Parcourir les docs

Firewalls

Guide OPNsense

Configurez les flux Cybora dans OPNsense comme URL Table Aliases et utilisez-les dans les règles firewall pour bloquer les IP malveillantes.

Dernière mise à jour : 2 septembre 2026

Sur cette page

Utilisez ce guide pour integrer Cybora dans OPNsense avec les aliases natifs du pare-feu. Dans OPNsense, l’approche native la plus propre consiste a consommer Cybora comme alias URL Table base sur des IP, puis a utiliser cet alias dans les regles de pare-feu.

Ce que OPNsense peut faire avec un flux Cybora

  • OPNsense peut charger des flux IP distants dans un alias URL Table et maintenir cet alias a jour automatiquement.
  • L’alias importe peut ensuite etre utilise dans les regles de pare-feu partout ou vous utiliseriez normalement un alias host ou network.
  • Les flux de domaines peuvent être ajoutés séparément à l’aide des listes de blocage d’Unbound DNS.
  • Les flux d’URL Cybora contenant des URL complètes ou des chemins ne peuvent pas être importés directement par les alias OPNsense ou les listes de blocage d’Unbound DNS. Le filtrage des chemins d’URL nécessite un proxy web configuré séparément et un autre format d’intégration.

Choisir l’intégration adaptée à chaque type de flux

  • IPv4 : Dans Firewall > Aliases, sélectionnez URL Table (IPs) et utilisez une URL de flux Cybora contenant type=ipv4. Ici, « URL » désigne uniquement l’emplacement de téléchargement. Le fichier téléchargé doit toujours contenir des adresses IP. Ne sélectionnez pas URL (IPs), car ce type ne télécharge la liste qu’une seule fois, ni URL Table in JSON format (IPs), car Cybora fournit du texte brut et non du JSON.
  • Domaine : Ne sélectionnez aucune option dans la liste du type d’alias. Ajoutez plutôt l’URL contenant type=domain sous Services > Unbound DNS > Blocklists, dans URLs of Blocklists.
  • URL : Le flux Cybora type=url n’est pas directement compatible avec ce workflow d’alias. URL Table (IPs) n’accepte pas les URL complètes ; cette option télécharge uniquement des adresses IP depuis une URL. La variante JSON extrait elle aussi uniquement des adresses IP. Fournir les mêmes indicateurs d’URL au format JSON ne résoudrait donc pas cette limitation. OPNsense peut filtrer des domaines et des chemins d’URL à l’aide d’un proxy web facultatif tel que os-OPNProxy, mais cela nécessite une configuration séparée du proxy, une inspection HTTPS pour les chemins chiffrés complets et une intégration de flux compatible avec le proxy.

Avant de commencer

  • Utilisez une version de OPNsense qui prend en charge Firewall > Aliases et les URL Table aliases.
  • Assurez-vous que le pare-feu peut atteindre l’URL de votre flux Cybora via HTTPS.
  • Utilisez un flux Cybora base sur des IP pour ce workflow natif.
  • Le flux distant doit rester en plain text avec une IP par ligne.

Creer l’alias

La vue d’ensemble sous Firewall > Aliases constitue le point de depart. Le bouton plus permet de creer un nouvel alias.

Vue d’ensemble des alias OPNsense avec le bouton plus mis en evidence pour ajouter un alias

  1. Allez dans Firewall > Aliases et ajoutez un nouvel alias.
  2. Saisissez un nom d’alias clair et une description.
  3. Definissez le type d’alias sur URL Table (IPs).
  4. Collez l’URL de votre flux Cybora dans le champ content.
  5. Definissez la Refresh frequency au plus pres de votre plan Cybora. N’interrogez pas le flux plus souvent que ce que votre plan autorise. Une seule requete est permise dans l’intervalle autorise. Des interrogations trop frequentes peuvent entrainer le blocage du flux.
  6. Enregistrez l’alias et appliquez les modifications.

L’exemple suivant utilise le type URL Table (IPs), une actualisation toutes les heures et l’URL du flux Cybora avec la cle masquee.

Fenetre OPNsense pour configurer un flux IPv4 Cybora comme alias URL Tables IPs

Ajouter un flux de domaines avec Unbound DNS

  1. Ouvrez Services > Unbound DNS > Blocklists.
  2. Activez les listes de blocage et ajoutez l’URL du flux Cybora contenant type=domain dans URLs of Blocklists.
  3. Enregistrez et appliquez la configuration.
  4. Ajoutez la tâche Update Unbound DNSBLs sous System > Settings > Cron afin qu’OPNsense actualise automatiquement la liste. L’intervalle ne doit pas interroger le flux plus souvent que votre offre Cybora ne l’autorise.
  5. Vérifiez que les clients protégés utilisent Unbound DNS d’OPNsense comme résolveur. Les requêtes envoyées directement à un résolveur DNS externe peuvent contourner ce blocage de domaines.

Le flux de domaines Cybora est fourni en texte brut, avec un domaine par ligne. OPNsense ignore les lignes de commentaire commençant par #. Ce flux bloque la résolution DNS des domaines répertoriés, mais ne permet pas de distinguer les différents chemins d’URL d’un même domaine.

Appliquer l’alias dans la policy

  1. Ouvrez la regle de pare-feu dans laquelle vous voulez bloquer ou faire correspondre les indicateurs importes.
  2. Utilisez l’alias Cybora comme source ou destination, selon la conception de votre policy.
  3. Definissez l’action sur block, reject ou une autre action adaptee a votre modele de policy.
  4. Activez la journalisation sur la regle pour confirmer les correspondances dans le trafic en direct.
  5. Appliquez la configuration mise a jour du pare-feu.

Validation

  1. Allez dans Firewall > Diagnostics > Aliases et inspectez le contenu charge de l’alias.
  2. Confirmez que Last updated change apres le rafraichissement de l’alias.
  3. Utilisez Find references ou les journaux du pare-feu en direct pour verifier que l’alias est bien utilise par les regles prevues.
  4. Testez avec un trafic connu correspondant et confirmez que la regle se comporte comme attendu.

Liens utiles