Introduction

Le pare-feu est l’élément central de la sécurité réseau dans pfSense. S’appuyant sur le puissant moteur Packet Filter (pf) de FreeBSD, pfSense offre une maîtrise précise du trafic entrant et sortant sur toutes les interfaces : WAN, LAN, DMZ et VLAN.

Ce chapitre couvre les concepts fondamentaux du pare-feu pfSense, de la création de règles simples aux techniques avancées de filtrage. L’objectif est de construire une politique de sécurité réseau claire, efficace et maintenable.

Principes fondamentaux du pare-feu pfSense

Le moteur de filtrage de pfSense repose sur Packet Filter (pf), issu de l’univers BSD. Cette architecture explique les principaux comportements abordés dans ce chapitre.

1. Interfaces réseau et zones de sécurité

pfSense organise le réseau en zones de sécurité distinctes, chacune correspondant à une interface réseau :

WAN (Wide Area Network) : interface publique connectée à Internet. C’est la zone la moins fiable, tout trafic entrant est bloqué par défaut.
LAN (Local Area Network) : réseau interne de confiance. Le trafic sortant vers Internet est généralement autorisé.
DMZ (Zone Démilitarisée) : zone intermédiaire pour héberger des services exposés (serveurs web, mail). Isolation stricte du LAN.
VLAN (OPT1, OPT2, etc.) : interfaces virtuelles pour segmenter le réseau (invités, IoT, VoIP, etc.).

Le trafic entre zones doit être explicitement autorisé. Par défaut, aucune communication inter-zones n’est permise. Le comportement dépend des règles configurées sur chaque interface et du contexte d’installation. Par exemple, certaines installations pfSense créent par défaut une règle autorisant le LAN à accéder à Internet, tandis que les flux...

Création et gestion des règles de pare-feu

1. Anatomie d’une règle de pare-feu

Une règle de pare-feu pfSense se compose de plusieurs éléments clés :

Action : Pass, Block ou Reject.
Interface : détermine sur quelle interface la règle s’applique (WAN, LAN, VLAN, etc.).
Protocole : TCP, UDP, ICMP, ESP, AH, GRE, ou Any (tous).
Source : adresse IP, réseau, alias ou Any (n’importe quelle source).
Port source : généralement laissé à ’any’ (le port source est aléatoire).
Destination : adresse IP de destination, réseau, alias ou Any.
Port destination : port ou plage de ports ciblés (ex : 80, 443, 1024:65535).
Description : commentaire explicite pour documenter la règle.

2. Procédure de création d’une règle

Naviguez vers Firewall - Rules, puis sélectionnez l’interface concernée (LAN, WAN, VLAN10, etc.).

Cliquez sur le bouton Add (avec la flèche vers le haut) pour créer une règle en haut de la liste, ou Add (flèche vers le bas) pour l’ajouter en bas.

Remplissez les champs selon vos besoins :

Action : Pass, Block ou Reject.
Disabled : à cocher pour désactiver temporairement la règle.
Interface : sélectionnez l’interface appropriée....

Alias et optimisation des règles

1. Comprendre les alias

Les alias sont des objets réutilisables qui simplifient considérablement la gestion des règles de pare-feu. Un alias est un nom symbolique représentant une ou plusieurs adresses IP, réseaux, ports ou URL.

Dans une politique de filtrage, ils sont particulièrement utiles pour désigner des ensembles stables ou récurrents, comme des serveurs, des réseaux internes, des ports applicatifs ou des listes d’adresses mises à jour depuis une URL.

Lisibilité : au lieu de 192.168.10.10, utilisez DNS_SERVER.
Maintenance facilitée : modifiez l’alias une fois, toutes les règles qui l’utilisent sont automatiquement mises à jour.
Réduction des erreurs : les valeurs techniques sont saisies une seule fois dans l’alias, puis réutilisées dans les règles.
Groupement logique : regroupez des ressources similaires (ex. : tous les serveurs web, toutes les imprimantes).

2. Types d’alias

pfSense supporte quatre types d’alias.

a. Host(s) - Alias d’hôtes

Un alias de type Host(s) contient une ou plusieurs adresses IP individuelles, généralement utilisées pour désigner des serveurs, des postes d’administration ou des équipements précis.

