Sommaire
🔒 Module CYB12 – Les pare-feu (pfSense)
Objectifs : comprendre le rôle des pare-feu, les types, et configurer pfSense en environnement professionnel.
📖 Introduction
Un pare-feu est un équipement ou un logiciel qui filtre le trafic réseau selon des règles définies. Il est la première ligne de défense d'un réseau. pfSense est un pare-feu open-source basé sur FreeBSD, très répandu en entreprise.
À l'issue de ce module, vous serez capable de :
- Expliquer le rôle d'un pare-feu.
- Distinguer les types de pare-feu (étatique, applicatif, UTM).
- Installer et configurer pfSense.
- Créer des règles de filtrage, du NAT et des VPN.
📐 Rôle et types de pare-feu
- Rôle : contrôler les flux entrants et sortants selon des politiques de sécurité.
- Pare-feu étatique : suit l'état des connexions (ex : iptables, pfSense).
- Pare-feu applicatif : inspecte le contenu des paquets (ex : WAF, proxy).
- UTM : Unified Threat Management (pare-feu + antivirus + IPS, etc.).
⚙️ pfSense
- Installation : ISO boot, interface web sur
https://IP(port 443). - Interfaces : WAN (externe), LAN (interne), OPT (DMZ, etc.).
- Règles : définies par interface (ex : autoriser HTTP depuis LAN).
- NAT : translation d'adresses (port forwarding, 1:1, outbound).
- VPN : support OpenVPN, IPsec, WireGuard.
- Haute disponibilité : CARP pour la redondance.
🔧 Configuration de base
4.1 – Accès à l'interface web
- Par défaut :
https://192.168.1.1(utilisateuradmin, mot de passepfsense). - Changer immédiatement le mot de passe.
4.2 – Créer une règle de filtrage
Autoriser le trafic HTTP (port 80) depuis le réseau LAN :
Firewall → Rules → LAN Action: Pass Protocol: TCP Source: LAN net Destination: any Port: 80
- La règle autorise le trafic HTTP depuis le réseau LAN vers n'importe quelle destination.
- Les règles sont évaluées de haut en bas.
4.3 – Configurer le NAT (port forwarding)
Rediriger le port 80 de l'interface WAN vers un serveur web interne (192.168.1.10) :
Firewall → NAT → Port Forward Interface: WAN Protocol: TCP Destination port range: 80 Redirect target IP: 192.168.1.10 Redirect target port: 80
- Le trafic arrivant sur le port 80 de l'IP publique est redirigé vers le serveur interne.
- Nécessite une règle de filtrage autorisant le trafic entrant sur le port 80.
🛠️ Mise en pratique
5.1 – Installer pfSense dans une VM
Étapes d'installation :
- Télécharger l'ISO sur pfsense.org.
- Créer une VM avec 2 interfaces réseau (WAN en NAT, LAN en réseau interne).
- Boot sur l'ISO et suivre l'installation.
- Assigner les interfaces (WAN, LAN).
- Accéder à l'interface web depuis un poste du LAN.
- Le WAN est généralement en DHCP (si NAT avec l'hôte).
- Le LAN est en adressage statique (ex: 192.168.1.1/24).
📝 Exercices d'application
Exercice 1 – Type de pare-feu
pfSense est un pare-feu de type :
Étatique / UTM (avec modules complémentaires).
Exercice 2 – Règle
Où crée-t-on les règles de filtrage dans pfSense ?
Firewall → Rules → [Interface]
🎯 Quiz d'auto‑évaluation
1. pfSense est basé sur :
2. Le port forwarding dans pfSense se trouve dans :
3. Une règle de filtrage avec Action = Pass autorise le trafic.
4. L'interface par défaut pour l'administration de pfSense est :
5. Un pare-feu applicatif inspecte le contenu des paquets (ex : HTTP).