Partenaire OPNsense depuis 2016
OPNsense protège votre réseau avec IDS/IPS, VPN et haute disponibilité, sans licence par utilisateur ni par fonction. Nous dimensionnons l’appliance, vous faisons quitter votre pare-feu actuel en toute sécurité, l’exploitons pour vous et, si vous le souhaitez, le raccordons au SOC 24/7 de notre partenaire NEOSEC.
Deux voies, une issue connue
La plupart des organisations aboutissent à l’un de ces deux modèles. Les deux fonctionnent un temps.
Voie 1
Voie 2
OPNsense réunit les deux : code ouvert et fonctions professionnelles, exploité comme un pare-feu commercial.
Fonctions
Tout est inclus en standard, sans supplément par fonction.
Détection et prévention d’intrusion en mode inline, avec des jeux de règles ouverts et, en option, commerciaux.
IPsec pour les sites, WireGuard et OpenVPN pour les collaborateurs mobiles, chacun avec authentification à deux facteurs.
Deux équipements en cluster CARP avec connexions synchronisées. Mises à jour et remplacement de matériel sans interruption.
Autant de VLAN et de zones que nécessaire pour l’administration, la production, la technique médicale, les invités et l’IoT.
Plusieurs opérateurs avec basculement et répartition de charge, ainsi qu’OSPF et BGP via des plugins.
Chaque paramètre via API REST, historique de configuration avec comparaison et restauration.
Comparaison
| Critère | UTM commercial typique | OPNsense |
|---|---|---|
| Modèle de licence | offres groupées par abonnement, certaines fonctions sous licence séparée | Community Edition gratuite, Business Edition par pare-feu |
| Après expiration de la licence | fonctions de protection et mises à jour souvent arrêtées | le pare-feu continue de fonctionner pleinement |
| Périmètre fonctionnel | selon l’offre | IDS/IPS, VPN, HA et filtrage web inclus |
| Code source | propriétaire | ouvert (licence BSD) |
| Administration | souvent via le cloud de l’éditeur | locale, via API ou centralisée avec OPNcentral |
| Cycle de versions | selon l’éditeur | deux versions majeures par an, en janvier et en juillet |
| Changement ultérieur | coûteux, configuration propriétaire | formats ouverts et documentation complète |
Migration
Pour chaque système source, nous décrivons ce qui peut être repris, comment, et à quoi il faut veiller.
Démarche
Une migration échoue rarement à cause du nouveau pare-feu, mais à cause de règles oubliées et de cas particuliers. C’est pourquoi nous partons de l’existant.
Export de la configuration, échange avec votre équipe informatique, analyse des règles, NAT, VPN, certificats et cas particuliers. Les compteurs de correspondances montrent quelles règles sont réellement utilisées.
Transposition dans la logique OPNsense : alias, règles d’interface, NAT, tunnels VPN, intégration des utilisateurs. Nous reproduisons les fonctions propres à l’éditeur avec les outils intégrés ou des plugins.
Mise en place en laboratoire ou en parallèle dans un segment de test. Nous vérifions les applications critiques, les tunnels VPN et les cas particuliers à l’aide d’une liste de contrôle commune.
Bascule dans une fenêtre de maintenance selon un runbook. L’ancien pare-feu reste câblé et prêt, et revenir en arrière prend quelques minutes.
Analyse des journaux à la recherche de connexions légitimes bloquées, ajustement fin du jeu de règles, remise de la documentation.
SOC avec NEOSEC
Si vous le souhaitez, les journaux d’OPNsense alimentent le SIEM de notre partenaire sécurité NEOSEC. Selon le niveau, NEOSEC surveille, assiste ou prend en charge la réponse, jusqu’à une exploitation 24/7.
Niveau 1
Comment démarrer une surveillance structurée ?
NEOSEC met en place et exploite le SIEM. Les événements du pare-feu, des postes de travail et du réseau sont collectés de manière centralisée et confrontés à des jeux de règles éprouvés.
Niveau 2
Comment obtenir un soutien actif ?
Managed Detection and Response : NEOSEC maintient les jeux de règles, évalue les alertes et réagit avec vous selon des procédures définies.
Niveau 3
Qui réagit la nuit et le week-end ?
Centre des opérations de sécurité 24 heures sur 24. NEOSEC surveille, réagit de manière autonome dans des limites convenues et documente chaque incident.
IA et MCP
Notre serveur MCP OPNsense, développé en interne, donne aux assistants IA un accès structuré aux règles, interfaces, VPN et journaux. Chaque action est classée selon son risque, et les modifications critiques exigent une confirmation. Si vous le souhaitez, l’IA fonctionne entièrement dans vos locaux.
Quelles règles du site Nord n’ont pas été utilisées au cours des 90 derniers jours ?
Lire les règles, interroger les compteurs de correspondances
7 règles sur 64 n’ont aucune correspondance, dont 2 autorisations pour un VPN désactivé. Dois-je les désactiver ? Je crée d’abord un point de restauration.
Oui, désactivez-les.
Créer un point de restauration, désactiver les règles (niveau de risque moyen, confirmé)
C’est fait. Point de restauration créé, 7 règles désactivées, réversible à tout moment.
Pour qui
Plusieurs sites, télétravail, production et administration sur le même réseau. Une sécurité de niveau entreprise sans modèle de licences de grand groupe.
OPNsense pour PME et ETIDispositifs médicaux sans mises à jour, infrastructure télématique allemande (TI) et obligations d’audit. Le pare-feu devient l’outil de segmentation et de preuve.
OPNsense dans la santéPourquoi nous
Non pas : copier des lignes
Nous analysons quelles règles s’appliquent réellement et reprenons la logique, pas l’héritage encombrant.
Non pas : espérer au moment de la bascule
L’ancien pare-feu reste câblé jusqu’à votre réception. Revenir en arrière prend quelques minutes.
Non pas : le savoir comme dépendance
Structurée de sorte qu’un autre prestataire puisse prendre le relais.
FAQ
La Community Edition est gratuite. Les coûts concernent le matériel, en option la Business Edition (licence annuelle par pare-feu), ainsi que la mise en place et l’exploitation. Il n’y a pas de licence par utilisateur, par fonction ou par débit.
Les composants centraux d’OPNsense, comme le filtre de paquets pf, Suricata, strongSwan et Unbound, comptent parmi les projets de sécurité les plus examinés. Deciso, l’éditeur, assure un support commercial, et nous intervenons sur site.
La bascule elle-même prend en général une à deux heures dans une fenêtre de maintenance. La préparation et les tests prennent de quelques jours à plusieurs semaines selon le périmètre.
Si vous le souhaitez, notre partenaire sécurité NEOSEC. Les journaux alimentent son SIEM et, selon le niveau, NEOSEC réagit 24 heures sur 24. Plus d’informations sous SOC avec NEOSEC.
Contact
Un premier entretien avec un ingénieur OPNsense, pas un argumentaire commercial. Si OPNsense ne convient pas, nous vous le dirons.
