🔥 pfSense, DMZ & Analyse de trafic réseau

🎯 Objectifs

• Comprendre l'architecture de pfSense (FreeBSD + pf, filtrage par interface)
• Créer et configurer une DMZ accessible depuis Internet via l'interface graphique
• Configurer un Port Forward NAT depuis l'interface WAN
• Capturer et analyser du trafic réseau avec tcpdump et Wireshark
• Identifier un scan réseau et produire un rapport d'incident

📖 Section 1 — pfSense en détail

Architecture et principe de filtrage

pfSense est une distribution basée sur FreeBSD + pf (packet filter). Contrairement à iptables/nftables qui filtrent selon des tables et chaînes, pf dans pfSense filtre à l'entrée de chaque interface (ingress). Cette différence est fondamentale pour l'écriture des règles.

      [Internet]
         |
       WAN (em0)
         |
    +----------------+
    |    pfSense      |
    |  (FreeBSD + pf) |
    |                 |
    | LAN (em1)  DMZ (em2)
    +----------------+
       |192.168.1.x      |192.168.10.x
       |                 |
    Postes LAN      Serveurs DMZ

Création d'une DMZ dans pfSense — pas à pas (GUI)

A. Ajouter et configurer l'interface DMZ

• Interfaces > Assignments : ajouter OPT1
• Renommer en "DMZ", IPv4 static : 192.168.10.1/24, description "DMZ - Serveurs publiés"
• Save > Apply Changes

B. Règles de filtrage

• Firewall > Rules > LAN : Pass / LAN net → DMZ net / Any (LAN peut accéder à la DMZ)
• Firewall > Rules > DMZ : Block / DMZ net → LAN net / Any — cocher "Log packets" pour journaliser
• Firewall > NAT > Port Forward : WAN → 192.168.10.10:80 (pfSense génère automatiquement la règle WAN associée)

C. Logs pfSense

Les logs firewall se trouvent dans Status > System Logs > Firewall. Format d'un log de blocage :

2026-02-20 10:15:23 FILTER: BLOCK IN on DMZ:
  src=192.168.10.12:45213 dst=192.168.1.5:22 proto=TCP
  rule=DMZ->LAN BLOCK

Suricata sur pfSense (IDS/IPS)

• Installation : System > Package Manager > Available Packages > Suricata
• Configuration : Services > Suricata > Interfaces > Add > sélectionner DMZ
• Mode Legacy : détection uniquement (alertes)
• Mode Inline/IPS : bloque activement le trafic malveillant en temps réel

📖 Section 2 — Analyse de trafic réseau (tcpdump / Wireshark)

tcpdump — commandes essentielles

# Capturer tout le trafic sur une interface
sudo tcpdump -i eth0 -nn -s 0 -w /tmp/capture.pcap

# Capturer uniquement HTTP vers une IP
sudo tcpdump -i eth0 -nn 'host 192.168.10.10 and tcp port 80' -w /tmp/http.pcap

# Capturer trafic DMZ → LAN
sudo tcpdump -i em2 -nn -s 0 'src net 192.168.10.0/24 and dst net 192.168.1.0/24' -w /tmp/scan_dmz_lan.pcap

# Surveiller les requêtes DNS suspectes
sudo tcpdump -i eth0 -nn 'udp port 53'

# Lire un fichier pcap
sudo tcpdump -r /tmp/capture.pcap -n

Wireshark — filtres d'affichage utiles

Détecter un scan réseau dans Wireshark

Indicateurs : une source unique envoie de nombreux paquets SYN vers différents ports et cibles. Wireshark : appliquer tcp.flags.syn == 1 && tcp.flags.ack == 0 puis Statistics > Conversations pour identifier la source la plus active.

-- Exemple de trames Wireshark lors d'un scan --
No.  37  192.168.10.12 → 192.168.1.5  TCP  45213→22  [SYN]
No.  38  192.168.10.12 → 192.168.1.5  TCP  45213→80  [SYN]
No.  39  192.168.10.12 → 192.168.1.6  TCP  45213→443 [SYN]
(pattern : même source, ports différents → scan SYN)

🛠️ TP — Analyse d'incident InnovatTech (85 min)

Scénario : un technicien suspecte qu'un poste de la DMZ tente de se connecter au LAN sur des ports non autorisés.

Étape 1 — Générer le trafic de test (scan simulé)

# Depuis la VM simulant la DMZ (192.168.10.12)
nmap -sS 192.168.1.0/24

# Sur pfSense — capturer le trafic DMZ → LAN
sudo tcpdump -i em2 -nn -s 0 'src net 192.168.10.0/24 and dst net 192.168.1.0/24' -w /tmp/scan_dmz_lan.pcap

Étape 2 — Analyser dans Wireshark

Filtre Wireshark : tcp.flags.syn == 1 && tcp.flags.ack == 0
→ Statistics > Conversations (identifier la source la plus active)
→ Statistics > Endpoints (confirmer IP source)

Étape 3 — Vérifier les logs pfSense

Status > System Logs > Firewall — filtrer par interface = DMZ pendant la période du test. Extraits attendus :

2026-02-20 11:05:12 FILTER: BLOCK IN on DMZ:
  src=192.168.10.12:45213 dst=192.168.1.5:22  proto=TCP  rule=DMZ->LAN BLOCK
2026-02-20 11:05:12 FILTER: BLOCK IN on DMZ:
  src=192.168.10.12:45213 dst=192.168.1.6:80  proto=TCP  rule=DMZ->LAN BLOCK

Étape 4 — Rédiger le rapport d'incident (1 page)

• Qui : machine source identifiée (IP, hostname si disponible)
• Quoi : SYN scan vers le réseau LAN depuis DMZ en violation de la politique réseau
• Quand : plage horaire et durée du test
• Preuves : numéros de trames pcap + extraits de logs (3 lignes minimum)
• Mesures prises : isolement de la machine, modification des règles, mise en place d'une alerte Suricata

💬 Synthèse — Question finale

📝 QCM — Testez vos connaissances