Installer et configurer OPNsense : le guide complet de A à Z

OPNsense est un pare-feu et routeur open source, basé sur FreeBSD, réputé pour la richesse de son interface web et son excellent rapport fonctionnalités/simplicité. Voici comment l’installer et le configurer de A à Z, en partant strictement de la documentation officielle sur opnsense.org.

Ce dont vous avez besoin avant de commencer

• Un PC ou mini-serveur dédié avec au moins 2 cartes réseau (une pour le WAN, une pour le LAN) — un boîtier « firewall appliance » à deux ou plusieurs ports Ethernet convient parfaitement, tout comme un vieux PC avec une carte réseau ajoutée.
• 4 Go de RAM minimum (8 Go plus confortable), et un disque d’au moins 8 Go.
• Une clé USB de 1 Go minimum pour l’installateur.
• Un câble Ethernet et un accès à votre box/modem pour le WAN.

Installation étape par étape

Prévoyez environ une heure au total. Contrairement à beaucoup de logiciels d’infrastructure, l’installateur d’OPNsense est plutôt agréable à utiliser — ce qui ne gâche rien.

Étape 1 — Télécharger l’image officielle

Rendez-vous sur opnsense.org/download et choisissez :

• Architecture : amd64 (la quasi-totalité du matériel PC actuel).
• Type d’image : dvd pour un démarrage classique en mode graphique (le plus simple pour débuter), vga pour une clé USB en mode graphique, ou serial si votre matériel n’a pas de sortie vidéo (typique sur du matériel serveur en rack).

Important : le numéro de version affiché change régulièrement (nouvelle version majeure tous les six mois environ) — téléchargez toujours celui affiché sur la page officielle au moment de votre installation, pas un numéro figé trouvé dans un ancien tutoriel. Vérifiez aussi la somme de contrôle (checksum) proposée sur la page, comme le recommande la documentation officielle, avant d’écrire l’image.

Étape 2 — Créer le support d’installation

Avec Rufus (Windows) ou balenaEtcher (multiplateforme), écrivez l’image .iso (après décompression du .bz2) sur votre clé USB. Comptez 5 à 10 minutes.

Étape 3 — Démarrer sur la clé et se connecter à l’installateur

Branchez la clé sur la machine cible, démarrez dessus. Une fois le système live chargé, connectez-vous avec :

Identifiant : installer
Mot de passe : opnsense

Oui, le mot de passe par défaut est littéralement « opnsense » — à changer dans la foulée, on y vient.

Étape 4 — Suivre l’assistant d’installation

1. Disposition du clavier — la configuration par défaut convient dans la grande majorité des cas.
2. Choix du système de fichiers — UFS (simple, éprouvé) ou ZFS (plus robuste, snapshots natifs, recommandé si votre matériel a suffisamment de RAM).
3. Type de partitionnement — « stripe » pour un disque unique, ce qui couvre la majorité des installations à la maison ou en petite structure.
4. Sélection du disque — repérez le bon device (da0, nvd0…) ; en cas de doute, débranchez temporairement tout disque annexe pour éviter l’erreur classique du « mauvais disque effacé ».
5. Confirmation — l’installateur préviendra que le disque sélectionné sera entièrement effacé. Lisez avant de valider.
6. Espace d’échange (swap) — acceptez par défaut, sauf espace disque vraiment très limité.
7. Mot de passe root — choisissez-en un vraiment différent de « opnsense » cette fois.

L’installation se termine en quelques minutes, puis le système redémarre.

Étape 5 — Assigner les interfaces réseau (premier démarrage console)

Au premier redémarrage, la console vous demande d’assigner les interfaces : laquelle est le LAN, laquelle est le WAN. Si vous ne savez pas laquelle est laquelle physiquement, débranchez tout sauf un câble, et observez quelle interface passe à l’état « up » dans la console — c’est la méthode la plus fiable pour ne pas confondre les deux (l’inverser n’est pas dramatique, mais autant l’éviter).

Par défaut, le LAN reçoit l’adresse 192.168.1.1/24.

Étape 6 — Se connecter à l’interface web

Depuis un ordinateur branché sur le port LAN, ouvrez https://192.168.1.1. Le navigateur affichera un avertissement de sécurité — normal, OPNsense utilise un certificat auto-signé par défaut. Acceptez l’exception pour continuer.

Identifiants par défaut :

Identifiant : root
Mot de passe : opnsense

Étape 7 — Suivre l’assistant de configuration

Dès la première connexion, un assistant vous guide à travers les réglages essentiels :

• Informations générales — nom d’hôte, domaine, serveurs DNS (ceux de votre choix, ou ceux de votre fournisseur d’accès).
• Fuseau horaire et serveur de temps (NTP) — laissez les valeurs par défaut sauf besoin spécifique.
• Configuration du WAN — type de connexion (DHCP dans la majorité des cas domestiques, statique ou PPPoE selon votre fournisseur).
• Configuration du LAN — vous pouvez conserver 192.168.1.1/24 ou choisir votre propre plage.
• Mot de passe administrateur — dernière étape, remplacez définitivement « opnsense ».

Une fois l’assistant terminé, la configuration se recharge et votre pare-feu est opérationnel pour un usage de base.

