De pfSense à OPNsense
OPNsense et pfSense ont des racines communes : OPNsense a démarré en 2014 comme fork et est disponible depuis janvier 2015. Depuis, les deux ont fortement divergé. La migration est maîtrisable, mais il n’existe pas de bouton d’import.
En bref
- Source
- pfSense
- Cible
- OPNsense Business Edition
- Bascule
- en général 1 à 2 heures
- Retour arrière
- jusqu’à la réception
Situation de départ
Pourquoi les exploitants changent
pfSense se divise entre la Community Edition gratuite et pfSense Plus, commercial. Beaucoup d’exploitants s’interrogent sur l’avenir de CE. OPNsense offre un cycle de versions fixe, une API cohérente et un éditeur européen.
Raisons fréquentes
- incertitude liée à la séparation entre CE et Plus
- cycle de versions fixe en janvier et en juillet
- API REST cohérente pour l’automatisation
- éditeur européen avec un processus de développement ouvert
Fonctions
Ce que deviennent vos fonctions pfSense
| pfSense | OPNsense | Remarque |
|---|---|---|
| Interfaces, VLAN | Interfaces, VLAN | reprise directe possible |
| Alias | Alias | y compris les tables d’URL |
| Règles de pare-feu | Règles de pare-feu | même moteur (pf), reprise soigneuse |
| NAT | NAT | entièrement pris en charge |
| IPsec, OpenVPN | IPsec, OpenVPN | y compris certificats et CA |
| Paquet WireGuard | WireGuard (intégré) | les pairs sont repris |
| pfBlockerNG | Listes de blocage Unbound, alias d’URL, CrowdSec | à vérifier au cas par cas |
| HAProxy, ACME | Plugins HAProxy et ACME | disponibles |
| Squid, SquidGuard | Plugin proxy ou Zenarmor | les politiques sont reconstruites |
| CARP, HA | CARP, HA | même concept |
Démarche
Comment nous migrons
Déroulement
- Sauvegarde de config.xml et de la liste des paquets
- Correspondance de chaque paquet avec son équivalent OPNsense
- Reprise des interfaces, alias, règles, NAT et VPN
- Tests en laboratoire ou en parallèle
- Bascule dans une fenêtre de maintenance, pfSense disponible pour un retour arrière
- Accompagnement post-migration et documentation
Points d’attention
- Pas d’import direct : les fichiers de configuration se ressemblent mais ne sont pas compatibles.
- Paquets : chaque paquet pfSense n’existe pas sous la même forme comme plugin OPNsense.
- Même moteur : les deux utilisent pf, la logique des règles est donc familière. Cela réduit considérablement le risque.
Le déroulement général en cinq étapes est décrit sous Migrer vers OPNsense.
FAQ
Questions sur la migration depuis pfSense
Migrer depuis pfSense est-il plus simple que depuis d’autres éditeurs ?
Oui, car les deux reposent sur pf et utilisent des concepts similaires. Nous procédons néanmoins par reprise structurée plutôt que par import.
Que devient pfBlockerNG ?
OPNsense propose des listes de blocage DNS dans Unbound, des tables d’URL sous forme d’alias et le plugin CrowdSec. Ensemble, ils couvrent les cas courants.
Peut-on continuer à utiliser le matériel pfSense ?
Avec du matériel x86, en général oui, à condition qu’il soit encore sous garantie et suffisamment puissant. Nous le vérifions au préalable.
Contact
Envoyez-nous votre export de configuration
Nous vous indiquerons ce qui peut être repris directement, ce qui ne peut pas l’être et ce que coûtera la migration.