Runbook 03 : VM OPNsense (routeur / pare-feu)

Objectif : OPNsense virtualisé sur le Giada, WAN vers la box 5G, LAN en 10.0.1.1/24, internet fonctionnel pour l'infrastructure. Prérequis : runbook 01 terminé (vmbr0 LAN, vmbr1 WAN).

1. Image d'installation

Prendre l'image dvd (OPNsense-<version>-dvd-amd64.iso.bz2), vérifier son SHA256, la décompresser, puis l'envoyer dans local → ISO Images.

Image	Usage
dvd (.iso)	Démarrage comme un CD : VMs
vga / serial (.img)	Clé USB pour machine physique (écran ou console série)
nano (.img)	Système préinstallé pour l'embarqué

2. Création de la VM

Paramètre	Valeur	Raison
VM ID / nom	100 / opnsense
OS type	Other
CPU	2 cœurs, type host
RAM	2 Go, ballooning désactivé	UFS : pas de cache ARC interne
Disque	scsi0, 20 Go, discard + iothread + SSD	Voir piège ci-dessous
net0	vmbr0, VirtIO, pare-feu Proxmox désactivé	LAN
net1	vmbr1, VirtIO, pare-feu Proxmox désactivé	WAN (ajoutée après l'assistant de création, qui n'accepte qu'une carte)
Options	Start at boot, ordre 1, agent QEMU	Le routeur démarre en premier

Pièges : - Avec le type « Other », Proxmox crée le disque en IDE. Le détacher et le rattacher en SCSI avant l'installation : après, le disque change de nom pour FreeBSD (ada0 → da0) et le système ne démarre plus. - Pare-feu Proxmox désactivé sur les deux cartes, pour ne pas superposer deux pare-feux.

3. Installation

1. Démarrer, ne toucher à rien pendant le chargement de l'environnement live (importeur de configuration et assignation manuelle expirent seuls).
2. Connexion installer / opnsense.
3. Clavier : tester la disposition, symboles compris, avant de définir le mot de passe root.
4. Install (UFS) — l'hôte fournit déjà ZFS (ADR-0008).
5. Retirer l'ISO du lecteur virtuel après l'installation.

4. Console : interfaces

• Option 1 : pas de VLAN ni de LAGG à ce stade ; WAN = vtnet1, LAN = vtnet0 (vérifier par les adresses MAC).
• Option 2, LAN : 10.0.1.1/24, pas de passerelle amont, pas d'IPv6, pas de DHCP, interface web en HTTPS.

5. Assistant web (https://10.0.1.1)

Étape	Réglage
General	Hostname opnsense, domaine interne, DNS Quad9 (9.9.9.9, 149.112.112.112), Override DNS décoché, Unbound activé
Time	Europe/Paris, NTP par défaut
WAN	DHCP, Block RFC1918 et bogons cochés
LAN	10.0.1.1/24 (inchangé)

6. Après l'assistant

1. System → Gateways : WAN_DHCP en ligne et marquée passerelle amont.
2. Snapshot Proxmox post-wizard.
3. Mise à jour du firmware.
4. Plugin os-qemu-guest-agent.
5. Sur l'hôte Proxmox : dépôts enterprise désactivés, dépôt No-Subscription ajouté, mise à jour.

Dépannage rencontré

Symptôme : WAN avec une adresse DHCP, la box répond au ping, mais ping 1.1.1.1 échoue. Diagnostic : netstat -rn -f inet | grep default → aucune route par défaut. Test : route add default 192.168.1.1 → internet fonctionne : seule la route manquait. Correction : dans la configuration d'OPNsense (passerelle WAN_DHCP amont), jamais par commande manuelle : OPNsense réapplique config.xml à chaque rechargement.

Critères de réussite

• [ ] Console : WAN en DHCP (réseau de la box), LAN en 10.0.1.1/24.
• [ ] ping 1.1.1.1 depuis OPNsense.
• [ ] La route par défaut est présente après un redémarrage de la VM, sans intervention.
• [ ] L'hôte Proxmox résout et joint internet (apt update).
• [ ] Un poste du LAN navigue via 10.0.1.1.