your home router STILL SUCKS!! (use OPNsense instead)
Cette vidéo montre comment remplacer un routeur domestique classique par un mini-PC sous OPNsense, un pare-feu open source, avec configuration pas à pas, blocage de publicités et gestion assistée par IA.
SYNTHÈSE STRUCTURÉE
Le problème des routeurs domestiques
L’intervenant critique vivement les routeurs fournis par les FAI, les qualifiant de « goblin gateways » (passerelles gobelins). Il souligne qu’ils sont souvent vulnérables, lents et désormais même interdits par le gouvernement américain après la découverte de hackers chinois exploitant leurs failles. Il insiste sur le fait que ces appareils sont le point d’entrée idéal pour compromettre toute la maison : « Votre routeur est la raison pour laquelle le gouvernement interdit les futurs routeurs. »
OPNsense vs pfSense : le choix de l’open source
L’intervenant explique avoir choisi OPNsense plutôt que pfSense, qu’il utilisait dans une vidéo précédente. La raison principale : « OPNsense est 100% open source, contrairement à pfSense qui a fermé la meilleure version de son logiciel en 2021 et l’a mise derrière un paywall. » Cette décision reflète une tendance plus large dans la communauté IT vers des solutions transparentes et contrôlables par l’utilisateur.
Le matériel : flexibilité totale
Le mini-PC acheté au Japon n’est qu’une option parmi d’autres. L’intervenant précise que tout appareil x86 peut faire l’affaire : un vieux laptop, une machine virtuelle, ou un appliance dédié. Les spécifications minimales incluent deux ports Ethernet, mais un adaptateur USB-Ethernet peut dépanner. Cette approche illustre la philosophie DIY du mouvement self-hosting.
Les trois composants essentiels d’un réseau moderne
Un point crucial de la vidéo : un routeur/pare-feu ne suffit pas. Il faut aussi un switch réseau (l’équivalent d’une multiprise pour les ports Ethernet) et un point d’accès sans fil pour le Wi-Fi. L’intervenant recommande un switch manageable pour activer des fonctionnalités avancées comme les VLAN, notamment pour isoler les objets connectés (IoT) : « Un switch manageable est recommandé car il débloquera des fonctionnalités de sécurité VLAN cool, comme mettre vos appareils IoT sur un réseau séparé. »
Deux modes d’intégration au réseau existant
L’intervenant présente deux options pour intégrer le nouveau pare-feu. La première, la plus simple, consiste à brancher l’OPNsense sur un port libre du routeur existant (double NAT). La seconde, plus propre, consiste à mettre le routeur existant en mode bridge (ou passthrough) pour qu’il devienne un simple modem. Cette distinction est essentielle pour comprendre comment les adresses IP publiques et privées circulent dans le réseau.
Installation d’OPNsense : étape par étape
Le processus d’installation est détaillé : téléchargement de l’image VGA depuis opnsense.org, écriture sur une clé USB avec Etcher, puis boot et installation sur le mini-PC. L’intervenant recommande le système de fichiers ZFS avec une configuration en mode « stripe » pour la simplicité. Il insiste sur l’importance de définir un mot de passe root robuste dès cette étape.
Le problème des drivers Realtek
Un moment de tension dans la vidéo : l’intervenant découvre que ses interfaces réseau Realtek ne sont pas reconnues par OPNsense. Il doit installer les drivers manuellement. Ce problème est courant avec ce type de matériel et illustre l’importance de vérifier la compatibilité avant d’acheter. Il recommande de tester avec la commande ifconfig pour vérifier que les interfaces sont bien détectées.
Configuration initiale via l’assistant
L’assistant de configuration d’OPNsense guide l’utilisateur à travers les étapes clés : nom du routeur, fuseau horaire, activation de DNSSEC, configuration du WAN en DHCP, et désactivation du blocage des réseaux privés si on est en double NAT. L’intervenant nomme son routeur « Mike’s cursed router » (le routeur maudit de Mike), ajoutant une touche d’humour à la procédure.
