DHCP et DNS : pfSense ou Active Directory ?

pfSense sait distribuer des adresses (serveur DHCP Kea), relayer les demandes vers un autre serveur (relais DHCP) et résoudre les noms (résolveur DNS Unbound). Dans un réseau qui a un Active Directory, c'est pourtant l'annuaire qui garde le DHCP et le DNS des postes : pfSense relaie le DHCP et résout les noms d'Internet pour le compte des contrôleurs de domaine. Ce chapitre explique cette répartition, configure le relais, le résolveur et ses substitutions, et montre les cas où le DHCP de pfSense est le bon choix.

Qui fait quoi chez Sorbier

Le fonctionnement du DHCP et du DNS de Windows Server (étendues, options, basculement, zones, redirecteurs) est dans le cours Windows Server ; ce chapitre traite ce qui se configure sur pfSense.

Le relais DHCP

Un client DHCP qui démarre ne connaît rien : il envoie un DHCPDISCOVER en diffusion, à l'adresse 255.255.255.255. Une diffusion ne franchit pas un routeur : srv-ad, dans le VLAN 20, n'entend jamais les postes du VLAN 10. Le relais DHCP de pfSense capte la diffusion sur l'interface POSTES, la transmet en unicast à srv-ad en y inscrivant l'adresse de l'interface qui l'a reçue (192.168.10.126, le champ giaddr), et srv-ad choisit l'étendue dont le réseau contient cette adresse.

Services > DHCP Relay :

Les règles qui vont avec. Le relais ajoute tout seul, sur chaque interface relayée, la règle qui accepte les diffusions DHCP des clients. Deux flux restent à autoriser :

• le renouvellement : à la moitié de son bail, un client renouvelle en unicast, directement auprès du serveur qui le lui a donné (192.168.10.177, UDP 67), sans passer par le relais. Ce flux traverse le pare-feu : d'où l'UDP 67 dans l'alias PORTS_AD_UDP des postes et la règle « Renouvellement DHCP » des onglets ENTREPOT et TELEPHONIE (chapitre 5) ;
• les réponses du serveur au relais : srv-ad répond à l'adresse inscrite par le relais (192.168.10.126, UDP 67), qui est une adresse du pare-feu ; la règle 2 de l'onglet SERVEURS l'autorise.

Pour VISITEURS, on n'autorise pas le renouvellement en unicast : un visiteur n'a aucune raison de joindre un contrôleur de domaine. Son renouvellement échoue à la moitié du bail ; à 87,5 % du bail, le client passe en rebinding et redemande en diffusion, que le relais transmet. Le bail est renouvelé, sans un seul flux direct du Wi-Fi invité vers l'annuaire.

Ces tentatives de renouvellement direct, répétées entre 50 % et 87,5 % du bail, sont refusées par la règle 3 de l'onglet VISITEURS (« Isolation de l'interne ») et apparaissent dans le journal : c'est attendu. Pour ne pas les compter comme des attaques (Wazuh alerte sur une rafale de blocages depuis une même source, chapitre 15), ajoute entre les règles 2 et 3 une règle Reject, UDP, source VISITEURS subnets, destination SRV_DC, port 67, non journalisée, description « Renouvellement DHCP direct (attendu) ».

Les étendues correspondantes se créent sur srv-ad (cours Windows Server), une par VLAN relayé, avec la passerelle pfSense en option 003. L'étendue des visiteurs a des particularités :

# Étendue du Wi-Fi invité : bail court, DNS du pare-feu, pas le DNS de l'annuaire
Add-DhcpServerv4Scope -Name "VLAN40-VISITEURS" -StartRange 192.168.10.1 -EndRange 192.168.10.59 `
    -SubnetMask 255.255.255.192 -LeaseDuration 04:00:00 -State Active
Set-DhcpServerv4OptionValue -ScopeId 192.168.10.0 -Router 192.168.10.62 -DnsServer 192.168.10.62 -DnsDomain "invites.sorbier.example" -Force

-Force saute la vérification du serveur DNS : sans lui, la commande interroge 192.168.10.62 sur le port 53 depuis srv-ad et échoue, parce que srv-ad n'a pas le droit d'interroger l'adresse VISITEURS du pare-feu (règles 1 et 4 de l'onglet SERVEURS), et c'est voulu. La plage s'arrête à .59 : .60 et .61 sont gardées pour les deux pare-feu en grappe du chapitre 13, .62 est la passerelle. Le DNS est celui du pare-feu : les visiteurs ne doivent pas connaître les noms internes, et l'option de niveau étendue l'emporte sur l'option serveur qui distribue les contrôleurs de domaine aux autres VLAN.

