Sommaire
Créer et gérer les règles de filtrage du trafic réseau sur pfSense, utiliser les aliases pour simplifier l'administration.
🎯 Objectifs de la fiche
- Comprendre le traitement des règles — Ordre d'évaluation, sens du trafic, politique par défaut
- Créer une règle de pare-feu — Interface, protocole, source, destination, action
- Les aliases — Simplifier les règles avec des groupes d'IPs ou de ports
- Exemples de règles courantes — Autoriser HTTP/HTTPS, bloquer un réseau, isoler une DMZ
- Journalisation et diagnostic — Logs du firewall, pfTop, States
Prérequis
pfSense installé avec au moins deux interfaces configurées (LAN et WAN). Avoir suivi les fiches 1 et 2. Comprendre les bases de l'adressage IP.
1. Principe de traitement des règles
Les règles pfSense s'appliquent sur l'interface d'entrée du trafic (ingress). Elles sont évaluées de haut en bas — la première règle qui correspond s'applique. Si aucune règle ne correspond, la politique par défaut s'applique (bloquer tout).
| Concept | Explication |
|---|---|
| Interface d'évaluation | Les règles LAN s'appliquent au trafic entrant sur le LAN (venant des clients) |
| Ordre d'évaluation | De haut en bas — première règle qui matche gagne |
| Politique par défaut | Tout ce qui n'est pas explicitement autorisé est bloqué |
| Règle anti-lockout | Règle automatique qui empêche de se couper l'accès WebGUI |
| Stateful filtering | pfSense suit l'état des connexions — une réponse autorisée est automatiquement permise |
ℹ️ Par défaut, pfSense autorise tout le trafic sortant du LAN vers WAN (règle LAN any any). C'est la règle permissive initiale — en production, on la remplace par des règles plus restrictives.
2. Anatomie d'une règle pfSense
| Champ | Rôle | Exemples de valeurs |
|---|---|---|
| Action | Ce que fait la règle si elle matche | Pass (autoriser), Block (bloquer silencieusement), Reject (bloquer avec réponse) |
| Interface | Sur quelle interface s'applique la règle | LAN, WAN, DMZ, OPT1 |
| Protocol | Protocole réseau | TCP, UDP, TCP/UDP, ICMP, Any |
| Source | Adresse IP ou réseau source | LAN net, any, adresse précise, alias |
| Source port | Port source (rarement utilisé) | any (en général) |
| Destination | Adresse IP ou réseau de destination | any, WAN address, adresse précise, alias |
| Dest port | Port de destination | 80 (HTTP), 443 (HTTPS), 22 (SSH) |
| Log | Journaliser les connexions qui matchent | Cocher pour déboguer |
| Description | Commentaire libre | Autoriser HTTP depuis LAN |
3. Créer une règle — procédure
1. Firewall > Rules > [Choisir l'interface : LAN, WAN, DMZ...] 2. Cliquer Add (↑ = en haut de la liste, ↓ = en bas) 3. Remplir les champs (voir tableau ci-dessus) 4. Cliquer Save 5. Cliquer Apply Changes (bouton orange en haut de page)
⚠️ Sans cliquer Apply Changes, la règle est sauvegardée mais pas active. Ne jamais oublier cette étape !
4. Les Aliases — simplifier les règles
Un alias est un groupe nommé d'adresses IP, de réseaux ou de ports. Au lieu de créer 10 règles pour 10 serveurs, on crée un alias Serveurs_Web et on l'utilise dans une seule règle.
Firewall > Aliases > Add
Exemples d'aliases :
Nom : Serveurs_Web
Type : Host(s)
IP : 192.168.2.10
192.168.2.11
192.168.2.12
Nom : Ports_Web
Type : Port(s)
Port : 80, 443
Nom : Reseau_LAN
Type : Network
IP : 192.168.1.0/24
💡 Utilisez des aliases pour tous vos groupes d'IPs ou de ports. Cela rend les règles lisibles et facilite la maintenance — modifier l'alias suffit pour mettre à jour toutes les règles qui l'utilisent.
5. Exemples de règles courantes
5.1 Autoriser HTTP et HTTPS depuis le LAN vers Internet
| Champ | Valeur |
|---|---|
| Action | Pass |
| Interface | LAN |
| Protocol | TCP |
| Source | LAN net |
| Destination | any |
| Dest port | 80, 443 (ou alias Ports_Web) |
| Description | Autoriser navigation web depuis LAN |
5.2 Bloquer l'accès d'un réseau vers un autre (ex: DMZ ne peut pas accéder au LAN)
| Champ | Valeur |
|---|---|
| Action | Block |
| Interface | DMZ |
| Protocol | any |
| Source | DMZ net |
| Destination | LAN net |
| Description | Bloquer DMZ vers LAN |
5.3 Autoriser SSH vers un serveur depuis le LAN uniquement
| Champ | Valeur |
|---|---|
| Action | Pass |
| Interface | LAN |
| Protocol | TCP |
| Source | LAN net |
| Destination | 192.168.2.10 (serveur) |
| Dest port | 22 |
| Description | SSH vers serveur depuis LAN uniquement |
5.4 Bloquer un site ou une IP spécifique
| Champ | Valeur |
|---|---|
| Action | Block |
| Interface | LAN |
| Protocol | any |
| Source | LAN net |
| Destination | IP ou alias du site à bloquer |
| Description | Bloquer accès à site interdit |
⛔ L'ordre des règles est crucial. La règle de blocage doit être placée AVANT la règle permissive générale. Utilisez les flèches pour réorganiser les règles.
6. Journalisation et diagnostic
| Outil | Chemin | Utilité |
|---|---|---|
| Firewall Logs | Status > System Logs > Firewall | Voir les connexions bloquées et autorisées (si log coché) |
| States Table | Diagnostics > States | Voir toutes les connexions actives en temps réel |
| pfTop | Diagnostics > pfTop | Voir le trafic en temps réel par connexion |
| Packet Capture | Diagnostics > Packet Capture | Capturer le trafic sur une interface (comme Wireshark) |
💡 Pour déboguer une règle qui ne fonctionne pas, cochez Log sur la règle et consultez Status > System Logs > Firewall. Vous verrez exactement si le paquet est bloqué ou passé, et par quelle règle.
- ☐ Règles par défaut comprises (LAN any any)
- ☐ Au moins un alias créé (IP ou port)
- ☐ Règle HTTP/HTTPS fonctionnelle depuis le LAN
- ☐ Test de blocage vérifié (règle block testée)
- ☐ Apply Changes effectué après chaque modification
- ☐ Logs du firewall consultés pour vérifier
- ☐ Ordre des règles vérifié (block avant pass)
Dans quel sens s'appliquent les règles pfSense ?
✅ Réponse : Sur l'interface d'entrée du trafic (ingress)
Dans quel ordre pfSense évalue-t-il les règles ?
✅ Réponse : De haut en bas — première règle qui matche gagne
Qu'est-ce qu'un alias dans pfSense ?
✅ Réponse : Un groupe nommé d'IPs, de réseaux ou de ports réutilisable dans les règles
Après avoir créé ou modifié une règle, que faut-il faire pour l'activer ?
✅ Réponse : Cliquer Apply Changes
Pour voir les connexions bloquées par le firewall, où regarder ?
✅ Réponse : Status > System Logs > Firewall
Suis ta progressionConnecte-toi pour marquer les ressources comme terminées et retrouver ton avancement.
Se connecter