OPNsense

Installation & Configuration

Important :

Documentation obsolète depuis 2022 !!!!!.

Notice :

Cette documentation montre comment installer et configurer OPNsense 21.1 sur VirtualBox.

Important :

VirtualBox est nécessaire pour suivre cette documentation.

Téléchargement

OPNsense dispose d'une large gamme de miroirs pour télécharger la solution. Pour le téléchargement directe, veuillez suivre ce lien : https://fr.mirrors.opnsense.sys-one.fr/releases/mirror/OPNsense-21.1-OpenSSL-dvd-amd64.iso.bz2

Média d'installation

Suivant le type d'hardware utilisé et votre média d'installation, différents options sont proposées

TYPE	DESCRIPTION
DVD	Installation d’une image ISO avec la possibilité de l’utiliser en « Live CD » fonctionne en mode VGA uniquement
VGA	Installation USB via une image avec la possibilité de l’utiliser en « Live CD » fonctionne en mode VGA uniquement
Serial	Installation USB via une image avec la possibilité de l’utiliser en « Live CD » fonctionne en mode console série (115200 bauds) avec support secondaire du VGA (sans message du noyau)
Nano	Image pré-installée de 3GB avec un retour série destinée à une carte SD ou CF. Ces images s'adaptent automatiquement à la taille du support installé

Création d'une machine virtuelle OPNsense a l'aide de Virtual Box

Tout d'abord il faut créer une nouvelle machine virtuelle et lui donner un nom ainsi que le type qui est BSD et la version qui est FreeBSD (64-bit)


Ensuite il faut lui assigner une quantité de mémoire, dans notre cas 1024 Mo seront suffisantes



Dans notre cas, vu qu'on installe de zéro nous avons besoin de créer un disque dur virtuel



Concernant le type de fichier de disque dur, nous allons sélectionner l'option VDI (VirtualBox Disk Image)



Nous allons attribuer un stockage dynamiquement alloué a notre disque dur pour qu'il puisse croître au fur et à mesure



Finalement nous allons choisir l'emplacement pour sauvegarder notre disque dur virtuel et le stockage

Configuration de la machine virtuelle

Stockage

Important :

Etape obligatoire pour pouvoir exécuter la machine virtuelle.

Une fois que la machine virtuelle à été crée, il faut la configurer pour ne pas avoir de soucis lors de l'installation d'OPNsense. Il faut aller dans les paramètres de la machine virtuelle et sélectionner l'option Stockage. Il faut sélectionner l'unité de stockage Vide et lui attribuer un lecteur optique qui sera l'image ISO d'OPNsense


Si l'importation s'est effectué avec succés, vous devriez voir l'image ISO dans l'unité de stockage

Réseau

Important :

La configuration du réseau et une étape primordiale pour ne pas avoir de soucis au niveau des adresses IP lors de l'installation d'OPNsense..

Toujours dans les parametres de notre machine virtuelle, il faut selectionner l'option Réseau. Nous allons commencer par configurer l'adaptateur 1, il faut modifier le mode d'accès réseau et le mettre en Accès par pont. Pareil pour l'adaptateur 2 qui lui risque d'être désactivé par défaut, il faut l'activer et appliquer la même configuration que pour l'adaptateur 1

Installation d'OPNsense

Important :

Il est important de bien suivre toutes les étapes pour avoir une installation correcte et sans erreurs.

Pour commencer l'installation d'OPNsense, il faut exécuter la machine virtuelle, après quelque secondes, le menu d'OPNsense apparaît, il suffit d'appuyer sur Entrez pour démarrer le processus d'installation.



Une fois que le processus de démarrage est terminé, vous devrez vous identifier a l'aide des informations suivantes :

• User : installer
• Password : opnsense

Si tout se passe correctement, vous devriez visualiser l'écran de bienvenue d'OPNsense



Pour configurer la carte du clavier, il faut sélectionner l'option Change Keymap et choisir fr.kbd.



Concernant l'installation, il faut choisir l'installation guidé



Séléctionnez le disque ou OPNsense doit être installé.



Sélectionnez le mode GPT/UEFI



Le système démarrera l'installation du serveur d'OPNsense.



Une fois l'installation terminé, un mot de passe root doit être défini.

