Vous avez une vieille tour qui prend la poussière et que vous n'utilisez plus ni pour jouer ni pour travailler ? Ne la jetez pas ! Vous pouvez tirer le meilleur parti de vos anciens PC en les transformant en cerveau de votre réseau domestique . Configurer votre propre pare-feu avec OPNsense est une excellente solution, car cela vous permet de vous débarrasser des routeurs basiques que les fournisseurs d'accès à Internet nous imposent, qui ont tendance à surcharger au moindre sollicitation ou à surchauffer en été, vous laissant en panne au pire moment.
L'idée est d'exploiter la puissance d'un processeur PC, bien supérieure à celle d'un routeur classique, pour gérer le trafic, filtrer le contenu et segmenter votre réseau . Nul besoin d'être un expert réseau pour commencer, même s'il est nécessaire d'avoir une certaine aisance en configuration et de comprendre que la consommation d'énergie sera légèrement supérieure à celle d'un petit appareil. En revanche, le contrôle accru sur votre sécurité est tout simplement incomparable.
Le matériel nécessaire pour construire votre routeur domestique
Pour que cela fonctionne parfaitement, n'importe quel ordinateur ne conviendra pas. Idéalement, il vous faut une tour de bureau avec des ports PCI Express libres sur la carte mère. Oubliez les ordinateurs portables et les mini-PC, car nous devons connecter des cartes réseau physiques. Pour l'accès à Internet, une carte réseau haut débit (de préférence 10 Gbit/s) compatible avec les connexions fibre optique actuelles est fortement recommandée.
Le point crucial réside dans les ports Ethernet. Un routeur nécessite au moins deux interfaces : une pour le WAN (celle qui se connecte au modem de votre fournisseur d'accès Internet) et une autre pour le LAN (celle qui distribue Internet à votre domicile). Si vous souhaitez connecter plusieurs appareils par câble sans problème, il est préférable d'installer une carte réseau multiport (par exemple, une carte Gigabit à 4 ports). Cela évite la surcharge du processeur lors du traitement de chaque paquet et garantit une connexion fluide.
Pour ce qui est des composants internes, inutile de dépenser une fortune. Un processeur Intel i3, voire un ancien modèle bicœur, suffit amplement. L'important est une faible consommation d'énergie (un TDP modéré), car l'ordinateur fonctionnera en permanence. Avec 4 Go de RAM et un petit SSD pour le système d'exploitation, vous aurez largement de quoi faire. Pour économiser de l'énergie et réduire le bruit, vous pouvez abaisser la fréquence du processeur dans le BIOS et, si possible, privilégier la carte graphique intégrée à la carte graphique dédiée.
Installation et déploiement du système
OPNsense étant basé sur FreeBSD, nous n'utiliserons pas Windows. Pour l'installer, vous aurez besoin d'une clé USB formatée en FAT32 contenant l'image système (choisissez la version VGA pour visualiser les opérations à l'écran). Il est crucial de désactiver le démarrage sécurisé dans le BIOS, car FreeBSD peut parfois rencontrer des problèmes avec cette option, et de vous assurer que la clé USB est le périphérique de démarrage principal.
Lors de l'installation, le système vous demandera de créer un mot de passe pour l'utilisateur root ; choisissez-en un robuste que vous n'oublierez pas. Une fois l'installation terminée, l'ordinateur redémarrera et vous accéderez à un menu en mode texte. C'est ici que vous devrez configurer les interfaces réseau . Pour éviter toute confusion, connectez un câble à chaque port et vérifiez lequel est actif à l'écran ; cela vous indiquera précisément quelle interface est votre WAN et laquelle est votre LAN. Normalement, l'interface WAN recevra automatiquement une adresse IP via DHCP de votre routeur, tandis que l'interface LAN aura l'adresse IP par défaut, généralement 192.168.1.1.
Virtualisation : OPNsense sur Proxmox ou KVM
Si vous disposez d'un serveur plus puissant, il n'est pas nécessaire de dédier un PC entier au pare-feu. Vous pouvez utiliser la virtualisation avec Proxmox ou KVM. Avec Proxmox, par exemple, vous pouvez créer des interfaces logiques et des ponts pour gérer le trafic. C'est très utile pour segmenter votre réseau sans avoir besoin de plusieurs cartes réseau physiques, car vous pouvez utiliser la norme 802.1Q pour créer des VLAN (réseaux virtuels).
Dans un environnement virtualisé, vous pouvez configurer un réseau de gestion pour communiquer avec le pare-feu sans passer par le réseau utilisateur. Ceci est essentiel pour la sécurité, car cela vous permet de limiter l'accès à l'administration système à votre seule équipe de confiance, empêchant ainsi tout utilisateur non autorisé connecté à votre réseau Wi-Fi d'accéder au panneau de configuration du routeur.
Le problème du Wi-Fi et de la segmentation
Voici le problème : OPNsense n'est pas compatible avec les pilotes des cartes Wi-Fi du commerce. La meilleure solution consiste donc à utiliser un point d'accès externe . Vous pouvez réutiliser un ancien routeur en le configurant en « mode point d'accès » ou en désactivant son serveur DHCP pour qu'il serve uniquement de pont sans fil. Connectez ce point d'accès à l'un des ports LAN de votre ordinateur/routeur, et le tour est joué.
Pour aller plus loin, vous pouvez utiliser un commutateur administrable afin de créer des réseaux isolés. Par exemple, vous pouvez dédier le VLAN 50 exclusivement au Wi-Fi invité ou aux appareils IoT, en le séparant complètement de votre réseau professionnel (VLAN 10). Dans OPNsense, vous devrez configurer le serveur DHCP (tel que Kea) pour chaque sous-réseau et créer des règles de pare-feu spécifiques autorisant le trafic vers le WAN mais bloquant la communication entre le réseau Wi-Fi et vos fichiers personnels, appliquant ainsi une sécurité renforcée grâce aux VLAN.
Configuration finale et mise au point
Une fois le système démarré, vous n'aurez plus besoin d'écran ni de clavier sur votre PC. Tout se gère via un navigateur web en saisissant l'adresse IP du réseau local. La première étape consiste à configurer la NAT sortante (masquage) afin que les appareils de votre réseau interne puissent accéder à Internet via l'adresse IP publique de votre réseau étendu (WAN). Si vous constatez que des clients possèdent une adresse IP mais ne peuvent pas naviguer sur Internet, vérifiez que le serveur DNS sortant est configuré avec les listes de contrôle d'accès autorisées à recevoir les requêtes provenant de tous vos sous-réseaux.
N'oubliez pas que, par défaut, OPNsense bloque tout le trafic sur les nouvelles interfaces. Vous devrez accéder à la section des règles et créer une règle d'autorisation pour permettre au trafic de votre réseau local d'atteindre le réseau étendu. Si votre fournisseur d'accès Internet est très restrictif et utilise l'adresse MAC du routeur d'origine à d'autres fins, vous pouvez la dupliquer dans OPNsense pour tromper le système et obtenir une connexion.
La mise en place de ce système vous offre un contrôle total sur les entrées et sorties de votre réseau, vous permet de gérer la bande passante afin d'éviter la saturation lors du téléchargement de jeux, et surtout, vous aide à comprendre le fonctionnement d'Internet à domicile. Bien que sa consommation électrique soit légèrement supérieure à celle d'un routeur classique, la puissance de traitement et la sécurité offertes par ce matériel dédié compensent largement cette légère augmentation de votre facture d'électricité.
