OpenBSD conserve son historique légendaire en matière de sécurité. Avec seulement deux failles distantes en installation par défaut en plus de 28 ans, il reste inégalé pour les déploiements critiques. Ce guide couvre une configuration PF prête pour la production.
Pourquoi OpenBSD plutôt que Linux pour les pare-feu
OpenBSD intègre la protection mémoire W^X, le stack protector, l'ASLR, LibreSSL (fork durci d'OpenSSL) et les restrictions syscall pledge/unveil — tous activés par défaut. Pas de modules noyau à exploiter, surface d'attaque minimale.
Configuration du pare-feu PF
# /etc/pf.conf — Production OpenBSD 7.6
ext_if = "em0"
int_if = "em1"
table <bruteforce> persist
block all
pass in quick on lo0 all
# Bloquer le brute force
block quick "kw">from <bruteforce>
pass in on $ext_if proto tcp to port 443 modulate state
pass in on $ext_if proto tcp to port 22 \
flags S/SA keep state \
(max-src-conn 3, max-src-conn-rate 3/60, \
overload <bruteforce> flush global)