Migrer de pfSense vers FortiGate : méthode et pièges

pfSense est un excellent pare-feu open source. Beaucoup d’entreprises ont démarré avec, souvent installé par un prestataire ou un salarié passionné, sur un petit boîtier ou un vieux serveur. Il a rendu service pendant des années. Puis l’entreprise a ouvert un second site, embauché des télétravailleurs, souscrit une assurance cyber qui pose des questions précises, et la personne qui connaissait la configuration est partie. C’est en général à ce moment que la migration vers FortiGate se décide. Voici la méthode que nous suivons, en tant que partenaire Fortinet, pour qu’elle se fasse sans coupure ni mauvaise surprise.

Pourquoi changer

pfSense n’est pas un mauvais choix : c’est un choix qui demande quelqu’un pour l’entretenir. Quand ce n’est plus le cas, ou quand les besoins dépassent ce que la configuration de départ prévoyait, le FortiGate apporte :

• Inspection applicative et SSL avec des signatures mises à jour en continu par le constructeur, là où pfSense s’appuie sur des paquets tiers comme Suricata ou pfBlockerNG qu’il faut installer, régler et suivre soi-même.
• SD-WAN intégré pour les multi-sites, avec bascule automatique entre liens et priorisation de la voix.
• Support constructeur et remplacement matériel sous contrat, ce qu’aucun projet open source ne fournit seul.
• Rapports et journaux exploitables, attendus par les assureurs et les auditeurs.
• Security Fabric : commutateurs FortiSwitch et bornes FortiAP administrés depuis le pare-feu.

Quand rester sur pfSense

Par honnêteté : si vous avez un site unique, une personne compétente qui maintient pfSense à jour, et aucune exigence d’assurance ou de conformité, rien ne presse. La migration se justifie quand l’entretien repose sur une seule personne, quand le réseau s’étend à plusieurs sites, ou quand vous devez prouver votre niveau de protection. Si vous hésitez aussi sur la marque, notre comparatif FortiGate ou WatchGuard aide à trancher.

Ce qui se traduit, et comment

Les deux systèmes ne parlent pas le même langage. Voici les correspondances que nous reprenons une par une.

Élément pfSense	Équivalent FortiGate	Point d’attention
Alias	Objets adresse et groupes	Renommer clairement, supprimer les alias inutilisés
Règles par interface	Politiques entre interfaces ou zones	FortiGate refuse par défaut : tout flux doit être déclaré
Port forward (NAT entrant)	IP virtuelles (VIP) et politique associée	Limiter la source quand c’est possible, activer l’inspection
NAT sortant automatique	NAT activé sur la politique ou pool d’adresses	Vérifier les adresses publiques multiples
VLAN	Interfaces VLAN, regroupées en zones si besoin	Garder la même numérotation pour les commutateurs
DHCP et réservations	Serveur DHCP par interface, réservations	Reprendre les baux fixes des imprimantes et caméras
Résolveur DNS	DNS du FortiGate ou serveur interne	Reproduire les enregistrements locaux
VPN IPsec site à site	Tunnels IPsec	Paramètres à revalider avec chaque tiers
OpenVPN ou WireGuard pour le télétravail	VPN IPsec avec FortiClient	Nouveau client à installer sur chaque poste
Paquets (HAProxy, Squid, pfBlockerNG)	Profils de sécurité, filtrage web et DNS	Pas toujours d’équivalent direct : à analyser au cas par cas

Ce tableau montre pourquoi nous ne faisons pas de conversion automatique : chaque ligne demande une décision, pas une copie.

La méthode que nous suivons

1. Export et lecture complète de la configuration pfSense : interfaces, VLAN, alias, règles, NAT, VPN, DHCP, DNS, paquets installés. Rien n’est traduit automatiquement ; chaque règle est comprise puis réécrite.
2. Matrice de flux : pour chaque règle, qui parle à qui, sur quel port, et pourquoi. Les règles que personne ne sait justifier sont signalées.
3. Nettoyage : une configuration qui a vécu plusieurs années accumule des règles obsolètes, des exceptions temporaires jamais retirées et des redirections vers des serveurs disparus. C’est le moment de les supprimer, pas de les recopier.
4. Dimensionnement du FortiGate sur le débit avec inspection, comme expliqué dans FortiGate pour PME : quel modèle choisir.
5. Maquette : le FortiGate est configuré et testé en parallèle, sur un VLAN de test, avec les VPN montés vers un site pilote et quelques postes de télétravail.
6. Prévenir les tiers : partenaires reliés en VPN IPsec, opérateurs, éditeurs dont les accès sont filtrés par adresse IP.
7. Bascule un soir ou un week-end, hors heures de production, avec une liste de tests écrite à l’avance : internet, messagerie, applications métier, téléphonie, impression, VPN.
8. Retour arrière prêt : le pfSense est conservé éteint pendant deux semaines, câblage noté, pour un retour immédiat si besoin.
9. Documentation remise au client : schéma, matrice de flux, procédure de secours, accès administrateur.

