Guide OMNITRADE

Cybersécurité : 12 attaques/jour

Votre routeur subit en moyenne 12 tentatives d’intrusion par jour. Ce tutoriel vous fait configurer un firewall matériel avec filtrage géographique, détection d’intrusion et segmentation réseau. Résultat obtenu en 45 minutes : un réseau domestique ou professionnel résistant aux scans automatiques et aux botnets.

Le pas-à-pas Sécurisation Firewall

Ce qu’il vous faut :

• Routeur firewall compatible pfSense/OPNsense (Protectli FW4B ou équivalent disponible chez OMNITRADE)
• Clé USB 8Go minimum pour l’installation système
• Accès WAN avec IP publique fixe ou dynamique
• Temps estimé : 45 minutes

https://192.168.1.1
Login : admin
Mot de passe : [votre mot de passe]

Menu : Firewall > Rules > WAN
Action : Block
Logging : Enable log

Installation : pfBlockerNG-devel
Configuration : Firewall > pfBlockerNG > IP
IPv4 Source : MaxMind GeoLite2 (compte gratuit requis)

Installation : Suricata
Configuration : Services > Suricata > Interfaces
Interface : WAN
Mode : IDS (détection seule) ou IPS (prévention inline)

Update Interval : 24 hours
Time : 04:00
Rules : ET Open (Emerging Threats)
Enable : Block offenders (si mode IPS)

ls -lh /var/log/suricata/

cat /etc/crontab | grep suricata

ls -lh /var/log/suricata/

cat /etc/crontab | grep suricata

Interfaces > Assignments > VLANs
Add : Parent interface em0 (ou igb0)
Tag : 30
Description : VLAN_IOT

Interfaces > Assignments
Add : VLAN_IOT (opt2)

VPN > WireGuard > Settings
Enable : checked
Interface : wg0
Listen Port : 51820
Tunnel Address : 10.200.200.1/24

Peer Configuration :
Public Key : [clé publique mobile]
Allowed IPs : 10.200.200.2/32
Endpoint : votre_ip_publique:51820

ping vers 10.200.200.1 doit répondre en moins de 50 ms. Si le tunnel ne s'établit pas, vérifiez que la règle WAN autorise bien l'UDP entrant sur le port 51820.

Status > System Logs > Settings
Remote Logging : Enable
Remote Syslog Server : 192.168.1.50 (votre NAS ou serveur)
Remote Syslog Port : 514
Protocol : UDP (ou TCP/TLS pour plus de sécurité)

Commande SSH :
df -h | grep var
Résultat attendu : Utilisation inférieure à 50% sur /var

Pour comprendre le pourquoi et les cas avancés, poursuivez ci-dessous.

Aller plus loin

Les technologies à comprendre

La mise en œuvre d’un firewall matériel performant repose sur une stack technologique multicouche où chaque composant joue un rôle spécifique dans la chaîne de défense. Comprendre ces mécanismes vous permettra d’optimiser votre configuration au-delà du simple copier-coller de règles.

Le filtrage géographique (GeoIP) s’appuie sur des bases de données distribuées par MaxMind (GeoLite2) ou IP2Location. Ces fichiers binaires au format MMDB (MaxMind DB) cartographient les plages d’adresses IP IPv4 et IPv6 vers des localisations géographiques avec une précision de 99,8% au niveau pays et 80% au niveau ville pour les connexions fixes. Le processus de résolution fonctionne par arborescence binaire : lorsqu’un paquet arrive sur l’interface WAN, le firewall extrait l’adresse source, effectue une recherche O(log n) dans la table chargée en mémoire (environ 300 Mo pour la base complète), et compare le résultat à votre liste de pays autorisés/bloqués. Cette opération ajoute une latence inférieure à 2 millisecondes par requête, négligeable pour un usage domestique mais mesurable sur des flux à haute fréquence. Les mises à jour hebdomadaires sont essentielles car le renouvellement des blocs IP par les RIR (Regional Internet Registries) atteint 12% annuel.

