Interfaces et VLAN sur pfSense

Sur pfSense, chaque réseau que le pare-feu route est une interface : une carte réseau physique ou virtuelle, ou un VLAN créé sur une carte reliée à un trunk 802.1Q. Chaque interface reçoit une adresse, qui sert de passerelle à son réseau, et son propre onglet de règles de filtrage. Ce chapitre crée les six VLAN internes et la DMZ de Sorbier, explique les réglages d'une interface, configure le switch en face et vérifie que tout répond.

Interfaces physiques, interfaces logiques

pfSense distingue deux niveaux :

• le port réseau (network port) : ce que FreeBSD voit, vtnet0, vtnet1, un VLAN vtnet1.10, un tunnel tun_wg0… ;
• l'interface : ce que pfSense en fait, avec un nom (WAN, LAN, puis OPT1, OPT2… que l'on renomme), une adresse, une passerelle éventuelle et un onglet de règles.

Deux interfaces sont créées à l'installation : WAN et LAN. Toutes les autres s'ajoutent dans Interfaces > Assignments. Chez Sorbier, après le chapitre 2, l'état est le suivant : WAN sur vtnet0, LAN sur vtnet1.99 (le VLAN ADMIN), OPT1 sur vtnet2 (la DMZ), pas encore configurée.

Créer les VLAN

Interfaces > Assignments > VLANs > Add, une fois par VLAN :

Crée de même 20 SERVEURS, 30 ENTREPOT, 40 VISITEURS et 50 TELEPHONIE ; le VLAN 99 existe déjà depuis la console.

Puis, dans l'onglet Interface Assignments, la liste Available network ports propose chaque VLAN (« VLAN 10 on vtnet1 - lan (POSTES) »). Choisis-le et clique sur Add : pfSense crée une interface OPT2, OPT3… Il reste à la configurer.

Configurer une interface

Clique sur le nom de l'interface (OPT2) et remplis :

Save, puis Apply Changes. Fais de même pour chaque VLAN avec son adresse, puis pour OPT1 renommée DMZ, en 192.168.10.238/28, et renomme LAN en ADMIN (la description seule change : l'interface reste celle qui porte la règle anti-lockout).

Pourquoi le pare-feu porte les passerelles

Une machine qui veut joindre un autre réseau envoie ses paquets à sa passerelle. En plaçant la passerelle de chaque VLAN sur pfSense, on force tout trafic entre deux VLAN à traverser le pare-feu, donc ses règles et ses journaux. Le switch, lui, ne fait que du niveau 2 : il ne peut pas faire passer une trame d'un VLAN à un autre.

À l'inverse, deux machines du même VLAN se parlent directement, par le switch, sans passer par pfSense : le pare-feu ne voit pas ce trafic et ne peut pas le filtrer. Si deux catégories de machines ne doivent pas se parler, elles vont dans deux VLAN différents (ou on active l'isolation des clients, comme sur le Wi-Fi invité).

Le switch en face

Le port de SW-COEUR relié à eno1 de l'hôte Proxmox est un trunk ordinaire, qui transporte les VLAN internes et rien d'autre (configurer un trunk) :

SW-COEUR(config)# interface TenGigabitEthernet1/1/1
SW-COEUR(config-if)# description Trunk vers pve1 eno1 (pfSense)
SW-COEUR(config-if)# switchport mode trunk
SW-COEUR(config-if)# switchport trunk native vlan 999
SW-COEUR(config-if)# switchport trunk allowed vlan 10,20,30,40,50,99
SW-COEUR(config-if)# switchport nonegotiate

Le VLAN natif 999 ne porte aucune machine : aucune trame non étiquetée utile ne circule sur ce lien. Comme le switch ne route plus, ses anciennes interfaces de VLAN routées sont supprimées, sauf celle de son adresse de gestion dans le VLAN 99, et sa passerelle par défaut devient le pare-feu :

SW-COEUR(config)# no ip routing
SW-COEUR(config)# ip default-gateway 192.168.10.222

Les serveurs virtuels de Sorbier sont sur le même hôte : dans Proxmox, leur carte est branchée sur vmbr0 avec l'étiquette 20 (VLAN Tag), et ils reçoivent leurs trames sans étiquette, comme sur un port d'accès de switch.

Un VLAN par carte, ou un trunk ?

Proxmox permet une autre méthode : donner à pf1 une carte par VLAN, chacune avec son étiquette dans Proxmox, et ne créer aucun VLAN dans pfSense.

Le trunk est plus proche d'un pare-feu physique et plus simple à faire évoluer : c'est la méthode de ce cours.

Regrouper les interfaces

Interfaces > Interface Groups permet de rassembler plusieurs interfaces sous un nom, par exemple INTERNES pour POSTES, ENTREPOT et TELEPHONIE. Le groupe a son propre onglet de règles, qui s'applique à toutes ses interfaces : une règle commune (« tout le monde a le droit d'interroger le DNS de l'annuaire ») s'écrit une fois. Les règles d'un groupe sont lues avant celles de chaque interface (chapitre 4). On s'en sert avec modération : une règle cachée dans un groupe est une règle qu'on oublie en relisant un onglet.

Vérifier

• Status > Interfaces : chaque interface est up, avec la bonne adresse et la bonne adresse MAC.
• Diagnostics > ARP Table : les machines de chaque VLAN qui ont parlé au pare-feu, avec leur adresse MAC et l'interface.
• Diagnostics > Ping, avec Source address réglé sur l'interface : depuis SERVEURS vers 192.168.10.177, pour vérifier que le VLAN 20 arrive bien.

Depuis un poste du VLAN 10, ping 192.168.10.126 échoue à ce stade : c'est normal. Une interface nouvellement créée n'a aucune règle, et pfSense bloque tout ce qui y entre, même un ping vers sa propre adresse. Le chapitre suivant écrit les règles.

Exercices