Important :

Ce mot de passe vous permettra de vous connecter a l'interface OPNsense.

Pour finaliser l'installation, veuillez redémarrer la machine.


Après le redémarrage, OPNsense vous demandera de vous authentifier avec les informations suivantes :

• User : root
• Password : Votre mot de passe

Configuration initiale d'OPNsense

Une fois connecté avec vos identifiants, vous verrez une liste d'options pour configurer OPNsense.

Assignation d'interfaces

D'abord nous allons configurer les interfaces, pour ce faire veuillez entrer l'option 1 dans la console. OPNsense nous demandera si nous souhaitons configurer les VLANs maintenant, nous allons répondre n.
Do you want to set up VLANs now ? [y/N] : n
OPNsense nous demandera ensuite de rentrer le nom de l'interface WAN, dans notre cas nous allons l'appeler em0 mais ce n'est pas tout, OPNsense a aussi besoin de savoir le nom de l'interface LAN, dans notre cas nous allons l'appeler em1.
Enter the WAN interface name or 'a' for auto-detection: em0
Enter the LAN interface name or 'a' for auto-detection : em1
WAN -> em0
LAN -> em1
Une fois que nous avons nommées les deux interfaces, OPNsense nous demandera si on souhaite rentrer un nom optionnel pour une interface, dans notre cas nous allons ignorer en appuyant sur Entrez. Nous validons les changements.
Do you want proceed ? [y/N]: y
OPNsense démarrera le processus de configuration et si tout s'est bien passé vous pourrez acceder depuis votre navigateur Web a l'adresse IP LAN qu'OPNsense a configuré par défaut qui est 192.168.1.1/24

Assignation d'adresses IP aux interfaces

OPNsense permet d'assigner des adresses IP aux différentes interfaces configurés. Pour ce faire, il faut sélectionner l'option 2) Set interfaces IP adress. OPNsense demandera ensuite de sélectionner l'interface qui doit être configuré, prenons par exemple l'interface WAN. Dans notre cas nous allons pas configurer l'IPv4 WAN via DHCP donc on réponds avec n.
Il faut maintenant préciser la nouvelle adresse IPv4

Il faut aussi préciser le masque réseau qui est 24 dans notre cas.
Enter the new WAN IPv4 subnet bit count (1 to 31):
> 24
Si la configuration concerne le WAN alors il faut rentrer la passerelle de la box internet.

Il nous demande si on veut mettre une adresse IPv6, dans notre cas non ainsi que pour l'adresse manuelle de l'IPv6, pour ignorer il suffit de taper Entrez. Finalement OPNsense nous demande si on souhaite accéder a OPNsense via le protocole HTTP, pour des mesures de sécurité il vaut mieux répondre non donc n.
Do you want to revert to HTTP as the webConfigurator protocol ? (y/n): n
OPNsense demarrera la configuration.

Notice :

Pour configurer le LAN c'est la même manipulation.

Accéder a l'interface graphique d'OPNsense

Une fois l'installation et la configuration terminé, OPNsense vous donne une adresse IP que vous devez rentrer dans la barre de recherche de votre navigateur pour pouvoir accéder a l'interface d'OPNsense. En tapant l'adresse IP vous devriez visualiser le login d'OPNsense.

Les informations de connexion sont :

• User : root
• Password : Votre mot de passe défini durant l'installation d'OPNsense

Si les informations sont correctes, vous devriez accéder au Dashboard d'OPNsense.

Soucis connus

ERR_SSL_PROTOCOL_ERROR

Si vous n'arrivez pas accéder a OPNsense via l'adresse IP qui vous est fournie a cause d'une erreur SSL, la meilleure option serait de relancer tous les services en tapant 11 dans la console d'OPNsense.

Echec de l'ouverture de session de la machine virtuelle

Important :

Cette erreur concerne uniquement VirtualBox.

Cette erreur apparait que dans les systèmes OSX. C'est une incompatibilité entre la dernière version de VirtualBox qui est la 6.1.20 et le système d'exploitation OSX. Il existe deux solutions, une serait de télécharger la version 5.2.44 ou inférieur et l'autre serait de mettre a jour OSX.

