Contexte : pare-feu et routeur pfSense virtualisé sous Proxmox VE, qui isole un réseau interne derrière la box ou derrière une IP publique dédiée · Testé sur : Proxmox VE sur Intel NUC, pfSense CE (installateur de 2023) · Dernière vérification : contenu de 2023 non revérifié
¶ Objectif
Installer pfSense dans une machine virtuelle Proxmox VE avec deux interfaces :
- WAN : reliée au réseau existant (celui de la box, ou une IP publique dédiée) par le pont
vmbr0; - LAN : reliée à un réseau interne virtuel, le pont
vmbr1, dont pfSense devient la passerelle (NAT, DHCP et pare-feu).
La page couvre la préparation des ponts réseau, l'installation, l'affectation et l'adressage des interfaces, le premier accès à l'interface web, les baux DHCP statiques, ainsi qu'une variante sur boîtier physique.
¶ Prérequis
- Un hôte Proxmox VE avec un accès administrateur (interface web et console).
- L'image ISO de pfSense CE téléversée dans un stockage de Proxmox VE.
- Un plan d'adressage dans lequel le réseau LAN de pfSense est différent de celui du côté WAN.
Valeurs d'exemple utilisées dans cette page :
| Élément | Valeur d'exemple |
|---|---|
| Réseau de la box (côté WAN) | 192.168.1.0/24, passerelle 192.168.1.1 |
| Adresse de l'hôte Proxmox VE | <IP_PROXMOX>, sur vmbr0 |
| Pont WAN / pont LAN | vmbr0 / vmbr1 |
| Adresse LAN de pfSense | 192.168.2.10/24 |
| Plage DHCP du LAN | 192.168.2.20 à 192.168.2.50 |
Par défaut, pfSense attribue
192.168.1.1/24à son LAN, c'est-à-dire le réseau de la plupart des box. Si la patte WAN se trouve sur ce même réseau, changez l'adresse du LAN (étape 6) pour éviter tout chevauchement.
Les écrans de l'installateur ont évolué dans les versions récentes de pfSense CE. Les grandes étapes (disque, affectation des interfaces, adressage) restent les mêmes.
¶ Étapes
¶ 1. Préparer les ponts réseau de Proxmox VE
Les ponts se déclarent dans le fichier /etc/network/interfaces de l'hôte. Sauvegardez-le avant toute modification :
cp /etc/network/interfaces /etc/network/interfaces.old
Pont externe vmbr0 : il relie l'hôte, et la patte WAN de pfSense, à la box. Il porte l'adresse IP statique de l'hôte et a pour passerelle la box.
auto vmbr0
iface vmbr0 inet static
address <IP_PROXMOX>/24
gateway 192.168.1.1
bridge-ports eno1
bridge-stp off
bridge-fd 0
Pont interne vmbr1 : sans port physique ni adresse IP, il forme un réseau local virtuel isolé, sur lequel se branchent la patte LAN de pfSense et les autres VM du sous-réseau.
auto vmbr1
iface vmbr1 inet manual
bridge-ports none
bridge-stp off
bridge-fd 0
Les mêmes réglages se font depuis l'interface web :
-
Ouvrez l'interface d'administration de Proxmox VE.
-
Sélectionnez le nœud, puis Système > Réseau (System > Network).
-
La liste des interfaces réseau du système s'affiche : créez le pont
vmbr1avec Créer > Linux Bridge.
-
Appliquez les modifications avec Appliquer la configuration (ou
ifreload -aen ligne de commande).
¶ 2. Créer la machine virtuelle pfSense
Créez une VM qui démarre sur l'ISO de pfSense, avec deux cartes réseau VirtIO :
| Carte de la VM | Pont Proxmox VE | Nom dans pfSense | Rôle |
|---|---|---|---|
net0 |
vmbr0 |
vtnet0 |
WAN |
net1 |
vmbr1 |
vtnet1 |
LAN |
Cas d'une IP publique dédiée (serveur hébergé) : la carte WAN se branche sur le pont relié à l'interface publique de l'hôte. Si l'hébergeur associe l'IP dédiée à une adresse MAC virtuelle, attribuez cette adresse MAC à la carte WAN de la VM.
