Installer Zenarmor sur OPNsense : le guide complet pas à pas

Pour installer Zenarmor sur OPNsense, cinq étapes principales suffisent : désactiver le hardware offloading, installer sous System > Firmware > Plugins d'abord le plugin de dépôt os-sunnyvalley puis os-sensei, dérouler l'assistant de configuration depuis Zenarmor > Dashboard, activer un essai ou une licence, et définir vos premières politiques. Sur un matériel adapté, une installation de base prend moins d'une heure. La vraie qualité tient aux choix qui suivent : base de données de reporting, mode de déploiement, interfaces et politiques.

En tant que partenaire officiel Zenarmor aux Pays-Bas, nous avons vérifié chaque étape par rapport à la documentation d'installation de Zenarmor (version 2.7, septembre 2026) et au manuel OPNsense, puis ajouté les pièges que nous rencontrons sur le terrain. À noter : la page OPNsense est parfois en retard sur la documentation de Zenarmor ; en cas d'écart, nous suivons Zenarmor. Vous préférez ne pas l'installer vous-même ? Vous verrez à la fin comment Secrotec s'en charge pour vous.

Avant de commencer : ce dont vous avez besoin

• Une installation OPNsense à jour. Zenarmor indique OPNsense 24.7 et versions ultérieures comme plateforme prise en charge ; les notes de version montrent que la série actuelle 26.7 est activement supportée. Mettez d'abord OPNsense entièrement à jour.
• Un accès administrateur à l'interface web (par exemple root) et, idéalement, un accès console ou SSH en cas de problème.
• Un matériel suffisant : RAM, processeur et disque conformes au tableau ci-dessous.
• Des cartes réseau adaptées à netmap, le sous-système qu'utilise Zenarmor pour lire les paquets.
• Un choix de licence : essai gratuit de 15 jours, clé d'abonnement existante ou Free Edition. Selon Zenarmor, les éditions Free et Home sont réservées à un usage non commercial.
• Un point de retour : une sauvegarde de configuration et, pour un pare-feu virtuel, un instantané (snapshot).

Ce guide porte sur OPNsense, la plateforme que Zenarmor recommande lui-même. Zenarmor fonctionne aussi sur pfSense CE 2.7 et 2.8, FreeBSD et plusieurs distributions Linux. pfSense Plus n'est plus pris en charge.

Prérequis matériels et dimensionnement

Zenarmor publie les recommandations suivantes selon le nombre d'appareils actifs et la bande passante WAN (source : hardware requirements) :

Appareils actifs	Bande passante max.	RAM min.	Processeur min.
0–50	300 Mbit/s	1 Go	Double cœur x86_64 (PassMark 200+)
50–100	500 Mbit/s	4 Go	Intel i3 double cœur 2,0 GHz
100–250	1 Gbit/s	8 Go	Intel i5 double cœur 2,2 GHz
250–1 000	1–2 Gbit/s	16 Go	Intel i5 double cœur 3,2 GHz
1 000–2 000	1–2 Gbit/s	32 Go	Intel i7 quatre cœurs 3,4 GHz
2 000+	2–4,5 Gbit/s	64 Go	Intel i9 quatre cœurs 3,0 GHz

Quatre points de la documentation souvent négligés :

• Elasticsearch exige au moins 8 Go de RAM. Avec moins de mémoire, l'assistant classe votre système en « low-end » et ne propose pas Elasticsearch en local ; vous basculez alors sur SQLite.
• La performance mono-cœur compte davantage que le nombre de cœurs. Un quatre-cœurs rapide vaut mieux qu'un processeur lent à nombreux cœurs.
• Espace disque : prévoyez environ 5 Mo par heure et par Mbit/s de débit. L'exemple de Zenarmor pour un lien actif de 100 Mbit/s est d'environ 6 Go par jour et 168 Go par mois. Utilisez un SSD.
• Virtualisation : au-delà de 500 appareils actifs combinés à plus de 500 Mbit/s de trafic WAN soutenu, Zenarmor déconseille un déploiement en machine virtuelle, car les ressources sont partagées.

Pour du matériel neuf, vous pouvez opter pour votre propre matériel x86, une machine virtuelle sous Proxmox, Hyper-V ou VMware, ou une appliance de Deciso, l'éditeur d'OPNsense, via la boutique OPNsense. Vérifiez toujours la RAM d'une appliance au regard du tableau.

Cartes réseau et netmap

Zenarmor lit les paquets via netmap, un sous-système FreeBSD offrant un accès rapide aux trames Ethernet. La documentation cite les cartes Intel avec les pilotes em(4) et igb(4) comme stables et performantes. Si la prise en charge native de netmap par votre carte est fragile, le mode avec pilote netmap émulé est le choix sûr ; c'est d'ailleurs le mode par défaut sur OPNsense. En machine virtuelle, commencez par ce mode par défaut et ne testez qu'ensuite la stabilité du netmap natif.