Étape 8 — Les premiers réglages à ne pas négliger

• Mettre à jour le système — Système → Firmware → Mises à jour, avant toute autre chose.
• Désactiver l’accès web depuis le WAN — vérifiez que l’interface d’administration n’est accessible que depuis le LAN (c’est le cas par défaut, mais ça se vérifie).
• Configurer une sauvegarde de la configuration — Système → Configuration → Sauvegardes, pour ne pas tout reconfigurer à la main en cas de panne matérielle.

Comprendre les règles de pare-feu de base

OPNsense fonctionne, comme la plupart des pare-feu de ce type, sur un principe simple mais qu’il faut bien intégrer : tout ce qui n’est pas explicitement autorisé est bloqué, particulièrement depuis le WAN vers le LAN. Les règles se créent sous Pare-feu → Règles, interface par interface, et sont évaluées de haut en bas — la première règle qui correspond au trafic s’applique, les suivantes sont ignorées pour ce paquet.

Par défaut, le trafic sortant du LAN vers Internet est autorisé (règle « LAN to any » présente par défaut), tandis que le trafic entrant depuis le WAN est bloqué sauf règle explicite — exactement le comportement qu’on attend d’un pare-feu résidentiel ou de petite entreprise.

Les alias : arrêter de retaper les mêmes adresses IP

Sous Firewall → Aliases, créez des listes nommées d’IP, de réseaux, de ports ou de noms d’hôtes, réutilisables dans n’importe quelle règle. Exemple concret : un alias « Appareils_Confiance » regroupant votre PC, votre téléphone et votre tablette, utilisé ensuite comme source dans plusieurs règles plutôt que de retaper trois adresses IP à chaque fois. Le jour où vous changez de téléphone, vous modifiez l’alias une fois — pas cinq règles éparpillées dans l’interface.

NAT et redirection de ports (accéder à un service interne depuis l’extérieur)

Pour exposer un service hébergé sur votre réseau local (un serveur web, une caméra, un accès à distance) depuis Internet, direction Firewall → NAT → Destination NAT (Port Forward) :

1. Interface : WAN.
2. Protocole : TCP, UDP, ou les deux selon le service.
3. Port de destination : le port tel qu’il arrive depuis Internet (ex. 8080).
4. Redirect target IP / port : l’adresse IP interne du serveur et le port réel du service (ex. 192.168.1.50:80).

OPNsense crée alors automatiquement la règle de pare-feu correspondante sur le WAN — pas besoin de la dupliquer manuellement, ce qui évite l’oubli classique « j’ai fait le NAT mais pas la règle » qui laisse le service injoignable.

Point technique à retenir : le NAT est toujours traité avant les règles de filtrage, quel que soit l’ordre affiché dans l’interface. Ça n’a l’air de rien, mais ça explique pas mal de comportements qui semblent illogiques au premier abord quand on débute.

Les règles flottantes (floating rules)

Une règle classique s’applique à une seule interface. Une règle flottante (Firewall → Rules → Floating) s’applique à plusieurs interfaces sélectionnées en une seule fois — pratique pour une règle de blocage générale que vous voulez appliquer identiquement sur LAN, IoT et invités sans la recopier trois fois. À réserver aux cas qui le justifient : trop de règles flottantes rendent le dépannage plus difficile, puisqu’on ne sait plus d’un coup d’œil quelle règle s’applique où.

Configurer le serveur DHCP sur le LAN

Sous Services → DHCPv4 → [LAN] : activez le service, définissez la plage d’adresses distribuées (par exemple 192.168.1.100 à 192.168.1.199, en laissant le début de la plage libre pour des adresses statiques), et éventuellement des réservations DHCP pour que certains appareils (imprimante, NAS) reçoivent toujours la même adresse.

Segmenter avec un réseau invité ou IoT (VLAN)

Comme sur un routeur UniFi, OPNsense permet de créer des réseaux séparés. Sous Interfaces → Other Types → VLAN, créez un VLAN sur votre interface LAN physique (ex. VLAN 30 pour l’IoT), puis assignez-le comme une interface à part entière sous Interfaces → Assignments. Une fois l’interface activée avec sa propre plage IP et son propre serveur DHCP, appliquez-lui des règles de pare-feu dédiées — par exemple autoriser uniquement la sortie vers Internet, et bloquer explicitement tout trafic vers le LAN principal.

Mises à jour et sauvegarde de la configuration

Mettre à jour le système

Sous Système → Firmware → Mises à jour, cliquez sur « Vérifier les mises à jour » puis « Mettre à jour » si une nouvelle version est disponible. Un redémarrage est généralement nécessaire après une mise à jour majeure — prévoyez une fenêtre de maintenance, pas une mise à jour improvisée un lundi matin avant l’ouverture.

Sauvegarder (et vérifier qu’on peut restaurer)

Sous Système → Configuration → Sauvegardes, téléchargez le fichier config.xml qui contient l’intégralité de votre configuration. Conservez-en une copie hors du pare-feu lui-même (évidemment). Pour restaurer, il suffit de réimporter ce fichier depuis un OPNsense fraîchement installé — mais ne le vérifiez pas pour la première fois le jour où vous en avez réellement besoin ; testez la restauration une fois à froid, sur une VM de test par exemple, pour savoir que ça fonctionne vraiment.

Besoin d’aide pour déployer OPNsense sur votre réseau ? Contactez-nous, nous accompagnons l’installation et la configuration selon vos besoins spécifiques.