Exemple :

Nom : DNS_SERVER

Type : Host(s)

Valeurs :...

Pare-feu et sécurité réseau

pfSense permet de contrôler finement les flux réseau grâce à un filtrage par interface, à des règles explicites et à une logique de sécurité restrictive par défaut. Les sections suivantes présentent progressivement ces mécanismes, depuis le principe du filtrage stateful jusqu’à la création de règles et à leur optimisation.

1. Filtrage de paquets stateful

a. Principe du filtrage stateful

Contrairement aux pare-feu simples qui examinent chaque paquet individuellement, pfSense utilise un filtrage stateful : il suit l’état complet des connexions (établissement, échanges, fermeture) et maintient une table d’états. Cela permet d’autoriser automatiquement les paquets de retour d’une connexion légitime sans avoir à créer de règles explicites dans les deux sens.

b. Architecture du filtrage par interface

Le filtrage de paquets dans pfSense s’applique à chaque interface réseau de manière indépendante. Chaque interface (LAN, WAN, VLAN, tunnels VPN) possède son propre ensemble de règles, traitées de haut en bas. La première règle qui correspond à un paquet est appliquée, les suivantes sont ignorées.

c. Critères de filtrage avancés...

Sécurisation de l’interface WAN

1. Blocage des réseaux Bogon

a. Qu’est-ce qu’un Bogon ?

Les adresses Bogon correspondent à des plages d’adresses qui ne devraient pas être visibles sur Internet public. Il peut s’agir d’adresses privées, d’adresses de boucle locale, d’adresses réservées ou encore de plages non allouées. Leur présence sur l’interface WAN peut indiquer une erreur de routage, une tentative d’usurpation d’adresse ou un trafic anormal.

Les adresses Bogon incluent :

Adresses privées RFC 1918 : 10.0.0.0/8, 172.16.0.0/12, 192.168.0.0/16
Loopback : 127.0.0.0/8
Link-local : 169.254.0.0/16
Multicast : 224.0.0.0/4
Plages IP non allouées par l’IANA
Plages réservées (documentation, tests, benchmarks)

b. Activation du blocage Bogon

Naviguez vers Interfaces - WAN.

Descendez jusqu’à la section Reserved Networks.

Cochez Block private networks and loopback addresses.

Cochez Block bogon networks.

Sauvegardez et appliquez.

pfSense récupère régulièrement une liste à jour des réseaux Bogon afin de tenir compte de l’évolution des allocations d’adresses IP. Cette mise à jour automatique évite à l’administrateur de devoir maintenir manuellement ces plages d’adresses....

Gestion des états et surveillance

1. Table d’états et connexions actives

Le pare-feu pfSense maintient une table d’états contenant toutes les connexions actives. Cette table permet au pare-feu de suivre les conversations réseau et d’autoriser automatiquement le trafic de retour.

a. Visualiser les états actifs

La table d’états peut être consultée directement depuis l’interface d’administration de pfSense. Cette vue permet de vérifier les connexions actives et d’identifier rapidement les flux en cours entre les différentes interfaces.

Naviguez vers Diagnostics - States.

Vous voyez la liste de toutes les connexions actives avec :

Interface : sur quelle interface la connexion est établie.
Protocole : TCP, UDP, ICMP, etc.
Source : IP : port source.
Destination : IP : port destination.
State : état de la connexion (ESTABLISHED, CLOSED, etc.).

b. Réinitialiser les connexions associées à une IP

Les actions disponibles sur la table d’états permettent d’intervenir sur les connexions actives sans modifier les règles de pare-feu. L’administrateur peut filtrer les connexions affichées, supprimer un état particulier ou fermer toutes les connexions associées à une adresse IP précise. Cette fonction est utile lors d’un diagnostic ou lorsqu’un équipement doit être...

Conclusion

Ce chapitre a présenté les fondamentaux de la configuration du pare-feu pfSense, depuis le fonctionnement du filtrage stateful jusqu’à la création de règles, l’utilisation des alias, la sécurisation de l’interface WAN, la surveillance des états et l’analyse des journaux.

Pare-feu et gestion des flux