Le serveur DHCP de pfSense, là où il n'y a pas d'annuaire

Chez Sorbier, aucun réseau interne n'est concerné : le siège a srv-ad et srv-ad2, Mâcon a srv-macon. Le serveur DHCP de pfSense sert là où il n'y a pas d'annuaire : une maquette de TP avant l'installation du Windows Server, un petit local sans serveur, un réseau invité dans une structure qui n'a pas d'AD. Il utilise le moteur Kea choisi au chapitre 2.

Exemple : ta maquette, avant l'arrivée du contrôleur de domaine. Services > DHCP Server, onglet POSTES (192.168.10.126/26) :

Le jour où le Windows Server arrive, on crée les étendues sur lui, on désactive le serveur DHCP de pfSense sur toutes les interfaces et on active le relais. Status > DHCP Leases liste les baux attribués : adresse, adresse MAC, nom, fin du bail.

Le résolveur DNS Unbound

pfSense contient deux services DNS : le résolveur (DNS Resolver, Unbound), activé par défaut, et le redirecteur (DNS Forwarder, dnsmasq), plus ancien. On n'en garde qu'un : le résolveur.

Services > DNS Resolver > General Settings :

L'onglet Access Lists n'a pas besoin d'être touché : pfSense autorise automatiquement les réseaux de ses interfaces internes à interroger le résolveur, et refuse les autres.

Les substitutions de domaine. Le pare-feu lui-même, les visiteurs ou la DMZ peuvent avoir besoin de résoudre un nom interne (le pare-feu, pour envoyer ses journaux ou interroger l'annuaire par un nom plutôt que par une adresse). Une substitution de domaine (Domain Override) dit à Unbound : « pour ce domaine, demande à ce serveur ». Services > DNS Resolver > Domain Overrides > Add : Domain ad.sorbier.example, Lookup Server IP Address 192.168.10.177 (puis une seconde entrée vers 192.168.10.181). Faire de même pour la zone inverse 10.168.192.in-addr.arpa, pour que les journaux du pare-feu affichent des noms.

Les substitutions d'hôte (Host Overrides) donnent une réponse fixe pour un nom précis, comme suivi.sorbier.example vers l'adresse privée de srv-web au chapitre 6.

Les contrôleurs de domaine font suivre à pfSense

Les postes interrogent les contrôleurs de domaine pour tous les noms. Ceux-ci répondent eux-mêmes pour ad.sorbier.example et font suivre le reste à un redirecteur : le résolveur de pfSense, à son adresse de l'interface SERVEURS.

# Sur srv-ad et srv-ad2 : pfSense comme unique redirecteur, sans repli sur les serveurs racines
Set-DnsServerForwarder -IPAddress 192.168.10.190 -UseRootHint $false
Get-DnsServerForwarder

À Mâcon, même schéma à l'échelle du site : dc-macon répond pour ad.sorbier.example avec sa copie en lecture seule de la zone et fait suivre le reste au résolveur de son pare-feu, Set-DnsServerForwarder -IPAddress 192.168.20.254 -UseRootHint $false.

Avec -UseRootHint $false, un contrôleur de domaine qui n'obtient pas de réponse du redirecteur n'essaie pas de résoudre seul sur Internet : il n'a donc besoin d'aucun accès DNS direct vers l'extérieur, et la règle 1 de l'onglet SERVEURS (contrôleurs vers SERVEURS address, port 53) suffit. En contrepartie, si pfSense tombe, la résolution des noms d'Internet s'arrête : c'est un argument de plus pour doubler le pare-feu (chapitre 13).

Ce montage a trois avantages :

• un seul point de sortie DNS : aucun poste ne parle à un DNS d'Internet ; un logiciel malveillant qui veut utiliser son propre résolveur est bloqué par les règles et apparaît dans les journaux ;
• un filtrage commun : les listes de blocage de pfBlockerNG s'appliquent à toutes les machines, internes comme invitées ;
• des journaux DNS au même endroit : les requêtes vers des domaines malveillants se voient sur le pare-feu.

L'heure

L'heure suit le même schéma. Le contrôleur de domaine qui porte le rôle d'émulateur PDC prend l'heure à l'extérieur (règle 8 de l'onglet SERVEURS, UDP 123) ; les postes et les serveurs membres la prennent aux contrôleurs de domaine ; pfSense et la DMZ ont le service NTP du pare-feu (Services > NTP) ; à Mâcon, dc-macon suit la hiérarchie du domaine à travers le tunnel (UDP 123 vers les contrôleurs du siège), et les machines du site la prennent à dc-macon. Tous les journaux sont ainsi à la même heure, condition pour les corréler dans Wazuh.

Exercices