Pare-feu OPNsense pour votre entreprise
OPNsense est un pare-feu open source fondé sur FreeBSD. inett conçoit vos règles de filtrage, met en place les VPN et la haute disponibilité, puis assure les mises à jour.
Le constat
Le pare-feu est souvent l’équipement le moins documenté du réseau. Les règles s’accumulent au fil des projets. Personne ne sait plus pourquoi tel port reste ouvert. Le jour où l’administrateur part en congé, chaque modification devient un risque.
Avec un pare-feu propriétaire, une autre question se pose : celle de la dépendance. Les fonctions avancées sont vendues sous forme d’abonnements séparés, et vous ne contrôlez ni le calendrier des mises à jour ni le prix du renouvellement. Enfin, beaucoup de sites reposent sur un seul boîtier. S’il tombe en panne, le site perd l’accès à Internet et aux autres agences.
Notre intervention
inett déploie OPNsense comme pare-feu et passerelle VPN. Nous commençons par cartographier votre réseau : segments, flux autorisés entre eux, services publiés sur Internet. Nous en tirons des règles de filtrage commentées une à une, lisibles par votre équipe.
Pour relier vos sites ou vos collaborateurs en déplacement, nous configurons des tunnels WireGuard ou IPsec selon ce que l’équipement distant prend en charge. Lorsque le pare-feu ne doit pas constituer un point de défaillance unique, nous installons deux nœuds en haute disponibilité avec CARP. Le nœud de secours reprend les adresses IP partagées si le nœud principal tombe, et l’état des connexions est synchronisé entre les deux.
OPNsense fonctionne sur un matériel dédié ou en machine virtuelle, par exemple sur Proxmox VE. En exploitation, nous appliquons les mises à jour, révisons les règles et les certificats et intervenons en cas d’incident. La supervision du pare-feu peut s’intégrer à Checkmk.
inett est partenaire de formation certifié OPNsense (OPNsense Certified Training Partner).
Caractéristiques techniques
- Version actuelle
- Community Edition 26.7 (octobre 2026)
- Cycle de publication
- deux versions majeures par an, en janvier et en juillet ; mises à jour mineures environ toutes les deux semaines (feuille de route)
- Business Edition
- édition payante de Deciso, l’éditeur d’OPNsense ; publiée en avril et en octobre, chacune fondée sur une version Community déjà éprouvée
- Licence
- Community Edition : BSD à 2 clauses, utilisation commerciale libre
- Plateforme
- FreeBSD sur matériel x86 64 bits (amd64)
- VPN
- WireGuard, IPsec, OpenVPN
- Haute disponibilité
- CARP avec synchronisation des états (pfsync) et de la configuration entre deux nœuds
- Autres fonctions
- détection et prévention d’intrusion avec Suricata, portail captif, gestion de la bande passante, greffons
- Administration
- interface web et API
- Documentation
- docs.opnsense.org
Les deux éditions partagent les mêmes fonctions de base. La Business Edition apporte un rythme de mises à jour plus prudent, le support de l’éditeur et quelques compléments, comme OPNcentral pour administrer plusieurs pare-feu depuis une console unique.
Prestations incluses
- Analyse du réseau et des règles de filtrage existantes
- Conception des segments réseau, des règles et de la traduction d’adresses (NAT)
- Installation et configuration de base sur matériel dédié ou en machine virtuelle
- VPN inter-sites et accès distant avec WireGuard ou IPsec
- Paire en haute disponibilité avec CARP
- Reprise des règles d’un ancien pare-feu, après vérification
- Documentation des règles et prise en main par votre équipe
- Mises à jour, maintenance des règles et dépannage en exploitation
inett fournit aussi le matériel et les licences : appliances OPNsense et souscriptions OPNsense Business Edition.
Pour qui ?
OPNsense convient aux entreprises, aux administrations et aux prestataires informatiques qui veulent garder la maîtrise de leur pare-feu et ne pas payer chaque fonction séparément. C’est aussi une bonne base pour relier plusieurs sites par VPN ou pour remplacer un boîtier dont la licence arrive à échéance.
OPNsense convient moins si votre politique de sécurité impose la console centrale d’un constructeur précis sur l’ensemble de votre parc. Et si personne en interne ne souhaite suivre le pare-feu, prévoyez un contrat de suivi : un pare-feu sans mises à jour perd rapidement sa valeur.
Questions fréquentes
Avons-nous besoin de la Business Edition ?
La Community Edition suffit dans la plupart des cas. La Business Edition se justifie si vous souhaitez des mises à jour plus prudentes, le support de l’éditeur ou l’administration centralisée de plusieurs pare-feu.
OPNsense peut-il fonctionner en machine virtuelle ?
Oui, par exemple sous Proxmox VE. Pour le pare-feu placé en bordure d’Internet, nous conseillons un matériel dédié, ou au minimum des cartes réseau dédiées, afin qu’une erreur sur l’hyperviseur n’expose pas le réseau.
À quelle fréquence faut-il mettre OPNsense à jour ?
Des mises à jour mineures paraissent environ toutes les deux semaines, une version majeure tous les six mois. Les correctifs de sécurité doivent être appliqués rapidement. Dans une paire CARP, on met à jour un nœud après l’autre ; le réseau reste disponible, à la courte bascule près.