PFSENSE — Guide Complet & Professionnel

Guide professionnel niveau avancé — pfSense 2.7+ · FreeBSD · OpenVPN · IPsec · VLAN · HAProxy · Snort / Suricata

Table des matières

1. Prérequis matériels & environnement
2. Installation de pfSense
3. Configuration initiale & interfaces
4. Règles de pare-feu avancées
5. VLAN & segmentation réseau
6. VPN — OpenVPN & IPsec
7. IDS/IPS — Snort & Suricata
8. Haute disponibilité (CARP)
9. Supervision & alertes
10. Bonnes pratiques & durcissement

1. Prérequis matériels & environnement

pfSense repose sur FreeBSD et requiert du matériel dédié ou virtualisé pour des performances optimales en production.

ℹ️ Info — Pour la virtualisation (VMware ESXi / Proxmox), activez la passthrough de NIC (SR-IOV) pour des performances proches du bare-metal. Évitez les NIC virtuels pour de la production.

Fig. 1.1 — Architecture réseau complète avec pfSense en border firewall, segmentation VLAN et VPN

2. Installation de pfSense

Téléchargez l’image ISO depuis netgate.com et créez un media bootable.

Étapes d’installation

1. Télécharger l’ISO officielle sur netgate.com/pfsense-plus-software (version CE ou Plus selon licence)
2. Créer une clé USB bootable avec Balena Etcher ou Rufus (UEFI conseillé)
3. Démarrer sur la clé — sélectionner Install pfSense dans le menu
4. Choisir le mode de partitionnement : Auto ZFS recommandé pour la redondance
5. Sélectionner le disque cible — confirmer la destruction des données
6. Rebooter après installation et retirer le media

⚠️ Attention — Ne jamais installer pfSense sur le même disque que d’autres systèmes. Le partitionnement efface intégralement le disque cible.

Fig. 2.1 — Flux d’installation pfSense en 6 étapes — étape 4 (ZFS) est critique

3. Configuration initiale & interfaces

Au premier démarrage, pfSense lance un assistant accessible via la WebGUI sur https://192.168.1.1.

Accès initial WebGUI

URL      : https://192.168.1.1
Login    : admin
Password : pfsense

⚠ Changer immédiatement le mot de passe via System > User Manager

Attribution des interfaces

Naviguer vers Interfaces > Assignments. Identifier chaque interface physique via son adresse MAC ou via le test de déconnexion câble intégré.

Fig. 3.1 — Assignation des interfaces réseau dans pfSense

4. Règles de pare-feu avancées

pfSense utilise pf (Packet Filter FreeBSD) comme moteur. Les règles s’appliquent de haut en bas, la première règle correspondante gagnant.

🚫 Critique — Ne jamais utiliser la règle “any to any” en production. Définissez toujours des alias nommés et des règles par service.

Création d’alias

Alias: ADMIN_HOSTS
Type: Host(s)
IPs: 10.0.0.10, 10.0.0.11, 172.16.0.5

Alias: SERVICES_WEB
Type: Port(s)
Ports: 80, 443, 8443

Exemple de règles LAN → WAN

Fig. 4.1 — Logique de traitement top-down des règles pfSense

5. VLAN & segmentation réseau

La segmentation via VLAN (802.1Q) est essentielle pour isoler les flux et limiter le rayon d’impact d’une compromission.

Configuration VLAN sur pfSense

1. Naviguer vers Interfaces > VLANs — Cliquer sur Add
2. Sélectionner l’interface parente (ex: igb1) et saisir le VLAN ID (ex: 20)
3. Assigner le VLAN créé dans Interfaces > Assignments
4. Activer l’interface et configurer son adresse IP
5. Créer les règles de pare-feu inter-VLAN selon la politique de sécurité

ℹ️ Info — Configurez le switch amont en mode trunk sur le port connecté à pfSense. Utilisez un VLAN natif dédié (non-1) pour le management.

