Pare-feu pfSense

Questions fréquentes

C'est quoi pfSense et à quoi ça sert ?

pfSense est un pare-feu et routeur libre, basé sur FreeBSD, qui s'installe sur un serveur, un boîtier ou une machine virtuelle et s'administre par une interface web. Il filtre le trafic entre Internet et les réseaux de l'entreprise, et entre ces réseaux eux-mêmes, avec un filtrage à états. Il fait aussi le NAT, les VPN, le relais DHCP, la résolution DNS et le portail captif. C'est le pare-feu le plus utilisé dans les TP et les réalisations de l'option SISR.

pfSense est-il gratuit ?

L'édition communautaire, pfSense CE, est gratuite et libre (licence Apache 2.0) ; les versions maintenues en novembre 2026 sont la 2.9.0 et la 2.8.1. pfSense Plus est l'édition propriétaire de Netgate, livrée avec ses boîtiers ou vendue par abonnement pour ton propre matériel ; l'offre gratuite Home+Lab a été supprimée en 2023. Pour un TP ou l'E6, pfSense CE suffit (CE ou Plus).

pfSense ou OPNsense : lequel choisir ?

Les deux viennent du même code et appliquent la même logique : interfaces, règles lues de haut en bas, alias, NAT, VPN. OPNsense est entièrement libre, publie deux versions par an et intègre WireGuard et Suricata ; pfSense CE a une documentation et une communauté plus larges, et ajoute ces fonctions par paquets. Ce que tu apprends sur l'un se transpose en quelques minutes sur l'autre (la comparaison).

Comment installer pfSense sur Proxmox ?

Crée une machine virtuelle de type Other, avec un disque VirtIO Block et des cartes réseau VirtIO, une par pont Proxmox à raccorder (WAN, réseau interne sensible aux VLAN, DMZ). Lance le Netgate Installer, qui a besoin d'Internet sur le WAN, choisis Install CE et ZFS, puis attribue les interfaces. Après l'installation, coche Disable hardware checksum offload dans System > Advanced > Networking : c'est indispensable avec VirtIO (le pas à pas).

Dans quel ordre pfSense applique-t-il les règles ?

pfSense regarde d'abord la table d'états, puis ses règles automatiques, les règles flottantes, celles des groupes d'interfaces et enfin celles de l'interface par laquelle le paquet entre, de haut en bas : la première qui correspond décide. Ce qui n'est autorisé par aucune règle est bloqué et journalisé. Les exceptions précises vont donc au-dessus des règles générales (l'ordre d'évaluation).

Comment ouvrir un port sur pfSense ?

On crée une redirection de port dans Firewall > NAT > Port Forward : interface WAN, protocole, port public, adresse et port du serveur interne, avec l'option Add associated filter rule, qui crée la règle de filtrage correspondante. Cette règle vise l'adresse privée du serveur, car la traduction a lieu avant le filtrage. Le serveur publié doit être en DMZ, et les utilisateurs internes le joignent par un DNS partagé (NAT et redirection de port).

Quelle est la différence entre Block et Reject sur pfSense ?

Block jette le paquet sans répondre : l'émetteur attend puis abandonne. Reject le jette et répond par un refus (TCP RST, ou ICMP pour l'UDP) : l'application affiche une erreur tout de suite. On utilise Block sur le WAN, pour ne rien révéler, et Reject entre les zones internes (Block ou Reject).

Comment créer des VLAN sur pfSense ?

Dans Interfaces > Assignments > VLANs, crée un VLAN par réseau sur la carte reliée au trunk (parent et étiquette), ajoute-le dans Interface Assignments, puis active l'interface, donne-lui une description et l'adresse de la passerelle du VLAN, sans passerelle en amont. Le port du switch en face doit être en trunk avec les mêmes VLAN. Une nouvelle interface n'a aucune règle : tout y est bloqué tant que tu n'en écris pas (interfaces et VLAN).

Faut-il utiliser le DHCP de pfSense ou celui de Windows Server ?

Dans un réseau qui a un Active Directory, le DHCP et le DNS des postes restent sur les contrôleurs de domaine : les baux s'inscrivent dans le DNS de l'annuaire et le basculement entre deux serveurs assure la continuité. pfSense relaie les demandes DHCP des VLAN vers eux et résout les noms d'Internet pour leur compte. Son serveur DHCP sert là où il n'y a pas d'annuaire, sachant qu'il ne peut pas fonctionner en même temps que le relais (DHCP et DNS).

Comment sauvegarder la configuration de pfSense ?

Toute la configuration tient dans config.xml, qu'on exporte depuis Diagnostics > Backup & Restore, en cochant Encrypt this configuration file car le fichier contient les clés des VPN et des certificats. On le range hors du pare-feu, on active en complément AutoConfigBackup, et on prend un instantané de la machine virtuelle avant chaque mise à jour. Une restauration de test par an prouve que les sauvegardes sont utilisables (sauvegarder et sécuriser).