LiveCD après installation

Si deux machines d'un même réseau exécutent OPNsense, dans les deux versions les changements effectués ne seront pas enregistres après un redémarrage. Le système pense que c'est une Live Demo et ne prendra pas en compte les modifications apportés.

Spoofing | Problème de routage

Il est possible qu'après la mise en place d'OPNsense, celui-ci bloque un des nœuds du réseau. Pour remédier a ce problème il suffit de configurer l'interface WAN via le dashboard d'OPNsense. Veuillez suivre ces étapes :

1. Accéder au dashboard d'OPNsense
2. Accéder a l'interface WAN
3. Dans la configuration générale de l'interface WAN, désactiver l'option Bloquer les réseau privés et Bloquer les adresses bogon (non attribuées par l'IANA)
4. Sauvegarder ensuite les modifications

Configuration de netplan

OPNsense devra être le pare-feu par défaut sur les serveurs qui vont l'utiliser. Pour ce faire, il suffit de configurer le netplan du serveur en production. Veuillez suivre ces étapes pour la configuration de netplan :

1. Ouvrir le fichier de configuration netplan en mode administrateur: /etc/netplan/01-network-manager-all.yml
2.  Appliquer cette configuration (il faut faire attention aux espaces, YAML est très strict avec ça):

network:
   version: 2
   renderer: networkd
   ethernets:
       l'interface réseau de la machine:
           dhcp4: no
           dhcp6: no
           addresses: [l'adresse IP de la machine/24]
           gateway4: l'adresse IP du pare-feu

1. Appliquer les changements via la commande : sudo netplan apply et sudo netplan try
2. Vérifier que le serveur passe bien par le pare-feu via la commande : ip r

Plage horaire

OPNsense permet de programmer des plages horaires pour les règles du pare-feu. Ici nous réaliserons un exemple en coupant internet a une machine qui est dans le même réseau pendant 15 minutes. Avant de commencer il faut vérifier deux choses:

• La machine qui subira les tests passe bien par le pare-feu
• L'adresse IP de la machine qui subira les tests

Créer un créneau

Il faut commencer d'abord par accéder a notre panneau OPNsense via le navigateur web et aller directement dans les planifications. Pour ajouter une plannification, il suffit de clicker sur le bouton + Ajouter.

Important :

Veuillez fournir toutes les informations demandés.

Les paramètres de planification vont s'afficher. Voici les champs qu'il faudra remplir :

• Nom : nom de la planification
• Description : Vous pouvez entrer ici une description pour votre référence (non utilisée par le système)
• Mois : Le calendrier pour sélectionner une date
• Heure : Définissez l'intervalle de temps du(des) jour(s) sélectionné(s) pour le(s) mois ci-dessus. Un jour complet est représenté par l'intervalle 00:00-23:59
• Description de l'intervalle de temps : Vous pouvez entrer ici une description pour votre référence (non utilisée par le système)

Une fois que les champs ont été remplis, veuillez ajouter le créneau au plages configurées via le bouton Ajouter ce créneau. Dans notre cas, le créneau sera actif uniquement pendant 15 minutes.

Créer une règle avec le créneau

Pour pouvoir utiliser le créneau, il faut créer une règle et ensuite la lier avec ce dernier. Il faut commencer par accéder aux règles du pare-feu et selectionner l'interface LAN. Pour ajouter une nouvelle règle il suffit de clicker sur le bouton + Ajouter. Dans notre cas, nous allons bloquer l'accès internet a la machine 192.168.123.180. Voici les champs a configurer :