Suricata et l’inspection profonde de paquets (DPI) utilisent un moteur de détection multi-threaded capable d’exploiter jusqu’à 32 cœurs simultanément. Contrairement à son prédécesseur Snort, Suricata implémente la bibliothèque Hyperscan d’Intel pour le pattern matching, permettant le scan de 30 000+ signatures Emerging Threats à 10 Gbps sur du matériel standard. Le système analyse non seulement les en-têtes mais la charge utile (payload) des paquets, reconstituant les flux TCP pour détecter les malwares polymorphes. En mode IDS (Intrusion Detection System), Suricata opère en tapotage de réseau (port mirroring) sans interrompre le trafic, générant des alertes syslog de gravité 1 (critique) à 4 (information). Le mode IPS (Intrusion Prevention System) requiert une configuration inline où le firewall bloque activement les paquets malveillants, augmentant la charge CPU de 40% mais offrant une réponse temps réel aux attaques zero-day.

La segmentation VLAN (Virtual LAN) repose sur la norme IEEE 802.1Q qui insère un tag de 4 octets dans l’en-tête Ethernet. Ce tag comprend l’identifiant VLAN (VID) sur 12 bits (permettant 4094 VLANs distincts) et la priorité 802.1p sur 3 bits. L’isolation couche 2 empêche la propagation des broadcasts ARP entre VLANs, réduisant la surface d’attaque des attaques par déni de service broadcast storm. Cependant, méfiez-vous du VLAN hopping : une attaque par double-tagging peut traverser un trunk si le switch natif n’est pas sécurisé. La solution passe par le native VLAN distinct et l’activation du port security sur vos équipements réseau.

WireGuard révolutionne le VPN par sa simplicité cryptographique. Utilisant Curve25519 pour l’échange de clés, ChaCha20 pour le chiffrement symétrique et Poly1305 pour l’authentification, il élimine la négociation complexe d’IPsec et la lourdeur d’OpenSSL. Le protocole fonctionne exclusivement en UDP (ports 51820 par défaut) avec un handshake initial de 1-RTT (Round Trip Time) puis des renouvellements silencieux toutes 120 secondes. Sur un processeur Intel J4125 (Celeron Quad Core), WireGuard atteint 900 Mbps de débit chiffré bi-directionnel, contre 300 Mbps pour OpenVPN en AES-256-GCM, tout en consommant 30% moins de cycles CPU. Le roaming natif permet de changer de réseau (4G vers Wi-Fi) sans coupure de tunnel, une fonctionnalité absente des solutions legacy.

L’écosystème des menaces comprend les botnets IoT (Mirai, Mozi) qui scannent Internet à la recherche de ports Telnet (23) et SSH (22) ouverts. Ces scans automatiques, effectués depuis des réseaux de zombies comprenant jusqu’à 400 000 appareils compromis, génèrent les 12 attaques quotidiennes moyennes observées sur une IP publique résidentielle. Les attaquants utilisent des techniques d’évasion comme le slow scan (un paquet toutes les 30 secondes pour éviter la détection temporelle) ou la fragmentation IP (envoi des en-têtes TCP dans des paquets distincts). Seul un IDS avec réassemblage de fragments et détection d’anomalies comportementales peut identifier ces tentatives furtives.

Enfin, la centralisation des logs via syslog-ng ou rsyslog vers un serveur distant (Graylog ou ELK Stack) répond à l’obligation légale française de conservation des logs de connexion pendant un an (article L34-1 du Code des postes et communications électroniques). Ces données, chiffrées en transit par TLS 1.3, permettent l’analyse forensique post-incident et la détection de patterns d’attaque sur plusieurs mois via des requêtes Elasticsearch.

Comparatif détaillé

L’analyse de ce comparatif révèle une segmentation claire du marché entre solutions intégrées et plateformes DIY. Le Protectli FW4B domine le segment professionnel grâce à ses ports 2,5 GbE compatibles avec les offres fibre multi-gigabit et son châssis passif sans ventilateur (MTBF 100 000 heures), garantissant un silence de fonctionnement critique pour les open spaces. Son processeur J4125 supporte AES-NI et VT-x, permettant la virtualisation légère (conteneurs LXC) pour héberger Pi-hole ou Unbound directement sur le firewall.

