🧱 1. Mise à jour DNS Active Directory

🔐 3. Configuration des règles OPNsense

📍 Interface LAN ➜ DMZ (accès internes : agents + utilisateurs)

📍 Interface DMZ ➜ SRV (LDAPS vers Active Directory)

📍 Interface WAN ➜ DMZ (accès Internet) => 

PORT FORWARD 

📍 Interface DMZ ➜ WAN (si GLPI a besoin d’Internet)

📍 Interface DMZ ➜ Accès SSH depuis PC_ADM

🧪 4. Vérifications à faire

✅ Optionnel : nettoyage

REVERSE PROXY !!!!!!!!!

• Nouvelle vm en dmz 192.168.30.3
• user srvglpi
• installer nginx
• configuration nginx avec reverse proxy

Objectif final :

• GLPI reste installé sur ton serveur actuel SRV (192.168.20.3) dans le LAN
  (Pas besoin de tout réinstaller).

• Tu ne déplaces pas GLPI physiquement (ça évite de tout casser côté LDAP/BD/GLPI).

• Tu ajoutes un reverse proxy dans ta DMZ (ex: 192.168.30.3) qui publie GLPI vers l’extérieur.

• Aucune ouverture directe du LAN vers le WAN.

✅ Plus propre, plus sécurisé, moins de galère.

🛠️ Architecture réseau après mise en place :

scss

[WAN] ↓ [OPNsense NAT/Firewall] ↓ [DMZ] ↳ Reverse Proxy (Nginx, IP : 192.168.30.3) ↳ redirige vers 192.168.20.3 (GLPI) [LAN] ↳ Serveur GLPI (SRV - IP : 192.168.20.3)

🔥 Détail des étapes :

1. Installer un Reverse Proxy (Nginx) en DMZ

• VM ou serveur avec IP 192.168.30.3.

• Installer Nginx.

• https://wiki.johnnybonnetier.fr/spaces/ds/pages/1769511/Annexe+1+Cr%C3%A9e+un+certificat+avec+ADCS+pour+un+serveur+web

  # 1. Mettre à jour le système
  sudo apt update
  sudo apt upgrade -y
  
  # 2. Installer Nginx
  sudo apt install nginx -y
  
  # 3. Vérifier que Nginx est bien installé et actif
  sudo systemctl status nginx
  
  # 4. Démarrer Nginx si besoin
  sudo systemctl start nginx
  
  # 5. Activer Nginx pour qu’il se lance automatiquement au démarrage
  sudo systemctl enable nginx

  
  

• Configurer un proxy_pass vers ton GLPI :

générer un certificat 

Annexe 1 : Crée un certificat avec ADCS (pour un serveur web)

transférer le fichier base 64 :

scp C:\chemin\vers\ton\fichier.txt user@IP_LINUX:/home/user/

• # Aller dans le dossier de config Nginx
  cd /etc/nginx/sites-available/
  
  # Créer un nouveau fichier pour GLPI
  sudo nano glpi.conf
  
  

  # Redirection HTTP vers HTTPS
  server {
      listen 80;
      server_name glpi.comptaplus.loc;
  
      return 301 https://$host$request_uri;
  }
  
  # Reverse Proxy HTTPS
  server {
      listen 443 ssl;
      server_name glpi.comptaplus.loc;
  
      ssl_certificate /etc/letsencrypt/live/glpi.tondomaine.fr/fullchain.pem;
      ssl_certificate_key /etc/letsencrypt/live/glpi.tondomaine.fr/privkey.pem;
  
      # Headers de sécurité
      add_header Strict-Transport-Security "max-age=31536000; includeSubDomains" always;
      add_header X-Content-Type-Options "nosniff" always;
      add_header X-Frame-Options "DENY" always;
      add_header X-XSS-Protection "1; mode=block" always;
  
      location / {
          proxy_pass https://192.168.20.3/; # Adresse interne de ton serveur GLPI
          proxy_set_header Host $host;
          proxy_set_header X-Real-IP $remote_addr;
          proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
          proxy_ssl_verify off; # À activer si tu as un vrai certificat sur ton GLPI interne
      }
  }
  
  

• # Créer un lien symbolique dans sites-enabled
  sudo ln -s /etc/nginx/sites-available/glpi.conf /etc/nginx/sites-enabled/
  
  # Tester la configuration Nginx pour être sûr qu’il n’y a pas d'erreurs
  sudo nginx -t
  
  # Recharger Nginx pour appliquer la nouvelle config
  sudo systemctl reload nginx
  
  

👉 Ici ton Nginx en DMZ reçoit les requêtes HTTPS et renvoie proprement vers ton serveur GLPI interne.

Sur OPNsense (pare-feu) :

2 règles NAT à faire :

📋 Résumé rapide :

Sécurité :

server {
    listen 443 ssl;
    server_name glpi.tondomaine.fr;

    allow 1.2.3.4;         # Ton IP publique perso
    allow 5.6.7.8;         # Une autre IP autorisée
    deny all;              # Bloque tout le reste

    ssl_certificate /etc/letsencrypt/live/glpi.tondomaine.fr/fullchain.pem;
    ssl_certificate_key /etc/letsencrypt/live/glpi.tondomaine.fr/privkey.pem;

    location / {
        proxy_pass https://192.168.20.3/;
        proxy_set_header Host $host;
        proxy_set_header X-Real-IP $remote_addr;
        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
    }
}