OPNsense ou pfSense : comparer les deux pare-feu libres
Même famille, même socle FreeBSD, des choix différents sur les éditions, le téléchargement et le rythme des versions. Ce comparatif aligne les critères vérifiables, sans désigner de gagnant.
La décision tient en une phrase : les deux pare-feu couvrent les besoins courants d'une PME ou d'un lab (filtrage, NAT, VPN, portail captif, DHCP, DNS), et le choix se fait surtout sur le modèle d'édition, la façon d'obtenir le logiciel et la cadence des mises à jour qui vous conviennent. Ce qui suit compare ces points à partir des documentations officielles de Netgate et d'OPNsense, consultées le 12 octobre 2026.
Deux projets, une origine commune
pfSense est édité par Netgate en deux éditions : pfSense CE et pfSense Plus. Les numéros de version le montrent : CE suit le format majeure.mineure.correctif (2.9.0), Plus le format année.mois.correctif (26.07). Plus s'utilise sur le matériel vendu par Netgate ou, sur une machine virtuelle ou un autre matériel, avec un abonnement.
OPNsense se présente comme une plateforme de pare-feu et de routage open source basée sur FreeBSD. Sa propre documentation raconte qu'en 2014, ses fondateurs ont choisi de bifurquer (fork) du projet pfSense, et qu'il ne reste aujourd'hui qu'une faible part du code d'origine. Le projet propose une Community Edition et une Business Edition, cette dernière orientée vers les usages critiques avec une intégration plus conservatrice des changements.
Les deux partagent donc des notions communes : interfaces WAN et LAN, alias, règles par onglet d'interface, règles flottantes. Un administrateur qui connaît l'un se repère vite dans l'autre.
Le tableau des critères
| Critère | pfSense | OPNsense |
|---|---|---|
| Éditions | CE et Plus | Community Edition et Business Edition |
| Versions actuelles au 12/10/2026 | supportées : CE 2.9.0 et 2.8.1 ; Plus 26.07, 26.03.1, 26.03 | dernière CE : 26.7.6 ; dernière série BE : 26.4 |
| Rythme visible dans la liste des versions | CE : 2.8.0, 2.8.1, 2.9.0 ; Plus : 26.03, 26.07 | deux séries CE par an (x.1 et x.7) |
| Obtention du logiciel | boutique Netgate avec compte, installateur gratuit | miroirs de téléchargement publics |
| Installation | Netgate Installer, en ligne, Internet obligatoire sur le WAN | images complètes (dvd, vga, serial) avec installateur, ou image nano préinstallable |
| Vérification de l'image | SHA-256 du fichier compressé | somme SHA-256 et signature OpenSSL avec clé publique |
| Ordre des règles | Floating, puis groupes, puis interfaces ; premier match | Floating, puis groupes, puis interfaces ; premier match si « quick » (par défaut) |
| Fonctions listées par l'éditeur | portail captif, VPN, filtrage avec état, paquets | portail captif avec vouchers, proxy cache, détection et prévention d'intrusion, haute disponibilité |
Deux nuances sur ce tableau. D'abord, les listes de fonctions reprennent ce que chaque éditeur documente ; elles ne disent rien de la qualité de chaque fonction dans votre contexte. Ensuite, les numéros de version changent vite : vérifiez les pages de versions avant de planifier une installation.
Ce qui change vraiment au quotidien
L'accès au logiciel
C'est la différence la plus concrète pour un lab. Chez Netgate, l'image s'obtient par la boutique, avec un compte, et l'installateur télécharge pfSense pendant l'installation ; une VM sans accès Internet ne peut pas être installée. Le tutoriel pfSense dans VirtualBox détaille ce parcours.
Chez OPNsense, l'image se télécharge depuis un miroir avec son fichier de sommes de contrôle, sa signature et une clé publique. La documentation insiste : ne faites pas confiance à la clé publique du miroir seul, comparez-la à une autre source.
- pfSense : compte Netgate, installateur en ligne, choix de la version pendant l'installation.
