Transformer votre Windows en un pare-feu avancé avec WinGate

Présentation de WinGate

C'est suffisamment exotique pour que je m'y intéresse. Wingate est le dernier 'pare-feu' reposant sur l'architecture Windows.

Wingate propose une licence gratuite jusqu'à 10 utilisateurs (leur tarification est intriguante... elle est basée sur le nombre d'utilisateurs accédant au web en même temps, et non sur le nombre de PC connectés)... et également des licences payantes.

Bon à savoir : la gestion des DMZ n'est possible qu'avec les licences professionnelles et entreprise (pas la standard).

Le logiciel est plein de fonctionnalités... C'est assez bluffant

Bref, un gros gestionnaire internet tout en un !

Il est principalement connu pour son service de proxy transparent et son VPN.

Inutile de vous soucier du pare-feu Windows en dessous, WinGate gère tout. Vous devez néanmoins configurer le routage et vos cartes réseaux via Windows (ce que nous allons faire ici).

L'ergonomie de Wingate fait un peu peur au début car je la trouve assez inhabituelle.. mais en fait, tout se configure d'une façon incroyablement rapide !! Je le teste par séries depuis plusieurs mois, et plus j'avance dans les configurations, plus je trouve cette solution étonnante !

Je vais tenter de faire quelques tutos classiques, car la documentation en ligne est franchement ultra merdique. Celle sur le soft en revanche est bonne. Cela dit, le forum du support comporte la majorité des problèmes que l'on peut rencontrer, et Adrien de Croy répond à chaque question posée.

Déploiement de WinGate

Voici les étapes à suivre pour déployer le pare-feu WinGate dans un labo composé d'au moins 2 machines : la machine où sera installé WinGate et un client.

1) Installer Windows 10/11 Pro N/Windows Server 2019/2022...

(avec 2 interfaces réseaux a minima. Une pour le WAN et une pour le LAN)

2) Faire les MAJ de Windows

3) Nettoyer Windows

Passer PrivateZilla ou LoveWindowsAgain en fonction de votre version de windows, puis désinstallez toutes les applications restantes inutiles de windows.

4) Activer le routage Windows

Set-ItemProperty -Path 'HKLM:\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters' -Name 'IPEnableRouter' -Value 1

5) Configurer l'interface réseau LAN

Configurer l'interface réseau LAN, en lui mettant une IP et un masque (et rien d'autre). Si vous ajouter également une carte réseau pour une DMZ, il faut procéder de la même façon (IP + Masque). L'adressage IP des cartes ne peut pas se faire dans Wingate. Je vous suggère de renommer directement vos cartes réseaux au moment de la configuration, pour plus de lisibilité (WAN, LAN, DMZ...)

Capture d'écran

6) Télécharger et installer Wingate

Télécharger et installer Wingate (depuis www.wingate.com). Lors de l'installation, veillez à choisir soit la licence gratuite, soit la pro (30 jours de tests offerts), et la base de données utilisateurs Windows (surtout pas celle de WinGate !!!!! autrement vous allez être bloqué !)

7) Optimisation (si VM)

Si VM, installer des guest-additions pour optimiser l'affichage en mode intégré.

Configuration dans Wingate Manager

Définir le rôle des interfaces (interne ou externe ou DMZ)

(allez dans la rubique 'Network connections' dans le menu de gauche (Navigation))

Capture d'écran

(l'idée ici est d'indiquer à WinGate quelle interface est quoi... WAN ou LAN)
on clique-droit sur l'interface, Properties, puis on lui assigne le rôle WAN ou LAN (externe ou interne ou DMZ)

Capture d'écran

On fait de même pour la seconde interface (et toutes les autres, si vous en avez plusieurs !)

Services : Mise en place d'un service DHCP pour le réseau LAN

Création du service DHCP

Clic-droit, Install service, DHCP Service

Capture d'écran

(Sélectionnez la police par défaut et cliquez sur Edit)

Capture d'écran

(Liez votre DHCP à l'interface LAN, sur n'importe quelle IP 'Any IP Adress')

(ne laissez pas WinGate tout gérer avec le mode Fully Automatic... il fait n'importe quoi !!)

(double-cliquez sur Global Options)

Capture d'écran

(Ajoutez l'option de DNS Server : Sélectionnez 006 DNS server dans la colonne de gauche, puis cliquez sur Add pour le faire passer dans la colonne de droite. Puis, double-cliquez sur 006 DNS server dans la colonne de droite)

Capture d'écran

(Ajoutez le DNS que vous voulez proposer aux clients du LAN)

Appliquer, OK

Capture d'écran

Configuration de l'étendue DHCP

Ré-ouvrir le service DHCP Service (oui, il faut le réouvrir ! double-cliquez sur la ligne)

Capture d'écran

Capture d'écran

(réglez votre étendue d'IP sur laquelle le serveur DHCP proposera des adresses)

Vous pouvez indiquer des IP à exclure également, et régler la durée d'allocation du bail.

Capture d'écran

Appliquer, OK

Extended Networking/Port Security

Autoriser les flux sortants du LAN dans le pare-feu :

(allez dans 'Extended Networking' dans le menu de Nagivation) :

Capture d'écran

Pour cet exemple, nous allons régler la politique du pare-feu à tout bloquer par défaut, puis ouvrir uniquement les flux internet pour les PC du LAN (mais après, vous ferez ce que vous voulez !). Cliquez sur Port Security dans le menu de gauche

Capture d'écran

(sur ce prermier écran s'affichent les règles du pare-feu entrantes (venant d'internet). Ici il n'y en a pas.. Je les ai supprimées.)

Default: Deny (Settings)

Cliquez sur Settings en bas à droite, et passez le comportement par défaut du pare-feu à Deny.

Capture d'écran

LAN connections to Internet | TCP

Capture d'écran

C'est ici que nous allons définir les règles TCP pour permettre à nos chients du LAN d'accéder à internet. Nous allons créer les règles d'accès au port 80 et 443 (HTTP et HTTPS). Vous remarquerez que j'ai déjà fait ce travail.. mais je vous montre quand même comment créer ces règles ci-dessous. Cliquez sur Add si vous n'avez pas de règles :

Capture d'écran

Je vous laisse le soin de faire la seconde règle pour HTTPS, en suivant ce modèle.

LAN connections to Internet | UDP

Capture d'écran

Cliquez sur le menu TCP en haut à droite pour passer à UDP.
Nous devons à présent créer notre règle pour le passage du flux DNS. Elle est ici, déjà crée, mais je vous remontre comment faire. Cliquez sur Add

Capture d'écran

Derniers réglages de sécurité

Un dernier petit réglage de sécurité avant d'en finir là : Cocher les cases masquant le nom du réseau sur le net et les paquets spoofés.

Capture d'écran

Voilà, notre petite configuration basique du Pare-feu est terminée.

Sachez simplement que le proxy de Wingate filtre les catégories de site internet selon vos propres listes ou en installant le plugin Lumen... Je verrai si j'ai le temps de faire un nouvel article simplement sur ce sujet... c'est toujours long.

Sur les postes clients du LAN

Configurer l'interface réseau pour DHCP grâce à ncpa.cpl ou bien, via l'invité de commandes : 

ipconfig /release
ipconfig /renew

Enfin, vous pouvez lancer l'application Wingate Management au démarrage de la machine.

↑ Haut de page