Réseau et pare-feu : pfSense, OPNsense et proxy

Cette rubrique sert autant l'étudiant de BTS SIO ou de TSSR qui monte son premier lab que l'administrateur qui doit modifier un pare-feu en production. Elle s'appuie sur pfSense, le pare-feu et routeur basé sur FreeBSD édité par Netgate, compare son cousin OPNsense, et explique la différence entre proxy et reverse proxy, deux briques qui vivent juste à côté du pare-feu.

Chaque tutoriel indique la version qu'il vise et renvoie à la documentation de l'éditeur. Les manipulations se font d'abord dans une machine virtuelle de test, avec un instantané (snapshot) avant chaque changement important.

pfSense CE et pfSense Plus : deux éditions, deux numérotations

Netgate distribue pfSense en deux éditions. Le nom « pfSense Plus » remplace depuis le début de 2021 l'ancien « pfSense Factory Edition ». La différence se voit d'abord dans les numéros de version :

Pour un lab, l'édition CE suffit : c'est elle que l'installateur propose à une machine virtuelle sans abonnement. pfSense Plus s'utilise sur le matériel Netgate ou avec un abonnement, aux conditions publiées par Netgate. Vérifiez la page des versions avant d'installer : ces numéros changent plusieurs fois par an.

Un changement piège presque tous les anciens tutoriels : l'image ne contient plus pfSense lui-même. Le Netgate Installer télécharge les paquets pendant l'installation, ce qui impose un accès Internet sur l'interface WAN dès le premier démarrage, et l'image se récupère sur la boutique Netgate avec un compte gratuit.

Le parcours du lab, étape par étape

Les tutoriels pfSense se lisent dans l'ordre, chacun partant de l'état laissé par le précédent.

1. Installer le pare-feu. Le tutoriel pour installer pfSense dans VirtualBox monte la machine avec deux cartes : WAN en NAT, LAN en réseau interne. Il détaille l'installateur en ligne et l'accès à l'interface web.
2. Faire la première configuration. Sous VMware Workstation, la page sur la configuration de pfSense crée un LAN segment et suit l'assistant écran par écran. Elle place le LAN en 172.16.1.0/24, comme le conseille l'assistant lui-même.
3. Cloisonner les réseaux. Avec une DMZ et un réseau invité, la configuration par défaut ne suffit plus. Le guide des règles firewall pfSense explique l'ordre d'évaluation et la logique du premier match, puis construit un jeu de règles complet.
4. Ouvrir un Wi-Fi invité contrôlé. Le portail captif pfSense avec authentification RADIUS fait vérifier les comptes par le rôle NPS de Windows Server, donc par Active Directory.

Trois notions à maîtriser avant d'écrire une règle

Les erreurs de pare-feu viennent rarement de la syntaxe, mais d'une idée fausse sur la lecture des règles.

• Le filtrage se fait à l'entrée. Les règles d'un onglet d'interface s'appliquent au trafic qui entre par cette interface. Le trafic sorti du LAN se règle donc sur l'onglet LAN.
• La première règle qui correspond l'emporte. L'ordre compte plus que le contenu : une règle permissive placée trop haut annule tout ce qui suit.
• Une nouvelle interface ne laisse rien passer. Sans règle, tout tombe dans le refus par défaut, y compris le DNS. C'est voulu, et c'est la bonne pratique.

pfSense ou OPNsense ?

OPNsense est issu de pfSense : selon sa propre documentation, ses fondateurs ont choisi en 2014 de bifurquer (fork) du projet, et il reste aujourd'hui moins de 10 % du code d'origine. Les deux partagent donc des notions communes (interfaces, alias, règles par onglet), mais divergent sur l'accès au logiciel, le modèle d'édition et le rythme des versions.

Le comparatif OPNsense vs pfSense aligne ces critères dans un tableau, sans désigner de gagnant. Il signale aussi la nuance qui surprend en migration : l'option « quick » d'OPNsense, qui permet une évaluation au dernier match. Aucune des deux documentations ne décrit d'import direct d'une configuration de l'un vers l'autre.

Proxy et reverse proxy : l'autre côté du pare-feu

Contrôler la navigation des postes et publier une application interne sont deux rôles distincts, que la documentation d'Apache HTTP Server sépare nettement.

La page proxy vs reverse proxy donne les exemples de configuration nginx et Apache, et l'avertissement à retenir : un proxy direct ouvert à tous est dangereux. Un reverse proxy ne remplace pas un pare-feu ; il se place derrière lui, en DMZ.

Par où commencer

• Vous préparez un examen ou un premier lab : suivez les quatre étapes pfSense dans l'ordre, sans en sauter.
• Vous administrez déjà un pare-feu : allez aux règles et au portail captif, et gardez le comparatif OPNsense pour une décision de migration.
• Vous publiez une application web : commencez par le reverse proxy, puis isolez-le avec une DMZ.

Les machines virtuelles du lab se créent avec les tutoriels de virtualisation de Pixelabs.