• Action : Autoriser | Bloquer | Rejeter
• Desactivé : Sélectionnez cette option pour désactiver cette règle sans la retirer de la liste.
• Rapide : Cette option applique immédiatement sur la correspondance
• Interface : Choisissez sur quelle interface les paquets doivent provenir pour appliquer cette règle : LAN | Loopback | WAN
• Direction : Direction du trafic. La stratégie par défaut consiste à filtrer le trafic entrant, ce qui définit la stratégie sur l'interface recevant à l'origine le trafic : in | out
• Version TCP/IP : Sélectionnez la version d'IP qui s'applique à cette règle : IPv4 | IPv6 | IPv4+IPv6
• Protocole : Choisissez à quel protocole IP cette règle doit correspondre. Dans la plupart des cas vous devriez choisir TCP.
• Source / Inverser : Cette option permet d'inverser le sens de la correspondance.
• Source : Dans notre cas c'est pour un seul post donc on sélectionne l'option Hôte unique ou réseau, l'adresse IP de la machine 192.168.123.180, les autres options sont : any | Ce pare-feu | LAN net | LAN adresse | Loopback net | WAN net | WAN adresse
• Destination / Inverser : Cette option permet d'inverser le sens de la correspondance
• Destination : Dans notre cas, on laissera en any, les autres options se trouvent dans l'option source un peu plus en haut
• Plage de ports de destination : Vous pouvez indiquer le port ou la plage de ports de destination du paquet pour cette redirection. Dans notre cas, nous allons mettre en any pour bloquer tous les ports.
• Log : Activez cette option si vous souhaitez journaliser les paquets gérés par cette règle
• Catégorie : Vous pouvez entrer ou sélectionner une catégorie pour regrouper des règles de firewall (non utilisée par le système)
• Description : Vous pouvez entrer ici une description pour votre référence (non utilisée par le système)

Fonctionnalités avancées

• OS source : Fonctionne uniquement pour les règles TCP. Sélectionner OS Général pour tous les sous-types (protocoles)
• Pas de Sync XMLRPC : Cela empêche la règle sur le Maître de se synchroniser automatiquement avec les autres membres CARP. Cela n'empêche PAS l'écrasement de la règle sur l'Esclave. Dans notre cas nous allons la laisser désactivé
• Planifier : Cette option nous permet de lier la règle a un créneau, dans notre cas nous allons sélectionner le créneau que nous avons crée. Si vous souhaitez laisser la règle activée en permanence, veuillez sélectionner None
• Passerelle : Laisser à default pour utiliser la table de routage système. Ou choisissez une passerelle pour utiliser le routage basé sur des politiques.

Une fois que vous avez terminé la configuration, veuillez sauvegarder via le bouton Sauvegarder.
Maintenant vous devriez visualiser votre règle avec le créneau. Effectuez un test sur la machine ciblé et vérifiez qu'elle réponds bien aux règles du pare-feu.

Notice :

L'icone du calendrier est vert quand le règle est activé, il devient noir quand cette derniere se désactive.

Bande passante

OPNsense permet de travailler avec la bande passante. Pour plus d'information, veuillez visiter https://docs.opnsense.org/manual/shaping.html#introduction

Limiter la bande passante internet par utilisateur

Pour cet exemple, nous allons diviser le trafic de téléchargement Internet entre les utilisateurs connectés de manière à ce que chaque utilisateur reçoive jusqu'à un maximum de 1 Mbps.

Pour commencer, allez a Pare-feu ‣ Shaper ‣ Settings

Créer un tuyaux de téléchargement

Dans l'onglet Tuyaux, clicker sur le bouton + Ajouter pour créer un tuyaux de téléchargement

activé	Case coché	Cette case active le tuyau
bande passante	1	Valeur numérique de la bande passante souhaitée
métrique de bande passante	Mbit/s	Métrique à utiliser avec la valeur numérique
masque	destination	Sélectionnez la source pour limiter la bande passante par client
description	PipeDown-1Mbps	Description pour identifier ce tuyau (pipe)

Sauvegardez ensuite le tuyau

Créer une règle

Nous allons créer une règle pour le trafic provenant d'internet (Téléchargement)

Toujours dans la même section, allez dans l'onglet Règles et créez une.

séquence	1	Ordre dans lequel la règle sera évaluée (le plus bas en premier)
interface	WAN	Sélectionnez l'interface connecté à Internet
protocole	ip	Sélectionnez le protocole, dans notre exemple IP
source	any	IP source
src-port	any	Port de la source
destination	192.168.123.180	L'IP de destination a manipuler
dst-port	any	Port de destination
cible	PipeDown-1Mbps	Sélectionnez le tuyau de téléchargement crée auparavant
description	ShapeTéléchargement	Entrez un nom descriptif

Références

Notice :

Cette partie contient différentes ressources concernant OPNsense.

• Site officiel : https://opnsense.org/
• Documentation officielle d'OPNsense : https://docs.opnsense.org/
• Forum officiel : https://forum.opnsense.org/
• Documentation pour développeurs : https://docs.opnsense.org/develop.html