Fig. 5.1 — Segmentation en 4 VLANs avec trunk 802.1Q vers pfSense

6. VPN — OpenVPN & IPsec

pfSense supporte nativement OpenVPN (accès distant) et IPsec (site-à-site).

OpenVPN — Accès distant sécurisé

1. Créer une CA interne : System > Cert. Manager > CAs > Add
2. Générer un certificat serveur : System > Cert. Manager > Certificates
3. Naviguer vers VPN > OpenVPN > Servers > Add
4. Configurer : Protocol UDP, port 1194, TLS Authentication activée
5. Choisir le réseau tunnel (ex: 10.8.0.0/24) et pousser les routes LAN
6. Créer la règle WAN : autoriser UDP 1194 entrant
7. Exporter les configs client via le package openvpn-client-export

# Paramètres sécurisés recommandés
tls-version-min 1.2
cipher AES-256-GCM
auth SHA256
tls-auth ta.key 0
remote-cert-tls server

IPsec — Tunnel site-à-site (IKEv2)

Fig. 6.1 — Architecture VPN : OpenVPN (accès distant) et IPsec site-à-site en parallèle

7. IDS/IPS — Snort & Suricata

pfSense intègre Snort et Suricata comme packages IDS/IPS. Suricata est préféré pour ses performances multi-thread.

Installation de Suricata

1. Naviguer vers System > Package Manager > Available Packages
2. Rechercher et installer Suricata
3. Aller dans Services > Suricata > Interfaces — Ajouter WAN
4. Activer les sources de règles : ET Open, Snort Community Rules
5. Configurer le mode : IDS (alerte) d’abord, puis IPS (blocage) après validation
6. Activer la suppression des faux-positifs via les listes de suppression

⚠️ Attention — Commencez toujours en mode IDS uniquement pour analyser les faux-positifs avant d’activer le blocage.

Fig. 7.1 — Pipeline Suricata : IDS (alerte) vs IPS (blocage)

8. Haute disponibilité (CARP)

pfSense implémente la haute disponibilité via CARP et pfsync pour la synchronisation des états entre nœuds actif et passif.

Configuration HA

1. Configurer une interface pfsync dédiée (réseau de synchronisation isolé)
2. Sur le Master : System > High Avail. Sync — activer pfsync, configurer l’IP du peer
3. Créer les VIPs CARP sur chaque interface (WAN, LAN, etc.)
4. Configurer les règles et services pour utiliser les VIPs comme adresses
5. Tester le failover en stoppant le Master et vérifiant la bascule automatique

✅ Bon à savoir — En HA correctement configuré, le temps de bascule est inférieur à 1 seconde grâce à la synchronisation pfsync.

Fig. 8.1 — Architecture HA avec CARP VIPs partagées et pfsync

9. Supervision & alertes

Une bonne supervision combine les logs internes pfSense, l’export SNMP/syslog et des outils externes.

Configuration syslog externe

System > Advanced > Notifications

Remote Log Servers: 10.0.10.50:514
Protocol: UDP
Log contents: Firewall Events, DHCP, VPN, System

SNMP pour supervision réseau

1. Installer le package Net-SNMP via le gestionnaire
2. Configurer la communauté SNMP v3 avec authentification (éviter v1/v2c)
3. Restreindre l’accès SNMP aux seules IP de supervision
4. Intégrer dans Zabbix ou LibreNMS avec les OIDs pfSense

Fig. 9.1 — Écosystème de supervision pfSense

10. Bonnes pratiques & durcissement

🔐 Critique — Ne jamais exposer la WebGUI sur le WAN. Si un accès distant est nécessaire, passez systématiquement par le VPN.

Fig. 10.1 — Mesures de durcissement pfSense — réduction de la surface d’attaque

pfSense™ est une marque déposée de Netgate. Ce tutoriel est fourni à des fins éducatives.