Démarrez la VM et ouvrez sa console depuis l'interface de Proxmox VE.
¶ 3. Installer pfSense
-
Attendez la fin du démarrage, puis acceptez la licence avec Accept.
-
Choisissez Install.
-
Sélectionnez le clavier français dans la liste.
-
Validez avec Continue with ….
-
Choisissez le partitionnement Auto (ZFS).
-
Choisissez Proceed with Installation.
-
Choisissez le type Stripe et validez avec OK.
-
Sélectionnez le disque avec la touche Espace, puis validez avec OK.
Un avertissement « Last chance » signale que le disque va être effacé. Vérifiez qu'il s'agit du bon disque avant de valider.
-
À la fin de l'installation, répondez No à la proposition de modifications manuelles, puis redémarrez (Reboot).
¶ 4. Affecter les interfaces WAN et LAN
Au redémarrage, pfSense demande d'affecter les interfaces. Choisissez avec soin les pattes WAN et LAN :
-
À la question sur la configuration des VLAN, répondez n.
-
Indiquez
vtnet0pour le WAN etvtnet1pour le LAN (vtnet0correspond ànet0, donc àvmbr0, etvtnet1ànet1, donc àvmbr1).
-
Confirmez avec y.
La console affiche ensuite le menu principal avec l'adresse de chaque interface.
¶ 5. Configurer l'adresse WAN
Dans le menu de la console, choisissez l'option 2 (Set interface(s) IP address), puis l'interface WAN.
-
Derrière une box : répondez y à Configure IPv4 address WAN interface via DHCP?. La patte WAN obtient alors son adresse de la box ; réservez-lui ensuite un bail statique sur la box pour qu'elle ne change pas.
-
Avec une IP publique dédiée : répondez n, saisissez l'adresse publique et son masque (
<IP_PUBLIQUE>,/24dans l'exemple d'origine), puis la passerelle fournie par l'hébergeur (<PASSERELLE_HEBERGEUR>).
Puis :
- Configure IPv6 address WAN interface via DHCP6? : n ;
- Do you want to revert to HTTP as the webConfigurator protocol? : la configuration d'origine répondait y (HTTP). Préférez n, qui conserve HTTPS et évite de faire circuler le mot de passe en clair.
¶ 6. Configurer l'adresse LAN et le DHCP
Choisissez de nouveau l'option 2, puis l'interface LAN (2) :
- adresse IP :
192.168.2.10; - masque :
24; - passerelle : aucune, appuyez sur Entrée (press ENTER for none).
Activez ensuite le serveur DHCP sur le LAN en répondant y :
- début de la plage :
192.168.2.20; - fin de la plage :
192.168.2.50.
¶ 7. Se connecter à l'interface web
Depuis une machine branchée sur le LAN (par exemple une VM connectée à vmbr1), ouvrez https://192.168.2.10 (ou http:// si vous avez choisi HTTP à l'étape 5).
Les identifiants par défaut sont admin / pfsense, à changer immédiatement : l'assistant de première configuration demande un nouveau mot de passe administrateur (<MOT_DE_PASSE_ADMIN>), à conserver dans un gestionnaire de mots de passe.
¶ 8. Autoriser temporairement l'administration depuis le WAN
Pour administrer pfSense depuis le réseau situé côté WAN, le temps de mettre en place un VPN, ajoutez une règle de pare-feu.
-
Ouvrez Firewall > Rules > WAN.
-
Cliquez sur Add.
