OPNsense : installer, configurer et administrer un pare-feu souverain

• Rôle d'un pare-feu, filtrage à états, UTM et NGFW : ce que chacun fait réellement.
• OPNsense : base FreeBSD et moteur pf, éditeur européen Deciso, licence BSD, cycle de versions semestriel.
• Souveraineté : code ouvert et auditable, absence de dépendance cloud, différence avec les produits qualifiés ANSSI.
• Comparaison avec pfSense, Stormshield, Fortinet et Sophos.
• Éditions Community et Business, plugins officiels et communautaires ; choix de la plateforme (boîtier dédié, serveur, VM sur Proxmox VE).

• Installation sur matériel dédié et en machine virtuelle (cartes VirtIO, désactivation des offloads).
• Affectation des interfaces WAN et LAN depuis la console ; assistant de configuration.
• Sécurisation de l'administration : HTTPS, interfaces d'écoute, accès SSH par clé, règle d'administration explicite à la place de la règle anti-verrouillage.
• Mises à jour, choix du miroir et vérification de l'intégrité.
• Première sauvegarde de la configuration (config.xml).

• Conception des zones : administration, serveurs, utilisateurs, invités, DMZ.
• VLAN 802.1Q et interface trunk vers le commutateur ; groupes d'interfaces.
• Services DHCP avec Dnsmasq ou Kea.
• Résolveur DNS Unbound : DNS over TLS, listes de blocage, redirections de domaines internes.
• Routage statique, passerelles, surveillance de passerelle et présentation du multi-WAN.

• Traitement des paquets : ordre d'évaluation, option quick, règles flottantes, règles de groupe.
• Principe du refus par défaut, y compris pour les flux sortants.
• Alias : hôtes, réseaux, ports, tables d'URL, GeoIP.
• Matrice de flux : de l'expression du besoin à la règle.
• Journalisation des règles et lecture du journal en temps réel ; planification et limitation de débit (présentation).

• Redirection de ports et règles de filtrage associées.
• NAT source : modes automatique, hybride et manuel ; NAT 1:1.
• Réflexion NAT et alternative par DNS interne.
• Pièges courants : double NAT, publication directe de services sensibles.

• Choisir entre WireGuard, IPsec et OpenVPN.
• WireGuard : accès nomade et interconnexion de sites.
• IPsec site à site : phases, propositions cryptographiques, interopérabilité avec d'autres pare-feux.
• OpenVPN pour les utilisateurs nomades avec authentification forte TOTP.
• Règles de filtrage du trafic VPN et diagnostic d'un tunnel qui ne monte pas.

• Suricata en IDS puis en IPS : modes netmap et divert, impact sur les performances.
• Jeux de règles (ET Open, abuse.ch) et politiques de blocage ; traitement des faux positifs.
• Filtrage DNS comme première ligne de défense ; plugin CrowdSec.
• Présentation du proxy web et de ses limites face au trafic chiffré.

• Utilisateurs, groupes et privilèges : moindre privilège pour l'administration.
• Authentification forte TOTP et annuaire LDAP ou Active Directory.
• Haute disponibilité : adresses virtuelles CARP, synchronisation des états (pfsync) et de la configuration.
• Démonstration d'une bascule entre deux pare-feux.

• Mises à jour mineures et montée de version majeure : préparation et retour arrière.
• Sauvegarde automatique et chiffrée de la configuration, restauration.
• Envoi des journaux vers un syslog distant ou un SIEM (Wazuh).
• Supervision : Monit, SNMP, agent Zabbix, statistiques de trafic (Insight, NetFlow) ; API REST et automatisation.
• Diagnostic : capture de paquets, table d'états, pfctl, tests de connectivité.

Mise en situation finale : sécuriser le réseau d'une PME multi-sites à partir d'un cahier des charges.