Qu’est-ce que l’Agent de Connexion DynFi ?
L’agent de connexion DynFi (DFConAg) est un plugin disponible à la fois pour les pare-feu pfSense®, OPNsense® et DynFi Firewall.
Il fonctionne en conjonction avec le back-end de l’agent de connexion qui se trouve sur le gestionnaire DynFi Manager.
Les objectifs de ce paquet sont les suivants :
- Faciliter l’ajout de nouveaux équipements dans le gestionnaire DynFi.
- Permettre l’établissement de connexions entre le pare-feu et le gestionnaire.
- Limiter le nombre de manipulations demandées par les utilisateurs finaux pour déployer leurs appareils.
Screencast de l’Agent de Connexion DynFi
Comment fonctionne l’Agent de Connexion ?
L’agent de connexion se présente sous la forme d’un plugin, il inclut une interface graphique permettant de piloter automatiquement la connexion vers le DynFi Manager.
Il utilise pour cela le programme Auto SSH. Autossh est un outil permettant de s’assurer qu’une session SSH reste ouverte en permanence en la testant et en la relançant si nécessaire. Ceci permet à notre Agent de Connexion de maintenir une session ouverte en permanence avec le Gestionnaire DynFi Manager.
Le code source de notre plugin est disponible sur GitHub, il s’intègre parfaitement avec les systèmes pfSense®-CE et OPNsense®, il est en outre inclus de façon native dans notre distribution DynFi Firewall.
Quelles sont les étapes nécessaires pour installer et utiliser cet agent ?
1. Installation de l’agent
Sur DynFi Firewall
Le pare-feu DynFi Firewall inclus nativement l’agent de connexion.
Vous pouvez télécharger et installer le pare-feu DynFi Firewall très simplement.
Sur pfSense®
Vous pouvez simplement copier et coller le lien ci-dessous en tant que root sur vos équipements pfSense®. Cela permettra de télécharger et de déployer l’agent de connexion.
root@pfsense:~# pkg -C /dev/null add -f https://dynfi.com/files/connection-agent/pfsense/pfSense-pkg-dfconag-1.12.txz
ou
root@pfsense:~# curl https://dynfi.com/files/connection-agent/pfsense/dfconag-latest-installer.sh --output /tmp/dfconag-installer.sh && sh /tmp/dfconag-installer.sh
Une fois l’Agent installé, vous aurez un nouveau menu situé dans : Services » Agent de connexion DynFi.
Il vous sera demandé d’autoriser l’installation du service autossh (Click here to install the autossh service). Veuillez poursuivre.
Vous êtes maintenant en mesure d’utiliser l’agent de connexion, veuillez vous référer à la section ajouter votre premier équipement.
Veuillez noter que l’agent de connexion DFConAg est compatible avec pfSsense-CE v.2.4.0 et supérieures et pfSense-Plus v.22.05.
Pour OPNsense
root@opnsense:~# pkg add -f https://dynfi.com/files/connection-agent/opnsense/os-dfconag-1.10.txz
ou
root@opnsense:~# curl https://dynfi.com/files/connection-agent/opnsense/dfconag-latest-installer.sh --output /tmp/dfconag-installer.sh && sh /tmp/dfconag-installer.sh
Veuillez noter que l’agent de connexion DFConAg est compatible avec OPNsense v.19.1 et supérieures.
2. Déployer votre premier équipement
Activer l’agent de connexion sur le gestionnaire Dynfi
Vous devez vous assurer que le fichier de configuration de votre gestionnaire DynFi (situé dans /etc/dynfi.conf) contient les lignes suivantes:
connectionAgentPort=2222
Cela activera le service SSH de l’agent de connexion sur le gestionnaire. Veuillez vous assurer que le port que vous utilisez est unique et n’est pas utilisé par un autre service. Assurez-vous également que vous autorisez les connexions SSH entrantes depuis vos équipements distants (si DynFi Manager est protégé par un pare-feu).
Redémarrez le gestionnaire DynFi Manager en utilisant :
systemctl restart dynfi
Le statut du DynFi Manager de l’agent de connexion est désormais Vert et prêt à fonctionner.
Générer votre premier jeton sur DynFi Manager
Il suffit d’aller dans le Gestionnaire DynFi » Agent de connexion.
Allez à Connection Agent » Tokens.
Spécifiez la période de validité du jeton et d’autres paramètres et générez votre jeton. Votre jeton apparaîtra dans une fenêtre superposée, vous pouvez copier ou télécharger le jeton.
Deployer votre premier équipement
Collez le jeton copié dans l’agent de connexion de votre équipement et validez l’action.
Laissez l’Agent de connexion générer une paire de clés entre votre Gestionnaire et votre équipement de pare-feu (méthode préférée) ou utilisez d’autres informations d’identification SSH.
Validez et l’agent se connectera automatiquement au gestionnaire DynFi Manager.
3. Dépannage
La plupart du temps, le problème provient de problèmes d’accès aux ports. Assurez-vous donc que vous avez activé les règles de pare-feu appropriées, principalement du côté du gestionnaire.
Il s’agit d’une erreur courante qui empêche les pare-feu de s’enregistrer eux-mêmes.
Documentation de l’Agent de Connexion DynFi
Accédez à la documentation de l’Agent de Connexion DynFi.
