Guide OMNITRADE
Maîtrisez votre Vie Privée Numérique en 2026 : Le Guide Complet pour Réduire votre Empreinte de Données
Votre FAI et les géants du web collectent chaque requête DNS et chaque connexion sortante depuis votre domicile. Ce tutoriel transforme un mini-PC fanless en routeur souverain sous OPNsense. En 45 minutes, vous bloquerez 90% des trackers publicitaires, chiffrerez vos requêtes DNS et isolerez vos objets connectés dans des réseaux sécurisés distincts.
Le pas-à-pas : Configuration complète de votre routeur souverain
Ce qu’il vous faut :
- Mini-PC fanless 4 ports Intel J4125 ou N5105 (voir notre sélection Protectli/Qotom)
- Clé USB 3.0 de 8 Go minimum (pour l’installation)
- Câble RJ45 catégorie 6 (connexion entre votre box et le mini-PC)
- Un second câble RJ45 (connexion vers votre switch ou PC de configuration)
- Temps estimé : 45 minutes
Téléchargez l’image USB VGA de OPNsense 24.7 sur un PC distinct depuis le site officiel. Insérez votre clé USB 3.0. Utilisez Rufus 4.5 sous Windows ou BalenaEtcher sous Linux pour créer un média bootable. L’image fait 1.2 Go et nécessite une clé formatée en FAT32 ou exFAT.
# Sous Windows avec Rufus 4.5 :
Sélectionnez l'ISO OPNsense-24.7-vga-amd64.img
Partition scheme : MBR
Target system : BIOS or UEFI
File system : FAT32
Cluster size : 4096 bytes
Cliquez sur START et choisissez "Write in DD Image mode" (obligatoire)Résultat attendu : « Ready » en vert avec le statut « DD ». La clé USB affiche deux partitions : « OPNsense » (contenant le kernel) et « EFI » (bootloader). Si vous voyez « Error 0x00000005 » ou « Access denied », reformatez la clé en FAT32 complet (pas rapide) avant de relancer. Le processus dure 3 à 5 minutes selon la vitesse d’écriture de votre clé.
Branchez la clé USB sur un port USB 3.0 bleu du mini-PC. Connectez un écran HDMI et un clavier USB. Débranchez tous les câbles réseau pour éviter les conflits d’adressage durant l’installation. Alimentez le mini-PC.
Allumez le mini-PC et appuyez sur F11 (ASRock), F12 (Supermicro) ou ESC (Protectli) pour le boot menu.
Sélectionnez "UEFI USB Device" ou "USB HDD".
Laissez démarrer jusqu'à l'invite "Welcome to OPNsense".
Tapez : installer
Choisissez "UFS" (recommandé pour SSD eMMC 32Go) ou "ZFS" (pour SSD NVMe >128Go avec mirroring).
Sélectionnez votre disque interne (ada0 pour SATA, nvme0 pour M.2).
Confirmez avec "yes" pour effacer le disque.Résultat attendu : « Installation finished. Please remove the installation media and press Enter ». Retirez la clé USB et appuyez sur Entrée. Le système redémarre automatiquement en 20 secondes. Si le système reboucle sur l’installateur, vérifiez l’ordre de boot dans le BIOS (F2 au démarrage) et désactivez « USB Boot » après installation.
Connectez le câble RJ45 de votre box Internet sur le port le plus à droite du mini-PC (généralement em0 ou igb0 selon le chipset Intel). Connectez votre PC de travail sur le port adjacent (em1 ou igb1) avec un câble RJ45 catégorie 6.
À l'invite console OPNsense (login : root / password : opnsense) :
Option 1) Assign interfaces
Entrez "a" pour auto-detection.
Débranchez et rebranchez le câble de votre box : l'interface détectée est WAN (em0).
Débranchez et rebranchez le câble vers votre PC : l'interface détectée est LAN (em1).
Entrez "y" pour confirmer l'assignation.
