Chapitre 177 minIntermédiaire
Aide-mémoire pfSense : menus, ports et méthodes
Par Josselyn C., prof de BTS SIO. Mis à jour le .
À la fin de ce chapitre, tu sauras
- retrouver vite le menu de chaque réglage ;
- retenir les ports et les valeurs par défaut ;
- suivre une liste de contrôle pour les tâches courantes.
Cet aide-mémoire rassemble ce qu'il faut retrouver vite sur pfSense : où se trouve chaque réglage, les ports et les valeurs par défaut, l'ordre d'évaluation des règles, les listes de contrôle des tâches courantes et le vocabulaire des autres pare-feu. Il sert la veille d'un TP ou d'une épreuve ; les explications sont dans les chapitres indiqués.
Les menus essentiels
| Pour… | Menu |
|---|---|
| Attribuer les cartes, créer les VLAN | Interfaces > Assignments (onglet VLANs) |
| Régler une interface (adresse, description) | Interfaces > nom de l'interface |
| Écrire les règles | Firewall > Rules (un onglet par interface, Floating, groupes, VPN) |
| Créer des alias | Firewall > Aliases |
| Horaires | Firewall > Schedules |
| Redirection de port, NAT 1:1, NAT sortant | Firewall > NAT (Port Forward, 1:1, Outbound) |
| Adresses virtuelles (IP Alias, CARP) | Firewall > Virtual IPs |
| Relais DHCP, serveur DHCP | Services > DHCP Relay ; Services > DHCP Server |
| Résolveur DNS, substitutions | Services > DNS Resolver (Host Overrides, Domain Overrides) |
| Heure | Services > NTP |
| Portail captif | Services > Captive Portal |
| SNMP | Services > SNMP |
| VPN | VPN > IPsec ; VPN > OpenVPN ; VPN > WireGuard (paquet) |
| Comptes, serveurs d'authentification (LDAP) | System > User Manager |
| Certificats, autorités, révocation | System > Cert. Manager |
| Accès d'administration (port, certificat, anti-lockout, SSH) | System > Advanced > Admin Access |
| Déchargement des sommes de contrôle, moteur DHCP | System > Advanced > Networking |
| Politique des états, réflexion NAT, règles VPN automatiques | System > Advanced > Firewall & NAT |
| Haute disponibilité (pfsync, XMLRPC) | System > High Availability |
| Paquets | System > Package Manager |
| Mises à jour | System > Update |
| Sauvegarde, restauration, historique | Diagnostics > Backup & Restore |
| Journaux, envoi syslog | Status > System Logs (Settings pour l'envoi distant) |
| Table d'états | Diagnostics > States |
| Capture de paquets | Diagnostics > Packet Capture |
| Connexions en temps réel | Diagnostics > pfTop |
| Ping, test d'authentification | Diagnostics > Ping ; Diagnostics > Authentication |
| État des VPN, de CARP, des baux | Status > IPsec, OpenVPN, WireGuard ; Status > CARP (failover) ; Status > DHCP Leases |
Les valeurs à connaître
| Élément | Valeur |
|---|---|
| Identifiants à l'installation | admin / pfsense (à changer immédiatement) |
| Adresse LAN proposée par l'installateur | 192.168.1.1/24, DHCP de .100 à .199 |
| Interface web | HTTPS, port 443 (à déplacer si HAProxy utilise 443) |
| Cartes VirtIO sous Proxmox | vtnet0, vtnet1… dans l'ordre de net0, net1… |
| Taille par défaut de la table d'états | Calculée sur 10 % de la mémoire, environ 1 Kio par état |
| Politique des états depuis CE 2.8.0 | Interface Bound States |
| Fichier de configuration | config.xml (toute la configuration, secrets compris) |
| Taille d'un fichier de journal local | 500 Kio par défaut, puis rotation |
| Envoi des journaux | Syslog UDP 514, format BSD (RFC 3164) par défaut |
| Protocole | Port ou numéro |
|---|---|
| DHCP | UDP 67 (serveur, relais), 68 (client) |
| DNS | UDP et TCP 53 |
| NTP | UDP 123 |
| SNMP | UDP 161 (interrogation), 162 (traps) |
| OpenVPN | UDP 1194 par défaut |
| WireGuard | UDP 51820 par défaut |
| IPsec | IKE UDP 500, NAT-T UDP 4500, ESP protocole IP 50 |
| CARP | Protocole IP 112 |
| Agent Wazuh | TCP 1514 (événements), 1515 (enrôlement) |
| RADIUS | UDP 1812 (authentification), 1813 (comptabilité) |
| LDAPS | TCP 636 |
L'ordre d'évaluation
- Table d'états : un paquet d'une connexion connue passe aussitôt.
