Écrire ses règles dans la console
Interfaces, règles d'entrée, de sortie et de transit, alias, NAT, import depuis OPNsense ou pfSense : le tout dans un brouillon que vous relisez avant de charger.
Modules Pare-feu et VPN
Deux modules facultatifs pour écrire les règles de pare-feu de la machine de ToutWAF et préparer des accès VPN. Ils sont désactivés par défaut et pas encore éprouvés en production : cette page dit ce qui existe, ce qui n'existe pas, et comment les essayer sans risque.
Où le trouver dans la console : menu Administration : Paramètres, onglet Modules ; les sections Pare-feu et VPN n'apparaissent dans le menu que lorsque le module est activé.
À lire d'abord
Ces deux modules sont expérimentaux. Nous préférons le dire avant de décrire quoi que ce soit.
- Désactivés par défaut : une installation qui ne les active jamais se comporte exactement comme avant. Rien n'est modifié sur la machine, aucune section n'apparaît dans le menu.
- Le pare-feu n'a jamais filtré de trafic réel sur un vrai serveur. Il est couvert par des tests unitaires et par un nftables simulé, et par rien d'autre.
- Le VPN génère et conserve une configuration, rien de plus : il ne démarre aucun tunnel, n'ouvre aucun port et ne touche aucune interface réseau de la machine.
- Gardez une seconde voie d'accès à la machine pendant vos essais (console sur un autre chemin, SSH, console de votre hébergeur) et commencez par une machine de test.
À quoi ça sert
Ne pas se couper soi-même
Une garde simule les flux à ne jamais couper, et toute application est mise à l'essai avec un retour automatique si vous ne confirmez pas.
Préparer des accès VPN
Clés, certificats et fichiers prêts à l'emploi pour WireGuard, OpenVPN et IPsec/IKEv2, gardés chiffrés avec la clé maîtresse.
Rien ne s'active par surprise
Un interrupteur par module, réservé aux administrateurs de la plateforme, enregistré dans le journal d'audit.
Le pare-feu, de l'écriture au chargement
Rien n'est chargé tant que vous n'avez pas appliqué, et rien n'est gardé tant que vous n'avez pas confirmé.
Un brouillon
Tout s'édite dans un brouillon. L'enregistrer ne change rien sur la machine.
Le plan et la garde
« Voir les changements » compare au jeu en vigueur et simule les flux à ne jamais couper : console (443 et 9443), SSH (22), port de l'agent (9444), ToutWAF et ses pairs. Un flux coupé partout est refusé ; un flux coupé en partie est un avertissement.
L'essai de 60 secondes
L'application charge les règles dans leur propre table nftables, sans toucher aux autres tables, y compris celles de firewalld. Sans votre confirmation en 60 secondes, les règles précédentes reviennent seules.
Désactivés par défaut
Gratuit
Paramètres > Modules, ou l'étape facultative « Modules » de l'assistant de premier lancement. Seul un administrateur de la plateforme peut les changer.
- Désactivé : la section du menu est masquée, rien n'est chargé et chaque route du module répond par un refus clair (409).
- Activé : la section apparaît pour ceux qui ont la permission de lecture (firewall:read, vpn:read) ; le module n'agit sur la machine que lorsque vous appliquez quelque chose.
- Désactiver masque le module et ne supprime rien : le brouillon, l'historique, les serveurs VPN et leurs clés scellées reviennent à la réactivation. Les règles déjà chargées dans nftables ne sont pas retirées par l'interrupteur : appliquez avec le pare-feu désactivé, ou annulez, avant de désactiver.
- Dans cette version, aucun des deux modules n'est lié à une licence.
Pare-feu : ce qui existe
Gratuit
Dans le style d'OPNsense, avec nftables comme moteur, sur un hôte Linux.
- Interfaces nommées, dont une marquée « anti-verrouillage » qui garde toujours la console, SSH et l'agent accessibles en tête de la chaîne d'entrée.
- Règles d'entrée, de sortie et de transit : passer, bloquer ou rejeter, protocole, source et destination (adresse, réseau ou alias, avec « non »), ports, plage horaire, journalisation et ordre.
- Alias (hôtes, réseaux, ports), NAT (redirection de port, masquerade sortant, 1:1), historique des révisions avec restauration dans le brouillon.
- Import des règles d'un export OPNsense ou pfSense (CSV ou config.xml) ou d'un fichier JSON ; une ligne qui ne se convertit pas est écartée avec un avertissement. Un import n'applique jamais rien.
Pare-feu : ce qui n'existe pas
Ce n'est pas le pare-feu qui ouvre les ports dont ToutWAF a besoin : cette carte, dans Paramètres, existe toujours. Ce module sert à vos propres règles.
- Lire les règles existantes de firewalld, et le moteur du Pare-feu Windows : le module écrit sa propre table à côté de firewalld, et un blocage de l'un ou de l'autre s'applique.
