Configuration du pare-feu OPNsense

Choisissez le matériel – deux ports réseau minimum

OPNsense est une plateforme de pare-feu et de routage construite sur FreeBSD. Vous l'installez sur votre propre matériel (un PC de rechange, un mini PC ou un petit appareil) et il se situe entre votre modem et votre réseau, décidant du trafic pouvant passer. Le matériel doit être un PC 64 bits avec au moins deux ports réseau : l'un devient le WAN (côté Internet), l'autre le LAN (votre réseau). La directive officielle est d'environ 2 Go de RAM au minimum, 4 Go ou plus pour une utilisation confortable, et un SSD de 40 Go ou plus suffit pour la plupart des foyers et des petits bureaux. Les cartes réseau Intel sont fortement préférées car leurs pilotes FreeBSD sont les plus fiables – les ports Realtek bon marché sont la cause la plus courante d'étranges coupures de réseau. Les mini PC sans ventilateur dotés de deux ports Intel sont le choix populaire à long terme : silencieux et faible consommation.

Téléchargez l'image officielle et vérifiez la somme de contrôle

Accédez à la page de téléchargement officielle d'OPNsense sur opnsense.org et choisissez un miroir près de chez vous. Pour une installation PC normale à partir d'une clé USB, choisissez l'image VGA amd64 pour USB — le nom du fichier se termine par -vga.img.bz2. VGA signifie qu'il s'affiche sur un moniteur ordinaire ; l'image série est destinée aux appareils sans tête avec un câble de console, et l'ISO du DVD est destinée aux machines virtuelles et aux supports optiques. Le fichier est compressé, alors extrayez-le d'abord (7-Zip gère le format .bz2). Vérifiez ensuite le téléchargement : la somme de contrôle SHA-256 est publiée à côté de l'image sur la page de téléchargement – comparez-la avec la somme de contrôle de votre fichier téléchargé avant d'écrire quoi que ce soit. Une somme de contrôle correspondante prouve que le fichier est arrivé complet et intact.

Écrire l'image sur une clé USB

Écrivez l'image extraite sur une clé USB avec un graveur d'images brutes tel que BalenaEtcher ou Rufus en mode DD. Il ne s'agit pas d'une copie de fichier : la clé devient un programme d'installation FreeBSD amorçable et tout ce qui s'y trouve déjà est détruit, utilisez donc une clé qui ne vous intéresse pas ; 4 Go ou plus suffisent. Connectez ensuite les câbles avant de démarrer : le modem dans le port que vous souhaitez utiliser comme WAN, et un ordinateur portable ou un commutateur dans le port que vous souhaitez utiliser comme LAN. Insérez la clé et démarrez le PC à partir de l'USB – généralement une touche du menu de démarrage comme F8, F11 ou F12 au démarrage ; cela varie selon le conseil d'administration.

Installez OPNsense et définissez un mot de passe root fort

Le système en direct démarre à partir d'une invite de connexion à la console. Connectez-vous avec le nom d'utilisateur installer et le mot de passe opnsense, et le programme d'installation démarre. Acceptez le plan de clavier, choisissez Installer, choisissez le disque cible - revérifiez-le - acceptez le système de fichiers par défaut proposé par le programme d'installation et laissez-le copier le système. Une fois terminé, redémarrez et retirez la clé USB. Au premier démarrage, la console peut vous demander d'attribuer des interfaces : choisissez quel port physique est LAN et lequel est WAN, et pour une configuration normale sur un seul réseau, répondez non aux VLAN.

Lors de l'installation, il vous est demandé de définir le mot de passe root : rendez-le long et unique, et stockez-le dans un gestionnaire de mots de passe. Jusqu'à ce que vous définissiez le vôtre, un nouvel OPNsense répond toujours au mot de passe par défaut bien connu opnsense pour le compte root, que tout le monde peut rechercher. L'installation n'est pas terminée tant que cette valeur par défaut est toujours active.

Première connexion et assistant de configuration

Connectez un ordinateur portable au port LAN. Il devrait recevoir une adresse automatiquement, car OPNsense exécute par défaut un serveur DHCP sur le réseau local, distribuant des adresses dans la plage 192.168.1.x. Ouvrez l'interface Web dans le navigateur :

https://192.168.1.1

Your browser will warn about the certificate — that is expected on a fresh install, because the box created its own self-signed certificate; proceed to the site. Log in as root with the password you set during the install, and walk through the setup wizard: the hostname and your own local domain (pick a private name such as home.arpa, not a real public domain), DNS servers (or leave the defaults), the correct time zone — wrong time breaks certificates and makes logs useless — and the WAN type: DHCP for most home connections, PPPoE if your ISP gave you a username and password.

Configurer DHCP et DNS

Une fois le pare-feu activé, terminez les tâches de base quotidiennes. Le résolveur DNS intégré (Unbound) d'OPNsense est activé par défaut et constitue tout ce dont la plupart des réseaux ont besoin : vos appareils utilisent déjà le pare-feu comme serveur DNS. Ce que vous ajoutez manuellement est une certitude pour les appareils qui ne doivent jamais bouger : les imprimantes, un NAS et les caméras reçoivent des mappings DHCP statiques, donc chacun reçoit toujours la même adresse (dans les versions récentes sous Services → DHCP — Kea DHCP ; ISC DHCP dans les anciennes). Les mappages statiques vous permettent également de donner des noms locaux à vos appareils, afin que vous puissiez les atteindre par leur nom au lieu de mémoriser des numéros.

Accès à distance en toute sécurité – VPN uniquement

Tôt ou tard, vous souhaiterez vérifier le pare-feu de l'extérieur. Faites-le en toute sécurité : l'interface Web et SSH sont les clés de l'ensemble du réseau, ils ne sont donc jamais ouverts directement à Internet. La voie sûre est un VPN : connectez-vous d’abord à votre réseau avec un VPN, puis ouvrez l’interface Web exactement comme si vous étiez assis à la maison. Un mot de passe fort ne constitue pas à lui seul un substitut : une page d'administration exposée à Internet est trouvée par des scanners en quelques heures et attaquée 24 heures sur 24.

Mettre à jour, sauvegarder la configuration et mettre en ligne

Deux habitudes terminent la configuration. Tout d’abord, les mises à jour : une nouvelle installation n’est jamais entièrement à jour et un pare-feu est exactement le périphérique qui ne doit pas exécuter d’anciens logiciels : accédez à Système → Micrologiciel et exécutez les mises à jour. Deuxièmement, la sauvegarde de la configuration : téléchargez-la depuis Système → Configuration → Sauvegardes et conservez le fichier hors de la boîte. Ce petit fichier reconstruit l'intégralité de votre configuration en quelques minutes si le matériel tombe en panne, alors sauvegardez-le à nouveau après chaque changement significatif, pas une seule fois. Et si jamais vous vous verrouillez hors de l'interface Web avec une erreur de configuration, la console physique est le filet de sécurité : moniteur et clavier sur la boîte, connectez-vous en tant que root et corrigez les adresses de l'interface ou réinitialisez le mot de passe à partir du menu de la console. Ne paniquez jamais et réinstallez ; la console corrige presque tout.