https://beta.slash-root.fr/tags/parefeu/Recent content in Parefeu on slash-root.frHugo -- gohugo.iofr-frSat, 13 Sep 2025 06:30:48 +0200https://beta.slash-root.fr/opnsense-block-malicious-ips/Thu, 21 Mar 2024 10:08:02 +0100https://beta.slash-root.fr/opnsense-block-malicious-ips/<img src="https://beta.slash-root.fr/opnsense-block-malicious-ips/cover.jpg" alt="Featured image of post OPNsense : Block malicious IPs" /><p>Un jour, j'ai décidé d'ajouter des blocklists à mes instances Crowdsec. Tout fier, j'en informe mon copain BoB sur Discord. C'est à ce moment là, qu'il me répond : &quot;Hey, rajoute cette liste comportant + de 200k IP !&quot;</p> <p>Cette fameuse liste est disponible sur ce dépôt git : <a href="https://github.com/duggytuxy/Intelligence_IPv4_Blocklist">https://github.com/duggytuxy/Intelligence_IPv4_Blocklist</a></p> <blockquote> <p>En complément : Un clin dœil à Romain Marcoux pour ses travaux open source liés autour de la CTI : <a href="https://github.com/romainmarcoux">https://github.com/romainmarcoux</a></p> </blockquote> <p>La communauté BE.CYBER a même découpé cette liste pour bypass la limitation des équipements Fortinet. Pour ici, pas besoin de la découper puisque je vais présenter comment la mettre en place sur OPNsense et la mettre à jour automatiquement.</p> <p>Allez, c'est parti !</p> <h2 id="mise-en-place-dun-alias"><a href="#mise-en-place-dun-alias" class="header-anchor"></a>Mise en place d&rsquo;un alias </h2><p>Pour la mise en place de la liste, il faudra créer un alias. C'est également grâce à cet alias qua liste se mettra à jour automatiquement.</p> <ul> <li>Tout d'abord, se rendre dans <code>Firewall</code> (1), <code>Aliases</code> (2). Puis, ajouter un nouvel alias (3).</li> </ul> <p><img data-recalc-dims="1" decoding="async" src="opnsense_malicious_01.png" alt="image-20240321091150291" /></p> <ul> <li>5 champs à remplir : <ul> <li><strong>Name</strong> (1) : Le nom qui permettra d'utiliser cet alias dans les règles du firewall.</li> <li><strong>Type</strong> (2) : Sélectionner <code>URL Table (IPs)</code>. Cela va permettre d'indiquer une fréquence de mise à jour.</li> <li><strong>Refresh Frequency</strong> (3) : Indiquer la fréquence de mise à jour de la liste. Ici, tous les jours.</li> <li><strong>Content</strong> (4) : La fameuse liste au format raw.</li> <li><strong>Description</strong> (5) : Le nom de ce champs parle de lui-même.</li> </ul> </li> </ul> <p><img data-recalc-dims="1" decoding="async" src="opnsense_malicious_02.png" alt="image-20240321091835085" /></p> <blockquote> <p>Lien de la liste : [Update 13/09/2025] <a href="https://raw.githubusercontent.com/duggytuxy/Data-Shield_IPv4_Blocklist/refs/heads/main/prod_data-shield_ipv4_blocklist.txt">https://raw.githubusercontent.com/duggytuxy/Data-Shield_IPv4_Blocklist/refs/heads/main/prod_data-shield_ipv4_blocklist.txt</a></p> </blockquote> <ul> <li>Valider en cliquant sur <code>Save</code>, puis <code>Apply</code>.</li> </ul> <p>La liste est mise en place avec <strong>8309</strong> entrées à ce jour (1) à travers ce nouvel alias. De plus, on peut constater que le firewall d'OPNsense peut comporter jusqu'à 1 millions d'entrées par défaut (2).</p> <p><img data-recalc-dims="1" decoding="async" src="opnsense_malicious_07.png" alt="image-20240321091835066" /></p> <h2 id="augmenter-le-nombre-dentrées"><a href="#augmenter-le-nombre-dentr%c3%a9es" class="header-anchor"></a>Augmenter le nombre d&rsquo;entrées </h2><p>Si cette limite d'un million d'entrées dans le système n'est pas suffisante, il est possible de l'augmenter.</p> <ul> <li>Se rendre dans <code>Firewall</code> (1), <code>Settings</code> (2), <code>Advanced</code> (3), et indiquer le nombre désiré (4).</li> </ul> <p><img data-recalc-dims="1" decoding="async" src="opnsense_malicious_03.png" alt="image-20240321093750139" /></p> <ul> <li>Valider en cliquant sur <code>Save</code>.</li> </ul> <h2 id="configuration-des-règles-du-firewall"><a href="#configuration-des-r%c3%a8gles-du-firewall" class="header-anchor"></a>Configuration des règles du firewall </h2><p>Pour bloquer ces IPs malicieuses en entrées comme en sorties du firewall, il est nécessaire de créer 2 nouvelles règles. Pour réaliser ça, les définir dans <strong>Floating</strong> est intéressant. Ainsi ces règles vont s'appliquer sur toutes les interfaces en priorité.</p> <ul> <li>Se rendre dans <code>Firewall</code> (1), <code>Rules</code> (2), <code>Floating</code> (3). Puis ajouter une nouvelle règle (4).</li> </ul> <p><img data-recalc-dims="1" decoding="async" src="opnsense_malicious_04.png" alt="image-20240321094221058" /></p> <ul> <li>4 champs importants : <ul> <li><strong>Action</strong> (1) : Par défaut, ce champs sera sur Pass. Le modifier pour <code>Block</code></li> <li><strong>Direction</strong> (2) : Peu importe la direction, on bloque ! Donc, <code>any</code>.</li> <li><strong>Source</strong> (3) : Sélectionner l'alias créé précédemment.</li> <li><strong>Destination</strong> (4) : Peu importe la destination ! Donc, <code>any</code>.</li> </ul> </li> </ul> <p><img data-recalc-dims="1" decoding="async" src="opnsense_malicious_05.png" alt="image-20240321095026838" /></p> <ul> <li>Valider en cliquant sur <code>Save</code>.</li> <li>Créer une seconde règle identique à la première mais en inversant <code>Source</code> et <code>Destination</code>.</li> <li>Ne pas oublier de cliquer sur <code>Apply</code> pour valider l'ajout de ces 2 règles.</li> </ul> <p><img data-recalc-dims="1" decoding="async" src="opnsense_malicious_06.png" alt="image-20240321095749005" /></p> <p>Voilà, c'est mis en place !</p> <p>Bien évidemment, il est possible d'activer les logs sur ces 2 règles afin d'en mesurer l'impact et/ou pouvoir les remonter dans un SIEM par exemple.</p>