OPNsense de A à Z : installer et paramétrer un pare-feu avec VLAN, DMZ et VPN

Version utilisée : OPNsense 26.7, sortie en juillet 2026 (26.7.7 au 20 octobre 2026). Les menus sont donnés en anglais, langue par défaut de l'interface ; ils se traduisent dans System › Settings › General › Language, mais les forums et la documentation sont en anglais.

1. Ce qu'il faut

Le plan d'adressage, repris de la fiche sur les pare-feu :

Le réseau ADMIN passe non tagué sur igc1 : c'est le réseau LAN d'origine d'OPNsense, renommé. Côté switch, il correspond au VLAN natif 10 du port relié au pare-feu. Ainsi, on garde toujours l'accès à l'interface pendant la création des VLAN.

2. Installer

1. Démarrez sur l'image. À l'invite de connexion, entrez l'utilisateur installer et le mot de passe opnsense.
2. Choisissez la disposition du clavier (French), puis Install (ZFS) : ZFS est le choix recommandé, plus robuste face aux coupures de courant.
3. Sélectionnez le disque, confirmez son effacement.
4. Définissez le mot de passe root : long, unique, rangé dans votre gestionnaire de mots de passe.
5. Retirez le support d'installation et redémarrez.

Au premier démarrage, la console propose un menu. Si les cartes n'ont pas été reconnues dans le bon ordre, choisissez 1) Assign interfaces, et indiquez igc0 pour le WAN (vers la box) et igc1 pour le LAN (vers le switch). Répondez N aux questions sur les LAGG et les VLAN : on créera les VLAN dans l'interface web.

Par défaut, le LAN répond en 192.168.1.1. Changez-le tout de suite avec 2) Set interface IP address : choisissez LAN, adresse 10.10.10.1, masque 24, pas de passerelle, et acceptez d'activer le serveur DHCP sur le LAN (plage 10.10.10.100 à 10.10.10.199) pour obtenir une adresse sur votre poste d'administration.

Branchez votre poste sur le réseau ADMIN et ouvrez https://10.10.10.1. Acceptez l'avertissement du certificat autosigné et connectez-vous en root.

3. L'assistant de démarrage

L'assistant se lance à la première connexion (sinon : System › Wizard).

Ensuite :

1. Renommez le LAN : Interfaces › [LAN], champ Description : ADMIN. Enregistrez et appliquez.
2. Mettez à jour : System › Firmware › Status › Check for updates, puis installez et redémarrez si demandé.

4. Créer les VLAN

Déclarer les VLAN

Dans Interfaces › Devices › VLAN, cliquez sur + pour chaque VLAN : Parent igc1, VLAN tag 20, 30, 40, 50 puis 60, et une Description.

Affecter et adresser chaque VLAN

1. Interfaces › Assignments : dans la liste « New interface », choisissez vlan0.20, saisissez la description BUREAUX, cliquez sur +, puis Save. Répétez pour chaque VLAN.
2. Ouvrez chaque nouvelle interface (menu Interfaces › [BUREAUX]…) et réglez-la comme ci-dessous, avec l'adresse du tableau de la section 1.

Régler le switch

Voir comprendre les VLAN pour la différence entre ports tagués et non tagués.

5. DHCP et DNS

Depuis la version 26.1, Dnsmasq est le serveur DHCP par défaut des nouvelles installations, et Unbound reste le DNS.

DHCP avec Dnsmasq

1. Services › Dnsmasq DNS & DHCP › General : cochez Enable, sélectionnez dans Interface les interfaces qui distribueront des adresses, cochez DHCP fqdn pour que les noms des appareils soient enregistrés, et réglez Listen port sur 53053 pour laisser le port 53 à Unbound.
2. Services › Dnsmasq DNS & DHCP › DHCP ranges : une plage par interface.

3. Réservations pour les appareils qui doivent garder la même adresse (imprimantes, caméras) : Services › Dnsmasq DNS & DHCP › Hosts, avec le nom, l'adresse IP et l'adresse MAC.
4. Si vous avez un domaine Active Directory, les postes du VLAN BUREAUX doivent utiliser les contrôleurs de domaine comme DNS. Dans Services › Dnsmasq DNS & DHCP › DHCP options, ajoutez l'option dns-server [6] sur l'interface BUREAUX, avec la valeur 10.10.30.10,10.10.30.11. Voir créer un domaine Active Directory.

DNS avec Unbound

Services › Unbound DNS › General : cochez Enable, choisissez dans Network Interfaces toutes les interfaces internes (pas le WAN), et cochez Enable DNSSEC Support.

• Pour résoudre les noms des appareils enregistrés par Dnsmasq, ajoutez dans Services › Unbound DNS › Query Forwarding le domaine lan.exemple.fr vers le serveur 127.0.0.1, port 53053.
• Pour chiffrer les requêtes vers Internet, déclarez des résolveurs dans Services › Unbound DNS › DNS over TLS.
• Les listes de blocage (publicité, logiciels malveillants) s'activent dans Services › Unbound DNS › Blocklist.

6. Les alias

Les alias donnent un nom à des groupes d'adresses ou de ports. Créez-les dans Firewall › Aliases avant d'écrire les règles.

7. Les règles, zone par zone

Comment OPNsense lit les règles

• Les règles s'écrivent sur l'interface par laquelle le trafic entre : pour filtrer ce que les postes ont le droit de faire, on écrit dans l'onglet BUREAUX.
• Elles sont évaluées de haut en bas, et la première qui correspond s'applique. Ce qui n'est autorisé par aucune règle est bloqué.
• This Firewall désigne toutes les adresses du pare-feu lui-même, y compris son adresse WAN.
• Depuis la version 26.7, la page Firewall › Rules est la nouvelle interface (MVC) : un sélecteur permet d'afficher les règles d'une interface. Après chaque modification, cliquez sur Apply.

