Runbook 05 : Exposer un service sur internet¶

Objectif : rendre un service de la DMZ joignable par un nom de domaine, depuis internet et depuis le LAN. Décision : ADR-0011.

Avant toute modification : snapshot d'OPNsense et de la VM concernée.

1. Adresse WAN stable¶

Réservation DHCP sur la box pour l'adresse WAN d'OPNsense (identifiée par son nom d'hôte). Vérification : Interfaces → Overview → WAN → Release / Renew, l'adresse doit rester identique.

2. DDNS¶

Plugin os-ddclient.
Compte : protocole DynDNS2 du registrar, identifiants DynDNS dédiés (ni le compte, ni le jeton d'API).
Méthode de détection : service web, jamais « interface » (l'interface WAN porte une adresse privée de la box).

✅ dig +short <nom-ddns> = curl -s ifconfig.me.

3. DNS public¶

CNAME <service> → <nom-ddns>.

4. Redirection sur la box¶

Port du service (TCP pour Minecraft Java) → adresse WAN d'OPNsense.

5. Redirection dans OPNsense¶

Alias de port (Firewall → Aliases, type Port(s)), par exemple minecraft = 25565.
Firewall → NAT → Port Forward / Destination NAT :

Champ	Valeur
Interface	WAN
Version	IPv4
Source	any
Destination	WAN address, port = alias
Cible	IP du service, port = alias
Règle de pare-feu	associée (pas Manual)

La règle de pare-feu générée apparaît dans Automatically generated rules, liée à la redirection (icône de lien) : on la modifie via la redirection.

6. Split DNS¶

Unbound → Overrides → Host Overrides : <service>.<domaine> → IP privée du service. ✅ dig +short <service>.<domaine> @10.0.1.1 renvoie l'IP privée.

7. Test depuis l'extérieur¶

Poste sur un réseau mobile (Ethernet débranché) : dig, nc -vz <service>.<domaine> <port>, puis connexion applicative.

Diagnostic, segment par segment¶

Le DNS public renvoie-t-il l'IP publique actuelle ?
Les paquets atteignent-ils OPNsense ? tcpdump -ni vtnet1 tcp port <port> pendant une tentative externe.
Rien : redirection de la box.
Paquets reçus : journal du pare-feu (Live View).
Source des paquets = adresse de la box au lieu du client : la box réécrit la source, et le blocage des réseaux privés du WAN rejette le trafic.

Après validation¶

Désactiver le journal de la redirection.
Contrôle d'accès applicatif actif (liste blanche).