Aller au contenu

Déployer un pare-feu : pfSense

1. Objectif du cours

Découvrir pfSense comme solution de pare-feu/routeur open source pour sécuriser des réseaux. Savoir installer en virtualisation, effectuer la configuration initiale d'interfaces et préparer la mise en place de règles et de VPN.

2. Notions et définitions essentielles

  • Pare‑feu : dispositif qui surveille, filtre et contrôle le trafic réseau entrant/sortant selon des règles (IP, ports, protocoles) pour protéger contre accès non autorisés et menaces.
  • pfSense : distribution open source basée sur FreeBSD, utilisée comme pare‑feu, routeur et passerelle de sécurité.
  • Règles de pare‑feu : directives qui autorisent ou bloquent le trafic en fonction de critères (IP source/destination, ports, protocoles).
  • VPN : canal chiffré pour relier des réseaux ou utilisateurs distants (pfSense supporte OpenVPN et IPsec).

3. Fonctionnement et principes

pfSense s'installe sur serveur physique ou virtuel et sépare les rôles réseau via des interfaces (au minimum LAN et WAN, éventuellement DMZ). L'administration se fait principalement via une interface web conviviale ou via SSH. Le pare‑feu applique des règles séquentielles aux paquets : si un paquet correspond à une règle « autoriser », il passe ; s'il correspond à une règle « bloquer », il est rejeté ; sinon la règle par défaut s'applique (généralement bloquer). pfSense offre aussi NAT, redirection de ports, proxy, outils de surveillance, extensions/packages et fonctions VPN pour sécuriser les accès distants.

4. Commandes et manipulations

  • Installation ISO :
  • Télécharger l'image ISO depuis https://www.pfsense.org/download/ en sélectionnant l'environnement 64 bits.
  • Créer une machine virtuelle (Hyper‑V ou VirtualBox) et monter l'ISO pour lancer l'installation.
  • Configuration initiale via console/installer (regroupées) :
  • Assign interfaces : définir le rôle des cartes réseau (LAN, WAN, éventuellement DMZ).
  • Set interfaces IP address : attribuer les adresses IP des interfaces pour permettre l'accès au web UI.
  • Accès et configuration post‑installation :
  • Se connecter à l'interface web depuis une machine cliente située sur le même réseau LAN.
  • À l'étape 6 de l'assistant, changer le mot de passe admin.
  • Poursuivre l'assistant (nom, domaine, fuseau horaire, IP si non fait) puis commencer la création de règles.

5. Sécurité et bonnes pratiques

  • Changer le mot de passe admin dès l'étape prévue par l'assistant.
  • Utiliser un VPN pour les accès distants afin d'assurer un canal chiffré (gestion de clés/certificats et configuration des clients à prévoir).
  • Séparer les réseaux par VLANs et appliquer des règles strictes entre eux pour limiter l'accès aux ressources sensibles, en veillant à l'équilibre sécurité/ergonomie.
  • Administrer à distance via SSH si nécessaire, en gardant une traçabilité des journaux d'événements pour audit et diagnostic.
  • Tenir compte de la gestion des certificats et de l'optimisation des performances lors du déploiement du VPN.

6. Points essentiels à retenir pour le TSSR

  • pfSense = distribution open source basée sur FreeBSD, adaptée de la maison à l'entreprise.
  • Développé principalement en PHP et administrable via web UI ou SSH.
  • Fonctionnalités clés : filtrage de paquets, NAT, redirection de ports, VPN (OpenVPN, IPsec), proxy et surveillance du trafic.
  • Supporte l'ajout de packages pour étendre les fonctionnalités.
  • Peut fonctionner sur du matériel peu puissant — adapté au recyclage d'équipements.
  • Installation en VM courante pour démonstration (Hyper‑V, VirtualBox).
  • Nécessite au minimum deux interfaces réseau (LAN et WAN) pour un déploiement standard.
  • Concevoir des règles de pare‑feu précises entre VLANs pour protéger les données sensibles tout en mesurant l'impact sur la collaboration.

7. Tableau récapitulatif

Élément Usage / Remarque
Base OS FreeBSD : stabilité et fonctionnalités réseau
Administration Interface web conviviale ou SSH pour l'accès distant
Interfaces réseau Minimum LAN + WAN ; option DMZ pour services exposés
VPN Supporte OpenVPN et IPsec pour accès distants sécurisés
Déploiement Physique ou virtuel (Hyper‑V, VirtualBox)
Extensibilité Packages additionnels pour fonctionnalités supplémentaires

8. Vérifications pratiques

  • Vérifier que la VM démarre sur l'ISO d'installation et affiche l'interface d'assignation d'interfaces.
  • Confirmer que les interfaces configurées apparaissent dans le menu Assign interfaces / Set interfaces IP address.
  • Depuis un client du même réseau LAN, accéder à l'interface web de pfSense pour s'assurer que la configuration réseau permet la connexion.
  • Vérifier que l'assistant indique la fin de la configuration (étape de confirmation) et que la création de règles est possible.
  • Consulter les journaux pour confirmer la traçabilité des événements (logs) après modifications.

9. Flashcards Anki

Sur quel système d'exploitation est basé pfSense? :: FreeBSD En quelle année pfSense a-t-il été créé? :: 2004 Qui sont les deux développeurs fondateurs de pfSense? :: Chris Buechler et Scott Ullrich Quel langage est principalement utilisé pour développer pfSense? :: PHP Quels protocoles VPN sont cités comme pris en charge par pfSense? :: OpenVPN et IPsec Par quel protocole pfSense est-il souvent administré à distance? :: SSH Quel est l'objectif principal d'un pare‑feu selon le cours? :: Surveiller, filtrer et contrôler le trafic réseau pour protéger contre accès non autorisés et menaces Quelle étape initiale est recommandée pour installer pfSense en VM? :: Télécharger l'ISO sur https://www.pfsense.org/download/ et sélectionner 64 bits Combien d'interfaces réseau minimum sont généralement nécessaires pour pfSense? :: Au minimum 2 (LAN et WAN) Quelle action de sécurité est soulignée à l'étape 6 de la configuration? :: Changer le mot de passe admin