BUREAUX

La règle 2 empêche les postes d'atteindre l'interface d'administration du pare-feu, y compris par son adresse WAN publique, que la règle 6 laisserait sinon passer.

La règle 6 est la plus importante à bien écrire : destination RESEAUX_PRIVES avec la case Invert cochée, c'est-à-dire « tout sauf les réseaux privés ».

Les autres zones

Même logique pour chaque interface. [zone] net désigne le réseau de l'interface, [zone] address l'adresse du pare-feu sur cette interface.

Tout le reste est bloqué par la règle implicite : SERVEURS, IOT, INVITES et DMZ ne peuvent ouvrir aucune connexion vers les autres réseaux internes.

8. Publier un serveur en DMZ

Depuis la version 26.1, la redirection de ports s'appelle Destination NAT (Firewall › NAT › Destination NAT), et elle ne crée plus de règle de pare-feu associée : il faut écrire la règle WAN soi-même.

1. Créez la redirection : WAN, TCP, destination WAN address port 443, redirection vers DMZ_WEB port 443.
2. Créez la règle sur l'interface WAN : Pass, TCP, source any, destination DMZ_WEB, port 443 (règle 1 du tableau WAN). La règle porte sur l'adresse après traduction, celle du serveur.
3. Pour que les postes internes joignent le site par son nom public, ne comptez pas sur la réflexion NAT : ajoutez un Host override dans Services › Unbound DNS › Overrides qui donne directement 10.10.60.10 pour www.exemple.fr.

Si plusieurs sites partagent le port 443, publiez un proxy inverse en DMZ (Caddy, Traefik, Nginx Proxy Manager, ou le plugin HAProxy d'OPNsense) qui répartit selon le nom demandé.

9. Sécuriser le pare-feu lui-même

Limiter l'accès à l'interface

System › Settings › Administration :

1. Listen Interfaces : ADMIN et l'interface WireGuard uniquement.
2. HTTP Redirect décoché, Secure Shell désactivé (ou limité à ADMIN avec des clés).
3. La règle anti-lockout autorise toujours l'accès à l'interface depuis le LAN d'origine. Ne la désactivez qu'après avoir vérifié que la règle ADMIN (« Pass ADMIN net → any ») fonctionne, depuis un autre onglet.
4. Double authentification : System › Access › Servers, ajoutez un serveur de type Local + Timebased One Time Password, puis générez le secret TOTP de chaque compte dans System › Access › Users. Basculez l'authentification de l'interface sur ce serveur dans System › Settings › Administration. Voir la double authentification.
5. Créez un compte nominatif (par exemple spo) avec les droits d'administration, et réservez root aux urgences.

VPN WireGuard pour les nomades

1. VPN › WireGuard › Instances, + : nom nomades, port 51820, adresse de tunnel 10.10.99.1/24. Enregistrez, rouvrez l'instance et générez la paire de clés avec la roue dentée.

2. VPN › WireGuard › Peers, + : un pair par appareil (pc-spo en 10.10.99.2/32, tel-spo en 10.10.99.3/32) avec la clé publique de l'appareil. Le Peer generator fait tout en une fois et produit un QR code pour le téléphone.
3. Ajoutez les pairs à l'instance, puis activez WireGuard dans VPN › WireGuard › General.
4. Interfaces › Assignments : affectez wg0 sous le nom WG_NOMADES, activez-la, cochez Lock, sans adresse IP.
5. Règle WAN : Pass, UDP, destination WAN address, port 51820.
6. Règles WG_NOMADES : par exemple Pass WG_NOMADES net → SERVEURS net (ports utiles) et → ADMIN net pour les administrateurs.

Configuration du client (application WireGuard officielle) :

[Interface]
PrivateKey = <clé privée de l'appareil>
Address = 10.10.99.2/32
DNS = 10.10.99.1

[Peer]
PublicKey = <clé publique de l'instance nomades>
Endpoint = vpn.exemple.fr:51820
AllowedIPs = 10.10.0.0/16
PersistentKeepalive = 25

AllowedIPs = 10.10.0.0/16 n'envoie dans le tunnel que le trafic vers les réseaux de l'entreprise. Mettez 0.0.0.0/0 pour y faire passer tout le trafic, en ajoutant alors une règle de NAT sortant pour le réseau du tunnel. Voir aussi l'accès à distance.

Détection d'intrusion (facultatif)

Services › Intrusion Detection › Administration : activez le service, choisissez l'interface WAN, téléchargez les jeux de règles (onglet Download, par exemple ET open), et commencez en mode détection seule quelques semaines avant de passer en blocage (IPS mode). La détection consomme du processeur : surveillez la charge.

Sauvegarder et mettre à jour

• System › Configuration › Backups : téléchargez la configuration (fichier XML), chiffrée avec un mot de passe, après chaque modification importante. Le plugin os-git-backup l'envoie automatiquement vers un dépôt Git privé.
• System › Firmware : appliquez les mises à jour mineures dès leur sortie (plusieurs par mois), et attendez quelques jours pour les versions majeures (janvier et juillet), le temps des premiers correctifs.
• La console (option 13) Restore a backup) permet de restaurer une configuration sur une installation neuve en quelques minutes.

10. Tester

Ne supposez pas que les règles fonctionnent : vérifiez-les depuis chaque zone.

Les blocages sont visibles en direct dans Firewall › Log Files › Live View, avec un filtre sur l'interface ou l'adresse.

11. En cas de problème

12. Liste de contrôle