Le remplacement de mon Firewall UTM Sophos par la solution OPNsense

Bonjour

Cet article est venu plus vite que prévu, étant donné que les limites de la licence de mon Firewall UTM Sophos ont été atteinte début avril.

Après plusieurs tests, de différentes solutions c’est la solution OPNsense qui a été retenue, pour remplacer la solution actuelle au cœur de mon réseau.

Cette migration est dans les cartons, mais lors d’un week-end avec un peu de monde à la maison et donc des équipements en wifi en plus sur le réseau, j’ai reçu une alerte de mon firewall Sophos me disant que j’avais atteinte 48 IPs gérés sur 50 maximum. Après validation du support Sophos, il n’y a pas de moyen de réinitialiser la liste des IPs sous licence avec le baux de 7 jours glissants.

Ce point a fait accélérer le remplacement, car je ne pouvais plus garder cette épée de Damoclès sur mon réseau.

La migration a été réalisée sur un week-end en utilisant la même machine (lien ici et ici) que le serveur Sophos en remplaçant juste le disque dur par un nouveau permettant un retour arrière simple rapide et complet en cas de migration partielle en fin du week-end.

Je ne vais pas détailler l’installation en elle-même j’ai tout simplement suivi la documentation officielle disponible sur le site officiel du projet OPNsense.

Par contre je vais essayer de lister les différentes fonctionnalités utilisées sur cette nouvelle solution après un mois de migration, mais avant tout voici un petit rappel sur les connectivités de ce firewall :

• Une zone LAN, hébergeant les périphérique filaires de mon réseau (ordinateurs, imprimantes, tv etc)
• Une zone DMZ hébergeant les services accessible aussi bien depuis la zone LAN mais surtout depuis l’extérieur (NAS / Proxmox, etc…)
• Une zone WLAN, donnant accès à tous les périphérique wifi via une solution de point d’accès Ubiquiti diffusant deux SSID différents dont un tagué Guest.
• Une zone WAN1 reliée au réseau K-Net Fibre
• Une zone WAN2 reliée au réseaux Orange en ASDL

Ces deux dernières zones gèrent le multi wan en actif / backup.

Quelles sont les différentes fonctions que j’utilise et que j’ai reprise lors de la re configuration de ce nouvelle machine :

• La gestion du multi WAN (Fibre & ADSL pour ma part)
• Le routage
• Les règles de filtrage entre les différentes zones
• Le NAT très peu au final car tout passe par le réseau OpenVPN pour l’accès aux données internes depuis l’extérieur. Au final le nat ne sert que d’accès de secours en cas de soucis.
• Les serveurs DHCP
  • Un pour la zone LAN
  • Un pour la zone WLAN Guest, pour la zone WLAN traditionnelle c’est par filtrage MAC que l’attribution des IPs se fait
• Le service de DNS Dynamique via OVH DynHOST
• Les services comme SNMP / Smart / NTP / WOL sont bien sûr activés et utilisés
• La sauvegarde automatique vers Google Drive (un peu compliqué à mettre en place mais on n’y touche plus après et pour moi une sauvegarde automatique externe est indispensable, le tout bien évidemment chiffré)

De plus par rapport à mon ancien Firewalll UTM Sophos, j’utilise la fonctionnalité de client OpenVPN pour connecter mon réseau domestique à mes hébergeurs externes comme OVH et Aruba Cloud.

Cette fonctionnalité était remplie jusqu’à présent par un machine virtuelle en zone DMZ en attendant mieux, celle ci est devenu inutile à ce jour.

De plus j’ai aussi activé la fonction de Netflow interne pour avoir une vision plus fine des flux transitant par ce firewall.

Après un mois d’utilisation et configuration, je confirme l’efficacité du produit OPNsense, en tout cas il comble à ce jour tous les points de mon cahier de charge.

Il reste encore quelques paramétrages et affinages à faire, mais je suis satisfait du changement et de mon choix.

Bonne lecture