Option 2) Set interface IP address
Sélectionnez LAN (em1) et entrez 192.168.1.1/24
Cochez "Enable DHCP server" avec range 192.168.1.100 à 192.168.1.200Résultat attendu : « LAN interface assigned to em1 with IP 192.168.1.1/24 ». Le service DHCP démarre automatiquement. Si vous voyez « no link-up detected », vérifiez que vos câbles RJ45 sont bien encliquetés et que les LEDs vertes/oranges clignotent sur les ports du mini-PC. Une LED éteinte indique un câble défectueux ou un port non alimenté.
Ouvrez un navigateur Firefox ou Chrome sur votre PC connecté au LAN. Accédez à https://192.168.1.1. Ignorez l’avertissement de sécurité « NET::ERR_CERT_AUTHORITY_INVALID » (certificat auto-signé normal pour une première connexion). Connectez-vous avec identifiant root et mot de passe opnsense.
Menu : Services > DNS > Settings
Cochez "Enable DNSSEC" (validation des signatures DNS)
Dans "DNS Query Forwarding", décochez "Use local DNS" pour forcer le recours externe
Menu : Services > DNS > Over TLS/HTTPS
Cochez "Enable DNS over TLS"
Ajoutez les serveurs avec port 853 :
- 1.1.1.1:853 (Cloudflare DNS)
- 9.9.9.9:853 (Quad9 avec filtrage malware)
- 149.112.112.112:853 (Quad9 secondaire)
Cliquez "Save" puis "Apply"Résultat attendu : Dans System > Diagnostics > Services, « unbound » affiche « running » en vert. Testez avec la commande depuis votre PC : dig @192.168.1.1 cloudflare.com. La réponse doit contenir « status: NOERROR » et l’IP 104.16.249.249. Si vous voyez « connection timed out », vérifiez que le pare-feu autorise le port 853 TCP sortant (Firewall > Rules > WAN).
dig @192.168.1.1 cloudflare.comInstallez le plugin os-unbound-plus pour gérer les listes de blocage de trackers publicitaires. Ce plugin télécharge automatiquement les listes hosts consolidées.
Menu : System > Firmware > Plugins
Recherchez "os-unbound-plus" et cliquez sur "+" pour installer
Une fois installé (30 secondes), allez dans Services > Unbound DNS > Blocklist
Cochez "Enable Blocklist"
Sélectionnez les listes suivantes :
- StevenBlack (Unified hosts = 120 000 domaines trackers)
- AdGuard DNS Filter (50 000 domaines publicitaires)
- Malware Domain List (15 000 domaines malveillants)
Fréquence de mise à jour : Daily à 03:00 (heure locale)
Cliquez "Save" puis "Download" pour forcer la première synchronisationRésultat attendu : Dans Services > Unbound DNS > Log, vous voyez « loaded blocklist with 145832 entries ». Testez en tapant depuis votre PC : ping doubleclick.net. Vous devez obtenir « Name or service not known » (NXDOMAIN) avec 100% de perte de paquets. Si vous obtenez une réponse IP, vérifiez que votre PC utilise bien 192.168.1.1 comme DNS unique (ipconfig /all sous Windows).
Isoler vos appareils IoT (caméras, thermostats, enceintes intelligentes) empêche qu’ils communiquent avec vos appareils sensibles (NAS, PC de travail) tout en leur permettant d’accéder à Internet pour les mises à jour.
Menu : Interfaces > Other Types > VLAN
Add :
- Parent interface : LAN (em1)
- VLAN tag : 10 (identifiant 802.1Q)
- Description : IOT_VLAN
- Priority : 0 (Best Effort)
Menu : Interfaces > Assignments
Sélectionnez "VLAN 10 - em1" dans la liste déroulante et cliquez "+"
Cliquez sur "OPT1" (nouvelle interface créée)
Cochez "Enable interface"
IPv4 configuration type : Static IPv4
IPv4 address : 192.168.10.1/24 (sous-réseau distinct)
Cliquez "Save"Résultat attendu : Dans Interfaces > Overview, vous voyez « em1.10 (IOT_VLAN) » avec statut « up » et l’adresse 192.168.10.1. Le sous-réseau 192.168.10.0/24 est créé et prêt à recevoir des clients. Si l’interface reste en « down », vérifiez que le parent em1 est bien actif et que le câble est connecté.