- DHCP, DNS, portail captif, groupes de passerelles, protection contre les scans et les inondations SYN : non faits.
- Les routes statiques et les passerelles sont enregistrées mais pas appliquées. Les alias de pays et de listes d'URL sont acceptés mais pas téléchargés ni développés : tant que leur contenu est vide, une règle qui les utilise ne correspond à rien.
VPN : ce qui existe
Gratuit
La configuration des serveurs, des clients et des connexions sortantes, générée et conservée.
- WireGuard : clés, clé pré-partagée facultative, adresses IPv4 et IPv6 sans collision, fichier serveur, fichier par client et texte du code QR. OpenVPN : autorité interne, certificats, profil .ovpn et liste de révocation. IPsec/IKEv2 : configuration strongSwan, avec nom et mot de passe ou certificat client.
- Créer un client rend son fichier une seule fois ; le télécharger de nouveau est audité. Un client se met en pause, se renouvelle ou se révoque.
- Les connexions sortantes relient cette machine à un VPN existant (WireGuard, OpenVPN) sans jamais remplacer la route par défaut, sauf option explicite, pour que la console reste joignable.
- Clés, certificats et mots de passe sont scellés avec la clé maîtresse ; ils n'apparaissent jamais dans une liste ni dans le journal d'audit.
VPN : ce qui n'existe pas
La page le dit aussi : « Seule la configuration est générée et conservée. Rien n'est démarré et aucun port n'est ouvert sur cette machine. »
- Démarrer et arrêter les tunnels, installer les fichiers serveur, les proposer au téléchargement et ouvrir le port : non faits. L'état des tunnels n'est pas disponible sur une installation standard.
- L2TP/IPsec et SSL VPN figurent dans la liste, annoncés « bientôt disponibles » : ils ne sont pas implémentés.
- Le VPN n'ajoute ni ne vérifie aucune règle de pare-feu : ouvrez vous-même le port du serveur et, si le module Pare-feu est activé, autorisez-le aussi là.
Ce qui reste à prouver
Nous préférons le dire clairement.
- La garde est un modèle des flux de la console, de SSH, de l'agent et des pairs ; elle ne peut pas connaître tout votre réseau (un pair connu seulement par son nom n'est pas contrôlé).
- On ne garantit pas ce qui arrive à un essai si le plan de contrôle redémarre, ni que les règles confirmées reviennent après le redémarrage de la machine : après l'un ou l'autre, ouvrez Pare-feu et vérifiez les règles en vigueur.
- Le banc de tests ne couvre que nftables et iptables. Rien n'a tourné sous un vrai systemd, ni sous Windows ou ARM.
- Aucun de ces deux modules ne vous promet de remplacer votre pare-feu de bordure ou votre VPN actuels. Essayez-les d'abord sur une machine de test.
Cas d'usage
Relire des règles OPNsense avant de les adopter
Vous importez un export dans le brouillon et lisez le plan sans rien appliquer.
Préparer les fichiers d'un VPN d'équipe
Vous générez un serveur WireGuard et les fichiers de chaque personne, puis vous installez vous-même la partie serveur.
Essayer sur une machine de test
Vous appliquez un changement visible, vous confirmez ou vous laissez le retour automatique agir, puis vous décidez.
Ce qui est inclus, par édition
Dans cette version, aucun de ces deux modules n'est lié à une licence ; cela pourrait changer.
ÉditionGratuit Inclus dans toutes les offres, dont les deux offres gratuites (Free et Free +)Pro et plus Offres payantes : visible dans la console, verrouillé sans licence. À partir de Pro, sauf mention Agency ou Enterprise
- Pare-feu : règles d'entrée, de sortie et de transit chargées avec nftables, alias, NAT, import OPNsense et pfSense, historique (pas encore éprouvé en production)Gratuit
- Garde contre le verrouillage de la console et de SSH, et retour automatique des règles après 60 secondes sans confirmation (pas encore éprouvés en production)Gratuit
- VPN : serveurs WireGuard, OpenVPN et IPsec/IKEv2 avec leurs clients ; la configuration est générée et conservée, aucun tunnel n'est démarré (pas encore éprouvé en production)Gratuit
- Connexions sortantes de cette machine vers un VPN existant (WireGuard, OpenVPN), sans remplacer la route par défaut sans demande explicite (pas encore éprouvées en production)Gratuit
- Un interrupteur par module dans Paramètres > Modules, réservé aux administrateurs de la plateforme ; désactiver un module le masque sans rien supprimerGratuit
Chaque fonction de cette liste porte la mention « pas encore éprouvé en production ». Le plan de données, lui, ne consulte jamais la licence.
Placez un bouclier devant vos applications dès aujourd'hui
Installez-le sur votre propre serveur, ou écrivez-nous pour parler de licences.