OPNsense sur Proxmox : un labo à double NAT

J’installe le pare-feu OPNsense dans Proxmox, mais mon WAN se trouve déjà derrière une adresse IP privée. Cela crée un double NAT et demande de modifier quelques paramètres par défaut. Voici la configuration exacte de ma VM et les petits ajustements que j’ai faits pour garder l’interface graphique accessible et installer proprement le système.

Paramètres de ma VM Proxmox

• Mémoire : 2 Go de RAM, sans ballooning.
• CPU : exposition du processeur de l’hôte (Host).
• Paramètres du noyau :
  • hw.ibrs_disable=1
  • vm.pmap.pti=0
• Pare-feu Proxmox : désactivé pour cette VM.
• Agent invité : installer qemu-guest-agent.
• Chipset : i440fx.
• Type de système : Other.
• Disque :
  • Contrôleur SCSI en mode bloc.
  • Discard activé.
  • Cache en mode Write Back.
  • IOThreads activé.

Montez l’ISO OPNsense comme lecteur DVD dans la VM et démarrez dessus.

Désactiver temporairement le pare-feu

Comme mon WAN est privé, dans un environnement à double NAT, je souhaite accéder à l’interface graphique depuis le côté WAN pendant la configuration.

1. Connectez-vous comme root dans la console.
2. Choisissez 8) Shell.
3. Exécutez :

pfctl -d

Installer OPNsense

Depuis la console :

opnsense-installer

Je choisis ZFS, même si Proxmox utilise déjà ZFS. C’est un peu plus lourd qu’UFS, mais j’ai davantage confiance dans ZFS. J’utilise ici un stripe ZFS sans miroir.

À la fin de l’installation, définissez le mot de passe root et redémarrez.

Mes choix dans l’assistant initial

• Domaine : home.arpa.
• WAN : DHCP ; décochez Block RFC1918, puisque le WAN est privé.
• LAN : 10.0.66.1/24.

Après l’assistant

• Vérifiez que vous pouvez accéder à l’interface graphique.
• Confirmez le nom d’hôte, l’heure et les réservations DHCP.
• Changez le mot de passe root si ce n’est pas déjà fait.
• Lancez la mise à jour : System → Firmware → Updates.

Autoriser l’accès à l’interface depuis le WAN, uniquement en double NAT

Je fais cela uniquement dans mon labo, parce que le WAN est privé. Ne le faites pas sur un véritable WAN public.

1. Désactiver les protections WAN par défaut :
   • Ouvrez Firewall → Settings → Advanced.
   • Activez Disable reply to WAN Rule.
   • Activez Disable administration anti-lockout.
2. Ajouter une règle WAN :
   • Autorisez WAN net à accéder à WAN address sur le port 443.

Après ces changements, je peux accéder directement à l’interface graphique depuis le côté WAN de mon labo.