Le Qotom Q355G4 offre un rapport performance/prix intéressant avec son i5 de 5ème génération, bien que la consommation énergétique (15W TDP vs 10W pour le J4125) et l’absence de support officiel pfSense puissent freiner les entreprises. À l’opposé, le Netgate 1100, bien que limité à 2 ports et 2 Go de RAM (insuffisants pour Suricata intensif), bénéficie du support commercial Netgate et d’une optimisation logicielle poussée pour pfSense+.

La tendance actuelle observe une migration vers l’architecture x86 compacte (Dell OptiPlex Micro) pour les déploiements entreprise nécessitant la redondance PSU et le support vPro pour la gestion à distance. Cependant, ces solutions requièrent l’ajout d’une carte réseau quad-port Intel i225 disponible dans notre catégorie composants, ajoutant 80 € au budget initial. Pour les environnements sensibles au bruit, évitez les modèles à ventilateur actif (HP T620 Plus) qui atteignent 35 dB(A) sous charge, préférez les dissipations passives aluminium du FW4B ou de l’APU2.

En termes de pérennité, privilégiez impérativement les cartes réseau Intel (i210, i211, i225) aux Realtek : les pilotes FreeBSD/pfSense offrent une stabilité de driver supérieure et le support du hardware offloading checksum, réduisant la charge CPU de 20% lors du routage NAT intensif. Le ZimaBoard, bien que séduisant par son prix, souffre de limitations de bande passante USB3 partagée entre les deux interfaces réseau, créant un goulot d’étranglement à 1,2 Gbps agrégé incompatible avec la inspection DPI.

Benchmarks et mesures concrètes

Les performances réelles d’un firewall dépendent drastiquement de l’activation des services de sécurité. Nos tests en laboratoire, réalisés avec un générateur de trafic iperf3 entre un serveur WAN (10Gbps) et un client LAN, révèlent les chiffres suivants sur plateforme Protectli FW4B :

Routage NAT simple : 2,35 Gbps bidirectionnels avec une latence de 0,8 ms. L’activation du hardware checksum offloading est critique ici, désactivable uniquement si vous utilisez des packages comme Suricata qui requièrent l’accès aux paquets bruts.

Avec Suricata en mode IDS : le débit chute à 940 Mbps avec le ruleset Emerging Threats « Balanced » (8 400 règles), et à 680 Mbps avec le ruleset « Security » complet (30 000+ règles). La charge CPU atteint 65% sur les 4 cœurs lors d’un scan de vulnérabilités simulé (

nmap intense). La mémoire vive consommée passe de 1,2 Go (système seul) à 3,8 Go, justifiant l'équipement minimum de 8 Go pour éviter le swap sur disque.

VPN WireGuard : tunnel établi entre le firewall et un client distant (smartphone 5G), débit mesuré à 890 Mbps en download et 850 Mbps en upload. La latence ajoutée par le chiffrement ChaCha20 est de 3 ms supplémentaires. Comparativement, un tunnel OpenVPN AES-256 sur le même matériel plafonne à 310 Mbps avec une charge CPU de 95% (saturation monocœur due à l’absence de parallélisation OpenSSL sur ce type de charge).

Filtrage GeoIP : impact négligeable sur le débit (< 0,5% de perte), mais consommation mémoire de 280 Mo pour la base GeoLite2 City. Le rechargement des tables (script weekly) génère un pic CPU de 15% pendant 12 secondes, imperceptible sauf sur connexions temps réel (VoIP) où il convient de planifier cette tâche en heures creuses.