Sécurisation du DNS avec DNS over TLS
L’intervenant configure le DNS chiffré (DNS over TLS) avec Cloudflare (1.1.1.1) comme serveur upstream. Il explique que cela empêche les écoutes clandestines sur les requêtes DNS. Il désactive également l’option « Allow DNS server list to be overridden by DHCP/PPP on WAN » pour garantir que les clients utilisent bien le DNS sécurisé du pare-feu.
Blocage de publicités intégré
Une fonctionnalité remarquable d’OPNsense : le blocage de publicités via des listes DNS. L’intervenant active plusieurs listes (AdGuard, abuse.ch, OISD) et démontre l’efficacité en testant un site avec des publicités. Il souligne que cela remplace avantageusement des solutions séparées comme Pi-hole : « Vous n’avez pas besoin d’un appareil séparé. Cette chose fait tout. »
Gestion par IA avec Hermes Agent
La partie la plus innovante : l’intervenant utilise un agent IA (Hermes Agent) installé sur un Raspberry Pi pour gérer le pare-feu. Il lui donne des clés API et le laisse apprendre la documentation OPNsense. L’agent réussit trois tests : ajouter un serveur DNS, créer une réservation DHCP, et bloquer tout le trafic vers la Chine via des listes CIDR. L’intervenant est impressionné : « L’IA peut officiellement gérer ce pare-feu OPNsense. »
L’importance de tester avant de déployer
L’intervenant insiste sur la possibilité de tester le pare-feu sans remplacer immédiatement le routeur existant. En branchant simplement son ordinateur sur le port LAN du pare-feu, on peut vérifier que tout fonctionne avant de faire le grand saut. Cette approche progressive réduit les risques et permet d’apprendre en douceur.
CONCEPTS CLÉS
Double NAT : Situation où deux routeurs se partagent la traduction d’adresses réseau, créant une double couche de NAT. Cela fonctionne pour la plupart des usages mais peut poser problème avec certains jeux ou applications peer-to-peer.
Bridge mode : Configuration qui désactive les fonctions de routage d’un modem/routeur pour le transformer en simple pont entre le réseau du FAI et le pare-feu. Le pare-feu reçoit alors directement l’IP publique.
DNSSEC : Extension de sécurité du DNS qui signe cryptographiquement les réponses DNS pour empêcher la falsification. OPNsense l’active par défaut dans l’assistant.
DNS over TLS (DoT) : Protocole qui chiffre les requêtes DNS sur le port 853, empêchant les tiers de voir quels domaines sont consultés. Cloudflare et Google proposent des serveurs compatibles.
VLAN : Réseau local virtuel qui permet de segmenter le trafic sur un même switch physique. Utile pour isoler les appareils IoT du reste du réseau pour des raisons de sécurité.
ZFS : Système de fichiers avancé avec gestion de snapshots et de parité. OPNsense le recommande pour sa robustesse et ses fonctionnalités de récupération.
Hermes Agent : Agent IA capable d’interagir avec des API et d’exécuter des tâches complexes. Dans la vidéo, il est utilisé pour configurer OPNsense via son API REST.
CIDR : Notation de plage d’adresses IP (ex. 192.168.1.0/24). Utilisée pour définir des blocs d’adresses à bloquer, comme les plages IP chinoises.
CONCLUSION
Le message principal est que remplacer son routeur domestique par un pare-feu open source comme OPNsense est non seulement possible pour un non-expert, mais aussi bénéfique en termes de sécurité, de contrôle et de fonctionnalités. L’intervenant démontre que la configuration est accessible, surtout avec l’aide d’outils modernes comme les agents IA qui peuvent automatiser les tâches complexes. Cette approche s’inscrit dans une tendance plus large vers la souveraineté numérique et le self-hosting, où l’utilisateur reprend le contrôle de son infrastructure réseau. La vidéo pré