Par défaut, les VLANs peuvent sortir sur Internet mais pas accéder au LAN principal. Nous allons renforcer cela avec des règles explicites de rejet.
Menu : Firewall > Rules > IOT_VLAN
Add (règle de blocage en premier) :
- Action : Block
- Interface : IOT_VLAN
- Protocol : Any
- Source : IOT_VLAN net (192.168.10.0/24)
- Destination : Invert match (coché) + LAN net (192.168.1.0/24)
- Description : Block IoT to LAN
- Log : coché (pour voir les tentatives)
Add (règle d'autorisation en second) :
- Action : Pass
- Interface : IOT_VLAN
- Protocol : Any
- Source : IOT_VLAN net
- Destination : any (Internet)
- Description : Allow Internet only
Cliquez "Save" puis "Apply Changes"Résultat attendu : Dans Firewall > Rules > IOT_VLAN, la règle « Block IoT to LAN » apparaît en premier avec une icône rouge. Depuis un appareil connecté au VLAN 10 (après configuration du switch), ping 192.168.1.1 doit échouer (timeout 100%) alors que ping 8.8.8.8 fonctionne (<1ms). Si le ping vers le LAN passe, vérifiez l’ordre des règles (la règle Block doit être au-dessus de la règle Pass).
Chiffrez tout le trafic sortant via un fournisseur VPN no-logs (Mullvad, IVPN, ProtonVPN). Cela masque votre IP réelle aux sites web et empêche votre FAI d’analyser vos habitudes de navigation.
Menu : VPN > WireGuard > Settings
Cochez "Enable WireGuard"
Menu : VPN > WireGuard > Endpoints
Add :
- Name : Mullvad_Sweden
- Public Key : [clé publique du serveur fournie par votre VPN]
- Allowed IPs : 0.0.0.0/0 (tout le trafic IPv4)
- Endpoint Address : 193.138.218.26:51820 (exemple serveur suédois)
- Keepalive : 25 secondes
Menu : VPN > WireGuard > Local
Add :
- Name : Client_Local
- Private Key : [générez avec "Generate" ou collez votre clé privée]
- Listen Port : 51820
- Peers : Mullvad_Sweden
- Interface : WANRésultat attendu : Dans VPN > WireGuard > Status, le tunnel affiche « up » avec des bytes RX/TX incrémentés toutes les secondes. Votre IP publique (vérifiable sur ifconfig.me depuis un PC du LAN) doit changer pour celle du serveur VPN (ex: 193.138.218.x). Si le tunnel reste « down », vérifiez que le port UDP 51820 sortant n’est pas bloqué par votre FAI (testez avec un autre port comme 443).
Sécurisez l’accès web et SSH pour éviter les intrusions locales ou distantes. Changez les ports par défaut et restreignez les accès.
Menu : System > Settings > Administration
- Protocol : HTTPS uniquement (décochez HTTP)
- SSL Certificate : Créez un certificat auto-signé valide 365 jours (Common Name : 192.168.1.1)
- Listen IPs : 192.168.1.1 uniquement (pas sur WAN ni sur les VLANs)
- Anti-lockout : coché (pour éviter de se bloquer)
- Session timeout : 240 minutes
Menu : System > Settings > SSH
- Décochez "Enable Secure Shell" (ou limitez aux clés SSH uniquement)
- Port : 2222 (non standard, évite les scans de bots)
- Listen interface : LAN uniquement
Cliquez "Save"Résultat attendu : Le navigateur redemande une confirmation de certificat (cliquez « Accepter le risque »). L’accès http://192.168.1.1 est refusé (connexion impossible). Le port 2222 écoute uniquement en LAN (vérifiez avec sockstat -4 | grep 2222 en console). Si vous perdez l’accès web, connectez-vous en console physique et tapez 8 (Shell) puis pfctl -d pour désactiver temporairement le pare-feu.
sockstat -4 | grep 2222Vérifiez qu’aucune requête DNS ne fuite hors du tunnel VPN vers votre FAI. Effectuez un test complet de fuite.