Pour évaluer votre propre installation, utilisez ces commandes diagnostics :

# Vérifier la charge des règles firewall (pfSense/OPNsense)
pfctl -sr | wc -l
# Résultat attendu : nombre de règles chargées (ex: 47)

# Test de validation du ruleset Suricata
suricata -c /usr/local/etc/suricata/suricata.yaml -T
# Résultat : [OK] si aucune erreur de syntaxe

# Mesure du débit réel WAN-LAN (depuis le firewall)
iperf3 -c [IP_SERVEUR_WAN] -p 5201 -t 30 -i 1
# Résultat attendu : [  5]   0.00-30.00  sec  6.75 GBytes  1.93 Gbits/sec

# Surveillance temps réel des interruptions (IRQ) réseau
systat -ifstat 1
# Observer la répartition sur les CPU (colonnes irqs)

# Capture des paquets bloqués par GeoIP
tcpdump -i wan -n host [IP_BLOQUEE] and port 443
# Vérifier l'absence de réponse SYN-ACK

Test de pénétration externe : depuis un VPS cloud (hors de votre réseau), exécutez . Suricata doit générer une alerte « ET SCAN Nmap SYN Scan » dans les 30 secondes. Si aucune alerte n’apparaît, vérifiez que l’interface WAN est bien en mode promiscuous et que les règles ET sont activées.

nmap -sS -Pn -p- --max-retries 1 --max-rate 1000 [VOTRE_IP_PUBLIQUE]

nmap -sS -Pn -p- --max-retries 1 --max-rate 1000 [VOTRE_IP_PUBLIQUE]

Consommation électrique : le FW4B mesuré à la wattmètre consomme 8,5W en idle et 14,2W sous charge IDS maximale, soit un coût annuel d’électricité de 18 € TTC (tarif réglementé 0,2516 €/kWh). Un ancien PC desktop recyclé (Core i5-4570) consommera 45W minimum, soit 99 € annuels, rendant l’investissement dans un barebone moderne rentabilisé en 18 mois.

Les pièges à éviter

• La règle « Any to Any » sur les interfaces VLAN. Par défaut, pfSense autorise le trafic entre VLANs si aucune règle de blocage n’est explicitement créée. Cela annule l’isolation réseau. Créez impérativement une règle de blocage en tête de liste sur chaque interface VLAN : Action : Block, Source : Any, Destination : RFC1918 (alias). Pour sécuriser davantage, déployez un switch managed L3 comme le Ubiquiti USW-Lite-8-PoE à 220 € qui gère l’isolation couche 2 matérielle.
• Le stockage des logs sur eMMC ou SD card. Les systèmes embarqués (Netgate 1100, Raspberry Pi) utilisent souvent de la mémoire flash interne de 8-16 Go. L’écriture intensive des logs Suricata (10 000+ lignes/jour) et des graphs RRDtool détruit ces mémoires en 18-24 mois (usure des cellules NAND). Solution : migrer immédiatement les logs vers un SSD industrial 128 Go M.2 SATA (45 €) disponible dans notre gamme accessoires, supportant 1,5 million d’heures MTBF et la réécriture intensive.
• L’oubli des mises à jour des bases GeoIP. Les bases MaxMind gratuites (GeoLite2) nécessitent une clé API gratuite mais expirent si non renouvelées tous les 7 jours. Un firewall avec des données obsolètes bloquera de nouvelles plages IP légitimes (ex : attribution récente d’un /22 à un FAI français) ou laissera passer des IPs dangereuses récemment réaffectées. Automatisez le téléchargement via le package pfBlockerNG avec cron quotidien à 3h du matin.
• La configuration DNS resolver en mode récursif sans restriction. Unbound, le resolver par défaut, peut être utilisé pour des attaques DNS amplification si exposé sur WAN. Vérifiez que Access Lists limite les requêtes récursives à vos subnets internes uniquement. Ajoutez DNS over TLS (DoT) vers Cloudflare (1.1.1.1) ou Quad9 pour chiffrer les requêtes DNS sortantes, empêchant l’espionnage des sites visités par votre FAI ou les hotspots publics.
• L’absence de sauvegarde de la configuration XML. Une corruption de la partition de configuration (panne de courant lors d’une écriture) rend le firewall inopérant. Configurez la sauvegarde automatique vers un serveur Nextcloud privé ou un NAS Synvia le package AutoConfigBackup. Gardez également une copie manuelle sur clé USB après chaque modification majeure des règles VLAN. Le service de configuration OMNITRADE inclut un stockage sécurisé AES-256 de vos backups XML pendant 2 ans inclus.

Questions fréquentes