Le jour de la bascule, concrètement

La bascule elle-même est l’étape la plus courte, parce que tout a été préparé. Le FortiGate, déjà configuré et testé, prend la place physique du pfSense : mêmes câbles, mêmes VLAN, même adresse publique quand c’est possible. Une personne déroule la liste de tests pendant qu’une autre surveille les journaux du FortiGate pour repérer immédiatement les flux refusés. Chaque refus inattendu est analysé : soit il révèle un flux légitime oublié, qui est ajouté avec une règle précise, soit il confirme une règle obsolète qu’on avait raison de supprimer. Le lendemain matin, un technicien reste disponible pour les premiers utilisateurs, et les journaux sont relus dans les jours qui suivent pour ajuster ce qui doit l’être, sans jamais revenir à une règle « tout autorisé ».

Les pièges

• Les VPN IPsec vers des tiers : chaque partenaire doit valider les nouveaux paramètres, et ses délais ne dépendent pas de vous. On le prévient tôt.
• Les règles par défaut : pfSense autorise le trafic sortant du LAN par défaut. FortiGate refuse tout sauf ce qui est explicitement permis. Ce qui « marchait tout seul » doit être déclaré, sinon une application métier s’arrête le lundi matin.
• Le dimensionnement : l’inspection SSL réduit fortement le débit annoncé. On choisit le modèle sur le débit inspecté, pas sur la fiche marketing.
• Le télétravail : les utilisateurs d’OpenVPN ou de WireGuard passent sur FortiClient. Il faut installer le client, distribuer les accès et prévoir un moment de support.
• Les adresses IP publiques : si des services externes filtrent sur votre adresse publique, elle ne doit pas changer, ou ils doivent être prévenus.
• L’inspection SSL : elle suppose de déployer le certificat du FortiGate sur les postes, sinon les navigateurs affichent des alertes.

Les erreurs que nous corrigeons après d’autres

1. Une politique « tout autorisé » créée le soir de la bascule pour que tout fonctionne, jamais retirée ensuite.
2. L’inspection SSL laissée en mode certificat seulement, qui ne lit pas le contenu échangé.
3. L’interface d’administration du FortiGate accessible depuis internet, sans MFA.
4. Le firmware jamais mis à jour depuis l’installation.
5. Aucune documentation : la dépendance à une personne, qui motivait la migration, recommence.

Nous détaillons les bons réglages dans les 10 réglages de sécurité après l’installation d’un FortiGate.

Checklist de migration

• Export de la configuration pfSense sauvegardé hors du boîtier.
• Matrice de flux validée par le responsable informatique.
• Règles obsolètes identifiées et supprimées.
• Modèle FortiGate et licence choisis sur le débit avec inspection.
• Tiers VPN et opérateurs prévenus, avec leurs paramètres.
• FortiClient prêt pour les télétravailleurs.
• Certificat d’inspection SSL déployé sur les postes.
• Liste de tests de bascule écrite, avec un responsable par test.
• pfSense conservé éteint deux semaines, procédure de retour arrière écrite.
• Documentation finale remise.

Comment nous travaillons

Tout commence par un audit initial offert de votre pfSense et de votre réseau : nous lisons la configuration, identifions les flux réels et vous remettons une proposition de modèle, de licence et de calendrier. La migration se fait dans le cadre d’un projet ou d’un contrat d’infogérance ; dans ce second cas, le FortiGate rejoint notre supervision 24/7, et un incident critique est pris en charge en moins de 15 minutes. Si vous avez plusieurs sites, nous en profitons pour mettre en place le SD-WAN FortiGate multi-sites.

Découvrez notre offre cybersécurité et nos réalisations, anonymisées. Pour préparer votre migration, contactez-nous : nous vous répondons sous 24 h ouvrées.