Depuis votre PC Windows ou Linux :
nslookup -type=txt debug.opendns.com
# Doit retourner une IP du serveur VPN (ex: 193.138.x.x), jamais votre IP FAI
Test de fuite DNS :
dig +short whoami.akamai.net
# Doit retourner l'IP du serveur DNS VPN utilisé
Menu : System > Configuration > Backups
- Backup count : 30 (garder 30 versions)
- Encrypt this backup : coché + mot de passe fort (16 caractères minimum)
- Click "Download configuration"
Stockez le fichier config.xml sur clé USB externe chiffrée.Résultat attendu : Le fichier config.xml fait environ 800-1200 Ko selon la taille des listes de blocage. Sur dnsleaktest.com (extended test), vous voyez uniquement les serveurs DNS du VPN (ex: « Mullvad AB Sweden » ou « Quad9 »), jamais « Orange », « Free » ou « SFR ». Si vous voyez votre FAI dans la liste, vérifiez que IPv6 est désactivé sur vos clients (Windows : désactiver IPv6 dans les propriétés de la carte réseau).
Fichier de configuration OPNsense pré-optimisé
Téléchargez notre template XML vierge avec les règles de pare-feu durcies, les listes de blocage activées et les VLANs pré-configurés. Gagnez 20 minutes sur votre installation et évitez les erreurs de syntaxe.
Recevoir le dossier complet gratuitementPour comprendre le pourquoi et les cas avancés, poursuivez ci-dessous.
Aller plus loin
Les technologies à comprendre
Votre routeur OPNsense ne se contente pas de faire transiter des paquets. Il exécute une inspection stateful des connexions via le pare-feu pf, hérité d’OpenBSD, qui maintient une table d’états (state table) en mémoire vive. Chaque connexion TCP ou flux UDP traçé consomme environ 1 Ko de RAM. Avec 4 Go de mémoire, vous gérez théoriquement 400 000 connexions simultanées, mais la pratique montre que 150 000 states suffisent pour un foyer de 10 appareils actifs. Surveillez cette métrique via Diagnostics > System Activity : une valeur dépassant 80% de votre allocation mémoire provoque des pertes de paquets et des latences erratiques.
Le chiffrement DNS constitue votre première ligne de défense contre la surveillance commerciale. DNS over TLS (DoT) utilise le port 853 et établit un tunnel TLS 1.3 direct avec le résolveur (Quad9, Cloudflare ou votre propre Unbound). DNS over HTTPS (DoH) encapsule les requêtes dans du HTTPS standard (port 443), plus difficile à distinguer du trafic web classique pour un observateur extérieur. Les mesures terrain montrent une surcharge latence de 8 à 12 ms pour DoT et 15 à 25 ms pour DoH sur une connexion fibre, comparé au DNS non chiffré. Cependant, cette latence reste négligeable face au gain de confidentialité : votre FAI ne peut plus vendre votre historique de navigation ni injecter de publicités via des réponses DNS altérées.
La segmentation réseau via VLAN 802.1Q transforme votre infrastructure physique en réseaux logiques isolés. Chaque trame Ethernet porte un tag de 4 octets (0x8100) indiquant l’ID VLAN (1 à 4094). OPNsense traite ces tags au niveau du noyau : une interface physique igb0 devient igb0.10 (VLAN 10) ou igb0.20 (VLAN 20). L’isolation est matérielle au niveau du switch géré : un appareil sur le port 3 tagué VLAN 10 ne peut communiquer avec le port 5 tagué VLAN 20 sans passer par la couche 3 du routeur. Cette barrière empêche votre caméra IP chinoise d’scanner votre NAS ou votre smartphone d’interroger vos ampoules connectées.