- OPNsense : téléchargement libre, image hors ligne, vérification cryptographique à faire soi-même.
La logique des règles
Les deux projets traitent les règles flottantes en premier, puis les groupes d'interfaces, puis les onglets d'interface. OPNsense ajoute une option visible sur chaque règle : quick. Activée par défaut, elle donne le même comportement « première règle qui correspond » que pfSense ; désactivée, c'est la dernière règle correspondante qui l'emporte. Sa règle de refus par défaut repose sur ce mécanisme. OPNsense rappelle aussi que les règles NAT sont toujours traitées avant les règles de filtrage.
| Notion | pfSense | OPNsense |
|---|---|---|
| Évaluation par défaut | premier match | premier match (quick) |
| Dernier match possible | non documenté sur les onglets d'interface | oui, règle sans quick |
| Fichier des règles générées | /tmp/rules.debug | /tmp/rules.debug |
Si vous écrivez des jeux de règles multi-LAN, le tutoriel sur les règles firewall pfSense s'applique presque tel quel sur OPNsense, à l'option quick près.
Le portail captif et l'authentification
Les deux intègrent un portail captif. Côté pfSense, la documentation précise ses limites : pas de compatibilité IPv6 et pas de portail « inverse » pour le trafic entrant. Le montage avec un serveur RADIUS Windows est décrit dans portail captif pfSense avec authentification RADIUS.
Quel profil pour quel pare-feu ?
Aucun classement ici : les deux conviennent. Ces repères aident à trancher selon votre situation.
- Votre cours ou votre documentation interne s'appuie sur pfSense : restez sur pfSense CE pour coller aux captures et aux noms de menus.
- Vous voulez un téléchargement hors ligne et vérifiable sans compte : OPNsense répond directement à ce besoin.
- Vous voulez un support commercial : Netgate propose son assistance (TAC) et pfSense Plus sur son matériel ; OPNsense décrit ses offres commerciales et son édition Business. Comparez les offres auprès de chacun.
- Vous administrez déjà l'un des deux : le coût de la migration (règles, alias, VPN, certificats à recréer) dépasse souvent le gain.
Migrer de l'un à l'autre
Les documentations consultées ne décrivent aucun import direct d'une configuration pfSense dans OPNsense, ni l'inverse ; l'outil OPNsense Importer restaure une configuration OPNsense. Comptez donc une reconstruction : inventaire des interfaces, alias, règles, NAT, VPN et services, puis ressaisie et tests sur un lab avant la bascule. Gardez l'ancien pare-feu prêt à reprendre la main.
Pour démarrer un lab pfSense complet, voyez aussi la configuration de pfSense et la rubrique réseau et pare-feu.
Questions fréquentes
OPNsense est-il un fork de pfSense ?
Oui. La documentation d'OPNsense indique que le projet a bifurqué de pfSense en 2014. Elle précise qu'il ne reste aujourd'hui qu'une faible part du code d'origine.
Quelle différence entre pfSense CE et pfSense Plus ?
CE se numérote en majeure.mineure.correctif, par exemple 2.9.0. Plus se numérote en année.mois, par exemple 26.07, et s'utilise sur matériel Netgate ou avec un abonnement sur une autre machine.
Faut-il un compte pour télécharger pfSense ou OPNsense ?
Pour pfSense, oui : l'installateur gratuit se récupère par la boutique Netgate avec un compte. OPNsense se télécharge depuis des miroirs publics, avec somme de contrôle et signature à vérifier.
Les règles de pare-feu fonctionnent-elles pareil ?
Presque. Les deux traitent les règles flottantes, puis de groupe, puis d'interface, en premier match. OPNsense permet en plus de désactiver l'option quick sur une règle, qui applique alors le dernier match.
Peut-on importer une configuration pfSense dans OPNsense ?
Les documentations consultées ne décrivent pas d'import direct entre les deux. Prévoyez de recréer interfaces, alias, règles et VPN, et testez sur un lab avant la bascule.