que la changer coupe votre session : vous reviendrez sur la nouvelle adresse. - DHCP server — activé, avec une plage intérieure au réseau qui exclut chaque appareil à adresse fixe. Le boîtier vérifie la plage pour vous.
Besoin d'autres réseaux — un VLAN invité, un réseau séparé pour les caméras ? Create new avec Type : VLAN, l'interface parente et l'étiquette ; donnez-lui une adresse et sa propre plage DHCP dans le même formulaire. Écrivez ensuite les règles qui disent ce que ce réseau a le droit d'atteindre : une interface neuve démarre sans rien d'autorisé, ce qui est la bonne valeur par défaut et aussi la raison pour laquelle un nouveau VLAN « n'a pas d'internet ».
4.6 Prouvez que ça marche
Dans cet ordre, parce que chaque étape dépend de la précédente :
- Le boîtier lui-même a une passerelle — Network → Gateways, état actif.
- Le boîtier sait résoudre les noms — Network → Diagnostics → DNS Lookup, résolvez n'importe quel nom public.
- Un client obtient une adresse — sur un portable du réseau interne, vérifiez qu'il en a reçu une dans la plage configurée (Services → Kea DHCP → Leases DHCPv4 la montre côté boîtier).
- Un client atteint l'internet — ouvrez n'importe quel site depuis ce portable.
- Le pare-feu filtre — Firewall → Log Files → Live View montre le trafic et les règles qui lui correspondent.
Si l'étape 4 échoue alors que l'étape 2 réussit, le boîtier a l'internet et le client ne l'a pas : regardez d'abord les règles du LAN (Dépannage).
4.7 Relisez les règles qu'on vous a données
Firewall → Rules.
Le jeu de règles d'usine laisse sortir le réseau interne et bloque le trafic non sollicité venant du lien montant. C'est un point de départ sain. Ajoutez-y plutôt que de le remplacer, et gardez la règle qui vous garantit d'atteindre le panneau tant que vous n'êtes pas certain d'avoir une autre voie d'entrée.
4.8 Prenez une sauvegarde
System → Configuration → Backups, et téléchargez la configuration.
Faites-le maintenant, pendant que le boîtier est dans un état connu comme bon, puis après chaque changement significatif. Le fichier contient tout — y compris les clés et les empreintes de mots de passe — alors rangez-le comme vous rangeriez un mot de passe.
4.9 Et ensuite ?
- Parcourir le panneau : Le panneau d'administration.
- Construire quelque chose de précis : Cas d'usage — publier un serveur, un VPN site à site, le Wi-Fi invité, deux liens montants avec bascule.
- Le garder en vie : Maintenance.