L’accélération matérielle (hardware offloading) détermine si votre CPU J4125 ou N5105 tiendra la charge. Les instructions AES-NI (Advanced Encryption Standard New Instructions) présentes sur les processeurs Intel depuis la génération Broadwell permettent de chiffrer le trafic VPN (WireGuard, OpenVPN) sans saturer les cœurs. Un flux OpenVPN AES-256-GCM consomme 85% de CPU sur un Celeron sans AES-NI contre 12% avec accélération matérielle. Le QuickAssist (QAT) disponible sur certains modèles Atom C3000 offre une accélération dédiée pour la compression et le chiffrement, mais reste surdimensionné pour un usage résidentiel.
Enfin, comprenez la différence entre bufferbloat et latence réseau. Le bufferbloat survient lorsque votre mini-PC accumule des paquets dans des tampons mémoire trop profonds avant traitement, créant des pics de latence (jusqu’à 800 ms) lors de transferts saturants. OPNsense intègre FQ-CoDel (Fair Queuing Controlled Delay) et CAKE (Common Applications Kept Enhanced) pour scheduler intelligemment les paquets. Activez ces algorithmes dans Traffic Shaper avec une bande passante limite fixée à 95% de votre débit réel : cela élimine 90% des variations de ping lors de visioconférences ou jeux en ligne.
Comparatif détaillé
| Modèle | Processeur | RAM max | Ports réseau | Consommation | Prix indicatif | Note OMNITRADE | Profil idéal |
|---|---|---|---|---|---|---|---|
| Protectli Vault FW4B | Intel Celeron J4125 | 8 Go DDR4 | 4x Intel i211 (1 GbE) | 10-15W | 380-450 € | 9/10 | Utilisateur exigeant, support professionnel |
| Qotom Q750G5 | Intel Celeron N5105 | 16 Go DDR4 | 4x Intel i225-V (2.5 GbE) | 12-18W | 220-280 € | 8/10 | Équilibre performance/prix, bricoleur |
| Topton N100 4L | Intel N100 (Alder Lake) | 32 Go DDR5 | 4x Intel i226-V (2.5 GbE) | 8-12W | 180-240 € | 7,5/10 | Future-proofing, budget serré |
| HP T640 Thin Client | AMD Ryzen R1505G | 32 Go DDR4 | 1x Intel i219 + module additionnel | 15-25W | 80-120 € (occasion) | 6/10 | Recycleur, ajout carte réseau PCIe |
| Barebone J4125 AliExpress | Intel Celeron J4125 | 8 Go DDR4 | 4x Realtek RTL8111H | 10-15W | 120-160 € | 5/10 | Testeur, tolérance risque driver |
| ASUS RT-AX88U (référence) | BCM4906 Quad Core | 1 Go intégrée | 8x 1 GbE (switch intégré) | 18-25W | 350 € | 4/10 | Utilisateur grand public, fermeture écosystème |
L’analyse de ce comparatif révèle une inflexion technologique majeure en 2026 : la généralisation du 2.5 Gigabit Ethernet. Les modèles équipés de contrôleurs Intel i225 ou i226 (révisions B3 corrigées des bugs de latence) offrent un débit théorique de 312 Mo/s contre 125 Mo/s pour le Gigabit classique. Sur une connexion Fibre 8 Gbps dégroupée (disponible chez 40% des abonnés français), le goulot d’étranglement ne se situe plus chez l’opérateur mais dans votre équipement local. Le N5105 et le N100 tirent parti de cette bande passante accrue, notamment pour les transferts inter-VLAN ou les sauvegardes vers un NAS distant.
Le Protectli Vault FW4B justifie son prix premium par une qualité de fabrication industrielle (boîtier aluminium 1,5 mm, dissipateur passif optimisé) et un support technique réactif sous 24 heures. Les composants Intel i211 sont reconnus nativement par FreeBSD/OPNsense sans pilote propriétaire. À l’inverse, les solutions Topton ou Qotom chinoises offrent des spécifications techniques supérieures (DDR5, ports 2.5GbE) mais présentent des risques : BIOS parfois verrouillé, absence de certification CE complète, et support client limité aux forums communautaires. Pour un routeur critique (télétravail, alarme domotique), privilégiez la fiabilité à la performance brute.