-
Remplissez la règle :
-
Action :
Pass, car la règle autorise du trafic ; -
Interface :
WAN, car elle concerne l'interface extérieure ;
-
Source :
anyautorise toutes les origines ; il est plus sûr de n'autoriser qu'un réseau ou une seule machine, dont l'adresse se saisit dans le champ prévu ;
-
Destination :
WAN address, car le trafic vise l'adresse WAN de pfSense ; -
Destination port range :
HTTPSde préférence ;HTTPest fortement déconseillé, car le mot de passe circulerait en clair ;
-
Log : activez ou non la journalisation de la règle.
-
-
Enregistrez, puis cliquez sur Apply Changes.
Cette règle est temporaire : elle sert uniquement à simplifier la mise en place du VPN. Supprimez-la dès que l'accès par OpenVPN fonctionne.
¶ 9. Réserver une adresse IP à un client (bail statique)
- Ouvrez Status > DHCP Leases.
- Repérez le client dans la liste des baux, puis utilisez le bouton d'ajout de bail statique (Add static mapping) sur sa ligne.
- Choisissez l'adresse à lui réserver, enregistrez et appliquez.
¶ 10. Mettre en place l'accès à distance
Pour administrer le réseau interne depuis l'extérieur, configurez un serveur VPN : voir Configurer OpenVPN sur pfSense.
¶ Variante : pfSense sur un boîtier physique
Dans le projet BTS SIO 2023, pfSense était installé sur un boîtier doté de plusieurs cartes réseau. Les étapes 3 à 7 sont identiques ; seule l'affectation des interfaces demande plus d'attention :
- repérez physiquement quel port correspond au WAN et lequel au LAN (dans le projet : port du bas pour le WAN, port du haut pour le LAN) ;
- notez l'adresse MAC de chaque carte, pour les reconnaître sans erreur à l'étape 4.
Exemple de plan d'interfaces, avec un VLAN supplémentaire :
| Interface | Rôle | Adresse IP |
|---|---|---|
| WAN | Vers la box | 192.168.1.254, passerelle 192.168.1.1 |
| LAN | Réseau interne | 192.168.2.254 |
| OPT1 | VLAN 10 porté par l'interface LAN | 192.168.10.1 |
Le VLAN se crée dans Interfaces > Assignments > VLANs (interface parente : LAN, étiquette 10), puis s'affecte comme interface OPT1 et reçoit son adresse. Le détail du projet figure dans Pare-feu pfSense du projet SIO.
¶ Vérification
- La console de pfSense affiche une adresse sur le WAN et
192.168.2.10sur le LAN. - Une VM branchée sur
vmbr1obtient une adresse entre192.168.2.20et192.168.2.50, avec192.168.2.10comme passerelle. - Cette VM accède à Internet : elle passe par le NAT de pfSense, qui est sa passerelle, tandis que le réseau de la box continue de fonctionner normalement.
ip route
ping -c 3 192.168.2.10
ping -c 3 1.1.1.1
¶ Dépannage
- WAN et LAN inversés : comparez les adresses MAC des cartes
net0etnet1(onglet Matériel de la VM dans Proxmox VE) à celles affichées par pfSense, puis refaites l'affectation avec l'option 1 du menu de la console. - Interface web injoignable depuis le réseau de la box : en plus de la règle de l'étape 8, décochez Block private networks and loopback addresses dans Interfaces > WAN, car l'adresse WAN est alors une adresse privée.
- Les clients du LAN n'ont pas Internet : vérifiez que les réseaux WAN et LAN ne se chevauchent pas, que le WAN a bien une passerelle, et que le client a reçu une adresse de la plage DHCP.
¶ Références
- Documentation officielle de pfSense
- Virtualiser pfSense avec Proxmox VE (documentation Netgate)
- Attribuer une IP statique à un client du LAN dans pfSense (dade2.net)
- Configurer OpenVPN sur pfSense
- Pare-feu pfSense du projet SIO
- Adapté d'un tutoriel des CEMÉA (tutos.cemea.org) ; images hébergées par la source.