Sauvegarder, mettre à jour et sécuriser pfSense

Toute la configuration de pfSense tient dans un fichier XML, config.xml : le sauvegarder, c'est pouvoir reconstruire le pare-feu en quelques minutes sur n'importe quelle machine. Ce chapitre montre comment sauvegarder et restaurer cette configuration (à la main, par l'historique, par le service AutoConfigBackup et par la sauvegarde de la machine virtuelle), comment mettre pfSense à jour sans risque, puis comment durcir le pare-feu lui-même : comptes, accès d'administration, certificat, SSH et notifications.

Ce qu'il faut sauvegarder

Le fichier config.xml contient des secrets : clés privées des certificats et des VPN, clés partagées IPsec, condensats des mots de passe, compte de liaison à l'annuaire. Une sauvegarde en clair qui traîne sur un poste ou un partage est une fuite de toutes les clés du pare-feu.

Sauvegarder et restaurer à la main

Diagnostics > Backup & Restore, section Backup Configuration :

1. Backup area : All, pour tout sauvegarder.
2. Laisse décoché Skip packages (la configuration des paquets doit suivre) ; Skip RRD data évite d'inclure les historiques des graphiques, volumineux et inutiles pour une restauration.
3. Coche Encrypt this configuration file et saisis un mot de passe fort, rangé dans le coffre-fort de mots de passe de l'équipe (sans lui, la sauvegarde est inutilisable).
4. Download configuration as XML : le fichier se nomme config-pf1.ad.sorbier.example-<date>.xml.

Range ce fichier hors du pare-feu, sur le stockage des sauvegardes (le NAS TrueNAS du laboratoire, protégé par des snapshots ZFS), et applique la règle 3-2-1 du cours Sauvegarde et PRA : trois copies, deux supports, une hors site. Fais-le après chaque modification importante, et au moins une fois par mois. Pour ne plus dépendre de la mémoire de chacun, confie la copie vers le NAS à une tâche planifiée (planifier un script) ; une équipe plus avancée décrit même alias et règles dans des fichiers versionnés, appliqués par Ansible (automatiser Cisco et pfSense).

Restaurer : même page, section Restore Backup : Restore area All, le fichier, la case Configuration file is encrypted et son mot de passe, puis Restore Configuration. Le pare-feu redémarre avec la configuration restaurée et réinstalle tout seul les paquets qu'elle mentionne (il lui faut donc un accès à Internet).

Restaurer sur une nouvelle machine. Les noms des cartes doivent correspondre : une configuration écrite pour vtnet0, vtnet1, vtnet2 attend ces cartes. Sur une machine virtuelle Proxmox construite comme au chapitre 2, c'est automatique ; sur un boîtier physique (igc0, igc1…), la console demande au démarrage d'attribuer les interfaces, puis tout le reste s'applique. Le Netgate Installer propose aussi, dès son menu d'accueil, de restaurer une configuration trouvée sur le disque (Configuration Restore).

L'historique des configurations

Chaque fois que tu enregistres une page, pfSense garde la configuration précédente. Diagnostics > Backup & Restore > Config History liste ces versions avec leur date, l'utilisateur et la page modifiée. Pour chacune : afficher les différences avec la version actuelle, la télécharger, ou revenir à cette version. En console, l'option 15 (Restore recent configuration) fait la même chose quand l'interface web n'est plus accessible.

C'est le premier réflexe après une erreur : « j'ai modifié une règle et plus rien ne marche » se répare en revenant à la version d'avant, puis en refaisant la modification correctement.

AutoConfigBackup

Services > Auto Config Backup est un service gratuit de Netgate, ouvert aux utilisateurs de pfSense CE comme de Plus : à chaque modification, le pare-feu envoie une copie chiffrée de sa configuration aux serveurs de Netgate, chiffrée avec un mot de passe que tu choisis et que Netgate ne connaît pas. On restaure une version depuis le même menu, y compris sur un pare-feu réinstallé, avec la clé de l'appareil et le mot de passe.

C'est une bonne sécurité supplémentaire contre la perte du pare-feu et de ses sauvegardes locales. Mais la configuration, même chiffrée, quitte l'organisation : vérifie que c'est compatible avec la politique de sécurité, et ne t'en sers jamais comme seule sauvegarde.

Mettre à jour sans risque

Le pare-feu est l'équipement le plus exposé de l'entreprise, et les failles d'équipements de bordure font régulièrement l'objet d'alertes du CERT-FR : les mises à jour ne se repoussent pas indéfiniment. La procédure, pour un pfSense CE virtualisé :

1. Lire les notes de version (release notes) sur le site de Netgate : nouveautés, changements de comportement, paquets touchés, problèmes connus. pfSense CE 2.9.0 prévient par exemple d'un problème de démarrage sur certains processeurs Celeron J.
2. Exporter la configuration chiffrée.
3. Prendre un instantané de la machine virtuelle, dans Proxmox (Snapshots > Take Snapshot) ou en ligne de commande sur l'hôte :

qm snapshot 100 avant-maj-2-9 --description "pf1 avant passage en 2.9.0"

4. Mettre à jour : System > Update, Branch sur la version stable courante, Confirm. Le pare-feu télécharge, installe et redémarre ; compte une coupure de quelques minutes, à planifier hors des heures d'ouverture (ou à faire sans coupure avec CARP, chapitre 13).
5. Vérifier : version sur le tableau de bord, interfaces, VPN établis, paquets à jour (System > Package Manager), journaux sans erreur, un test de chaque flux important.
6. En cas de problème, revenir à l'instantané : qm rollback 100 avant-maj-2-9. Sinon, supprimer l'instantané après quelques jours : un instantané conservé ralentit le disque et grossit.

Durcir le pare-feu

Le pare-feu protège tout le reste : il doit être le mieux protégé. La liste de durcissement de Sorbier :

Exercices