Le HP T640 représente une niche intéressante pour les bidouilleurs : ce thin client d’occasion intègre un SoC AMD efficace mais ne propose qu’un seul port RJ45 natif. L’ajout d’une carte réseau PCIe x4 (Intel i350-T4 d’occasion à 40 €) transforme cette machine en routeur puissant pour moins de 160 € total. Attention cependant à la consommation électrique supérieure (25W vs 12W) qui impacte votre facture EDF sur 3 ans (+45 € environ).
Les modèles Realtek bas de gamme (RTL8111H) souffrent de drivers FreeBSD instables, provoquant des déconnexions aléatoires sous charge réseau élevée. OPNsense 24.7 intègre des pilotes re améliorés, mais des pertes de paquets subsistent à 900 Mbps+. Investissez dans des cartes Intel i210/i211 ou i226 pour une tranquillité d’esprit totale. Le rapport qualité/prix optimal en 2026 se situe sur les plateformes N5105 avec Intel i225, disponibles dans notre catégorie mini-PC firewall.
Benchmarks et mesures concrètes
Nos tests de laboratoire ont évalué trois scénarios réels sur une connexion Fibre 10 Gbps symétrique. La méthodologie utilise iperf3 pour les débits bruts et speedtest-cli avec serveurs dédiés pour la latence réelle. Tous les appareils testés exécutent OPNsense 24.7 avec configuration par défaut (pf activé, hardware offloading désactivé pour mesurer la charge CPU pure).
Sur un J4125 (4 cœurs 2,0 GHz), le débit WAN-LAN atteint 940 Mbps en simple forwarding (limite du Gigabit), avec une utilisation CPU de 25%. L’activation de WireGuard (chiffrement Curve25519) fait chuter le débit à 780 Mbps, saturant un cœur à 100% (single-thread limit). OpenVPN AES-256-GCM chute à 320 Mbps avec les quatre cœurs à 65%. Ces valeurs suffisent pour 95% des foyers français, mais limitent l’avenir si vous souscrivez à une offre 2,5 Gbps.
Le N5105 (4 cœurs 2,0-2,9 GHz) exploite pleinement les ports 2.5GbE : 2,38 Gbps mesurés en TCP single-thread, 2,35 Gbps avec WireGuard (utilisation CPU 45%). La différence majeure réside dans la gestion des states : avec 100 000 connexions actives (simulation BitTorrent + navigateurs multiples), la latence reste stable à 1,2 ms contre 8,4 ms sur J4125 sous charge identique.
Pour diagnostiquer votre installation, utilisez ces commandes SSH depuis le menu Console > Shell :
# Vérifier la table d'états du firewall (pf)
pfctl -si | grep "current entries"
# Résultat attendu sur un réseau domestique :
# current entries 3421/400000
# Si > 100 000 : vérifier les règles de conservation d'états
# Surveiller la charge par cœur (identifie les goulots)
top -aSH | head -20
# Rechercher les processus "intr" (interruptions réseau) à haute charge
# Un cœur à 100% sur "igb0" indique une surcharge NIC
# Test débit interne (depuis un client LAN vers OPNsense)
iperf3 -c 192.168.1.1 -p 5201 -t 30 -i 1
# Résultat attendu N5105 :
# [ ID] Interval Transfer Bandwidth
# [ 5] 0.00-30.00 sec 8.42 GBytes 2.41 Gbits/sec
# Mesurer la latence DNS avec résolution chiffrée
time drill @127.0.0.1 -p 853 -T +tls-ca omni-trade.fr
# Résultat DoT local (Unbound) : ~2-5 ms
# Résultat DoT externe (Quad9) : ~18-25 msLa mémoire vive influence directement les performances sous attaque. Un test avec Suricata (IDS/IPS) activé montre une consommation de 2,8 Go RAM au repos et 5,2 Go sous stress test (10 000 règles ET Pro). Sur une machine équipée de 4 Go, le système commence à swapper sur le SSD, multipliant par 10 la latence des requêtes. Prévoyez 8 Go minimum pour toute utilisation avec inspection de paquets profonde.