- Règles automatiques (bogons, réseaux privés sur le WAN, anti-lockout, DHCP, VPN, portail captif).
- Règles flottantes (Quick : la première qui correspond décide).
- Règles des groupes d'interfaces.
- Règles de l'interface d'entrée, de haut en bas : la première qui correspond décide.
- Refus par défaut, journalisé.
Pour le trafic qui entre : redirection (NAT) avant filtrage, donc règles sur l'adresse interne. Pour le trafic qui sort par le WAN : filtrage, puis NAT sortant.
L'ordre type d'un onglet
| Bloc | Contenu |
|---|---|
| 1 | Autorisations vers des destinations internes précises (annuaire, serveurs métier, journaux) |
| 2 | Autorisations explicites vers le pare-feu (DNS, ping de la passerelle) |
| 3 | Refus vers This Firewall (self), journalisé |
| 4 | Refus vers les réseaux internes (alias), journalisé |
| 5 | Autorisations vers Internet (navigation, mises à jour) |
| 6 | Refus final journalisé, avec une description qui nomme l'interface |
Listes de contrôle
Ajouter un VLAN
- Choisir le réseau dans le plan d'adressage, la passerelle (dernière adresse utilisable).
- pfSense : VLAN (parent, étiquette), attribution, activation, description, adresse statique, pas de passerelle.
- Switch : VLAN créé, autorisé sur les trunks, ports d'accès ; Proxmox : rien si le pont accepte toutes les étiquettes.
- DHCP : relais (interface ajoutée aux Downstream Interfaces) et étendue sur le serveur de l'annuaire, ou serveur DHCP de pfSense s'il n'y a pas d'annuaire.
- Règles de l'onglet, refus final journalisé ; en grappe, adresses propres sur les deux pare-feu et adresse virtuelle CARP.
- Tester un flux autorisé, un flux interdit, lire le journal.
Publier un service
- Le serveur en DMZ, à jour, passerelle sur le pare-feu.
- Redirection de port (ou proxy inverse HAProxy si plusieurs sites sur le port 443), règle associée vérifiée.
- DNS partagé pour les utilisateurs internes.
- Règles de l'onglet DMZ : le strict nécessaire vers l'intérieur, journalisé.
- Journaux du serveur vers Wazuh ; éventuellement Suricata sur la DMZ.
- Test depuis l'extérieur et depuis l'intérieur.
Ouvrir un accès VPN nomade
- OpenVPN : compte membre du groupe VPN dans l'annuaire, certificat utilisateur (CN = identifiant), profil exporté et remis par un canal sûr. WireGuard : clés générées sur l'appareil, pair avec une adresse
/32. - Règles de l'onglet OpenVPN ou WireGuard : seulement les ressources nécessaires.
- Test, et inscription dans la documentation (qui, quel appareil, quels droits, date).
Avant une mise à jour
- Notes de version lues.
- Export chiffré de
config.xml. - Instantané de la machine virtuelle.
- Mise à jour hors heures d'ouverture (ou bascule CARP).
- Vérification des interfaces, VPN, paquets, journaux, flux importants ; instantané supprimé après quelques jours.
Le même vocabulaire ailleurs
| Notion | pfSense | OPNsense | Stormshield | Cisco IOS (ACL) |
|---|---|---|---|---|
| Objet nommé (adresse, réseau, port) | Alias | Alias | Objet réseau | Groupe d'objets (object-group) |
| Règle de filtrage | Firewall > Rules, par interface d'entrée | Firewall > Rules, par interface | Politique de filtrage, règles globales | ACL appliquée à une interface (in ou out) |
| Filtrage à états | Oui | Oui | Oui | Non pour une ACL classique |
| Redirection de port | Port Forward | Port Forward / Destination NAT | Règle de NAT (translation de destination) | ip nat inside source static tcp … |
| NAT sortant | Outbound NAT | Outbound NAT / Source NAT | Règle de NAT (translation de source) | ip nat inside source list … overload |
| Adresse virtuelle partagée | CARP | CARP | Haute disponibilité Stormshield | HSRP, VRRP |
| IDS/IPS | Paquet Suricata | Intrusion Detection (Suricata) | Prévention d'intrusion intégrée | — |
| Filtrage DNS | Paquet pfBlockerNG | Listes de blocage d'Unbound | Filtrage DNS intégré | — |