🧱 1. Mise à jour DNS Active Directory

🔐 3. Configuration des règles OPNsense

📍 Interface LAN ➜ DMZ (accès internes : agents + utilisateurs)

📍 Interface DMZ ➜ SRV (LDAPS vers Active Directory)

📍 Interface WAN ➜ DMZ (accès Internet) => 

PORT FORWARD 

📍 Interface DMZ ➜ WAN (si GLPI a besoin d’Internet)

📍 Interface DMZ ➜ Accès SSH depuis PC_ADM

🧪 4. Vérifications à faire

✅ Optionnel : nettoyage

REVERSE PROXY !!!!!!!!!

• Nouvelle vm en dmz 192.168.30.3
• user srvglpi
• installer nginx
• configuration nginx avec reverse proxy

Objectif final :

• GLPI reste installé sur ton serveur actuel SRV (192.168.20.3) dans le LAN
  (Pas besoin de tout réinstaller).

• Tu ne déplaces pas GLPI physiquement (ça évite de tout casser côté LDAP/BD/GLPI).

• Tu ajoutes un reverse proxy dans ta DMZ (ex: 192.168.30.3) qui publie GLPI vers l’extérieur.

• Aucune ouverture directe du LAN vers le WAN.

✅ Plus propre, plus sécurisé, moins de galère.

🛠️ Architecture réseau après mise en place :

scss

[WAN] ↓

[OPNsense NAT/Firewall]

↓

[DMZ] ↳ Reverse Proxy (Nginx, IP : 192.168.30.3)

 n        ↳ redirige vers 192.168.20.3 (GLPI)

[LAN] ↳ Serveur GLPI (SRV - IP : 192.168.20.3)

🔥 Détail des étapes :

1. Installer un Reverse Proxy (Nginx) en DMZ

• VM ou serveur avec IP 192.168.30.3.

• Installer Nginx.

• https://wiki.johnnybonnetier.fr/spaces/ds/pages/1769511/Annexe+1+Cr%C3%A9e+un+certificat+avec+ADCS+pour+un+serveur+web

  # 1. Mettre à jour le système
  sudo apt update
  sudo apt upgrade -y
  
  # 2. Installer Nginx
  sudo apt install nginx -y
  
  # 3. Vérifier que Nginx est bien installé et actif
  sudo systemctl status nginx
  
  # 4. Démarrer Nginx si besoin
  sudo systemctl start nginx
  
  # 5. Activer Nginx pour qu’il se lance automatiquement au démarrage
  sudo systemctl enable nginx

  
  

• Configurer un proxy_pass vers ton GLPI :

générer un certificat 

Annexe 1 : Crée un certificat avec ADCS (pour un serveur web)

transférer le fichier base 64 :

scp C:\chemin\vers\ton\fichier.txt user@IP_LINUX:/home/user/

• # Aller dans le dossier de config Nginx
  cd /etc/nginx/sites-available/
  
  # Créer un nouveau fichier pour GLPI
  sudo nano glpi.conf
  
  

    GNU nano 7.2                                                                                         /etc/nginx/sites-available/glpi.conf                                                                                                  ##
  ##  Reverse-proxy GLPI – DMZ (192.168.30.2)
  ##  Accès WAN : https://10.192.0.249
  ##  Backend   : http://192.168.20.3
  ##
  
  # ───────────────────────────────
  #  1) Redirection HTTP  →  HTTPS
  # ───────────────────────────────
  server {
      listen      80  default_server;
      server_name _;                          # accepte n’importe quel Host ou IP
      return 301 https://$host$request_uri;
  }
  
  # ───────────────────────────────
  #  2) Bloc HTTPS « catch-all »
  # ───────────────────────────────
  server {
      listen      443 ssl default_server;
      server_name _  glpi.comptaplus.loc;     # IP 10.192.0.249 + FQDN interne
  
      # ←  fichiers auto-signés (générés avec SAN = IP   [+ DNS si tu veux])
      ssl_certificate     /etc/nginx/ssl/cert.pem;
      ssl_certificate_key /etc/nginx/ssl/key.pem;
  
      # Harden SSL (basique)
      ssl_protocols TLSv1.2 TLSv1.3;
      ssl_prefer_server_ciphers on;
  
      # Headers de sécurité
      add_header Strict-Transport-Security "max-age=31536000; includeSubDomains" always;
      add_header X-Content-Type-Options "nosniff" always;
      add_header X-Frame-Options "DENY" always;
      add_header X-XSS-Protection "1; mode=block" always;
  
      # ── Reverse-proxy ──────────────────────────────────────────────
      location / {
          proxy_pass https://192.168.20.3;           # HTTP interne (terminaison TLS ici)
          proxy_set_header Host              $host;
          proxy_set_header X-Real-IP         $remote_addr;
          proxy_set_header X-Forwarded-For   $proxy_add_x_forwarded_for;
          proxy_set_header X-Forwarded-Proto $scheme;
      }
  }
  
  
  
  
  
  
  
  

• # Créer un lien symbolique dans sites-enabled
  sudo ln -s /etc/nginx/sites-available/glpi.conf /etc/nginx/sites-enabled/
  
  # Tester la configuration Nginx pour être sûr qu’il n’y a pas d'erreurs
  sudo nginx -t
  
  # Recharger Nginx pour appliquer la nouvelle config
  sudo systemctl reload nginx
  
  

 Ici ton Nginx en DMZ reçoit les requêtes HTTPS et renvoie proprement vers ton serveur GLPI interne.

Sur OPNsense (pare-feu) :

1 règles NAT à faire :