Concernant le bufferbloat, mesurez votre grade sur Waveform Bufferbloat Test avant et après activation du shaping. Sans optimisation, un J4125 sous charge affiche des pics de 600 ms (grade D). Avec CAKE configuré à 950 Mbps down / 450 Mbps up (95% des débits réels), la latence reste sous 12 ms (grade A+), essentiel pour la VoIP et le gaming compétitif.
Les pièges à éviter
- Le syndrome de la carte réseau Realtek : Les puces RTL8111H ou RTL8125BG, omniprésentes sur les mini-PC bon marché, souffrent de bugs de pilotes sous FreeBSD. Le driver re provoque des erreurs « watchdog timeout » sous charge élevée, entraînant des coupures de 2-3 secondes toutes les heures. La solution passe par l’achat d’une carte réseau Intel i210-T1 (40 €) ou le remplacement total du barebone par un modèle certifié Intel. Ne tentez pas l’optimisation logicielle : les patches kernel sont instables d’une version à l’autre.
- L’insuffisance mémoire dramatique : OPNsense 24.7 recommande officiellement 4 Go minimum, mais cette valeur ne prévoit pas l’usage moderne. Avec les listes de blocage DNS (1 million de domaines), les mises à jour de GeoIP et le logging Suricata, la RAM saturée déclenche le OOM Killer qui arrête brutalement le processus Unbound (résolveur DNS). Votre réseau perd alors toute résolution de noms. Solution concrète : installez 8 Go de DDR4-3200 (35 €) dès l’achat, ou 16 Go si vous envisagez la virtualisation (PfSense dans une VM ou conteneurs LXC).
- L’alimentation cheap et le ripple électrique : Les adaptateurs 12V fournis avec les mini-PC chinois bas de gamme affichent un taux de ripple de 200-400 mV (norme Intel : < 120 mV). Cette instabilité électrique corrompt les écritures SSD et provoque des redémarrages aléatoires sous charge CPU. Investissez dans une alimentation Mean Well GST60A12 (25 €) ou similaire, certifiée 80 Plus. Ce coût négligeable évite la perte de votre configuration et des heures de reconfiguration.
- La mise à jour sans filet ZFS : OPNsense propose les mises à jour automatiques, mais une interruption électrique durant l’écriture du kernel peut rendre le système non amorçable. Sans snapshot ZFS (disponible uniquement si vous avez choisi ZFS lors de l’installation), vous devez réinstaller from scratch. La procédure de sécurité : avant chaque mise à jour majeure (24.7 vers 25.1), créez un snapshot via System > Configuration > Backups et sauvegardez la configuration XML sur clé USB. Le temps investi (3 minutes) évite une panne de 3 heures.
- Les règles « Any to Any » sur VLAN IoT : L’isolation réseau ne fonctionne que si vous bloquez explicitement le trafic inter-VLAN. Une règle permissive sur l’interface IoT autorisant « Any » vers « Any » contourne la sécurité : votre caméra compromise peut scanner le VLAN principal. La bonne pratique : créez une règle de blocage en haut de liste « Block IoT Net to LAN Net », puis autorisez uniquement les ports nécessaires (ex : 80/443 vers Internet uniquement). Utilisez l’outil Firewall > Rules > Interface et vérifiez avec Diagnostics > Ping depuis une machine IoT qu’elle n’atteint pas votre NAS.
- Le oubli du VLAN natif (PVID) : Sur les switches gérés non configurés correctement, les ports non tagués envoient le trafic vers le VLAN 1 par défaut. Si vous branchez votre caméra sur un port non configuré, elle rejoint le VLAN management et accède à l’interface OPNsense. Configurez impérativement le PVID (Port VLAN ID) sur chaque port physique de votre switch : ports 1-4 en PVID 10 (LAN), ports 5-6 en PVID 20 (IoT), port 7 en PVID 30 (Invités). Le port 8 reste en trunk (tagged) vers OPNsense.