Étape 1 : sauvegarder et désactiver le hardware offloading

1. Créez une sauvegarde de configuration sous System > Configuration > Backups et téléchargez le fichier. Pour un pare-feu virtuel, prenez aussi un instantané.
2. Ouvrez Interfaces > Settings.
3. Vérifiez que le hardware checksum offloading, le TCP segmentation offloading (TSO) et le large receive offloading (LRO) sont désactivés, et désactivez le filtrage matériel des VLAN.
4. Enregistrez puis redémarrez le pare-feu pour que les réglages s'appliquent bien à toutes les interfaces.

Pourquoi ? Selon Zenarmor, le hardware offloading est incompatible avec netmap. Les versions récentes d'OPNsense désactivent déjà par défaut le checksum, le TSO et le LRO, mais vérifiez-le toujours, surtout après une migration ou un ancien réglage de performances.

Étape 2 : installer le plugin de dépôt os-sunnyvalley

1. Connectez-vous à l'interface web d'OPNsense avec un compte administrateur.
2. Ouvrez System > Firmware > Plugins.
3. Recherchez os-sunnyvalley, le dépôt éditeur de Sunny Valley, la société derrière Zenarmor.
4. Cliquez sur l'icône +. OPNsense bascule vers l'écran de mise à jour et installe le plugin.
5. Revenez à l'onglet Plugins et actualisez la page (F5) si la liste n'est pas encore à jour.

Étape 3 : installer le plugin Zenarmor os-sensei

1. Dans le même onglet, recherchez os-sensei. Sensei était le nom d'origine du produit Zenarmor.
2. Cliquez sur +. Un avertissement relatif aux logiciels tiers s'affiche ; confirmez avec Install.
3. Patientez jusqu'à la fin de l'installation. Le menu Zenarmor apparaît dans la navigation de gauche ; actualisez la page si nécessaire.

Vous préférez la console ? Choisissez l'option 8 (Shell) dans le menu console d'OPNsense et exécutez successivement pkg install os-sunnyvalley puis pkg install os-sensei. L'assistant se termine ensuite dans l'interface web. Voir le guide d'installation Zenarmor pour OPNsense.

Étape 4 : dérouler l'assistant de configuration initiale

Ouvrez Zenarmor > Dashboard : l'assistant démarre automatiquement. Zenarmor n'est opérationnel qu'une fois l'assistant entièrement terminé. Les étapes suivent la description officielle de la configuration initiale.

4a. Welcome

Acceptez les conditions d'utilisation et la politique de confidentialité en cochant la case, puis cliquez sur I Agree.

4b. Hardware Check & Reporting Database

L'assistant analyse votre matériel et le qualifie de compatible, low-end ou incompatible. Avec un matériel incompatible, l'installation s'arrête. Vous choisissez ensuite la base de données de reporting :

Base de données	Adaptée à	Points d'attention
Elasticsearch local	Réseaux d'entreprise avec reporting détaillé et historique long	Au moins 8 Go de RAM et un SSD ; non proposé sur les systèmes low-end
SQLite	Petits réseaux, laboratoires, appliances avec peu de RAM	Léger ; moins adapté aux gros volumes de données
Elasticsearch distant	Grands environnements, journalisation centralisée, intégration SIEM	Compatible Elasticsearch 8.9.x à 8.17.1 ; Zenarmor exige un accès complet ; choix non modifiable après l'assistant

MongoDB n'est plus pris en charge pour les nouvelles installations depuis septembre 2025. Cliquez sur Install Database (local) ou Next (distant). Notre conseil : Elasticsearch local à partir de 8 Go de RAM ; en dessous, SQLite, éventuellement complété par un envoi des données vers un serveur syslog ou un SIEM.

4c. Deployment Mode & Interface Selection

• Mode de déploiement. « Routed mode with emulated netmap driver » est sélectionné par défaut. Le pilote netmap natif est plus rapide, mais seulement avec des cartes réseau bien prises en charge. Selon la plateforme et la version, l'assistant propose d'autres modes ; conservez le mode par défaut sauf raison précise.
• Épinglage CPU. Par défaut, Zenarmor attache son moteur de traitement des paquets à des cœurs dédiés. Vous pouvez le désactiver via « Do not pin engine packet processors to dedicated CPU cores », par exemple si vous disposez de peu de cœurs et que d'autres services en pâtissent.
• Interfaces. Protégez le côté LAN. Sélectionnez l'interface physique parente (par exemple igb0) plutôt que des interfaces VLAN isolées, afin que Zenarmor inspecte toutes les sous-interfaces. Ne sélectionnez jamais à la fois l'interface parente et ses VLAN.
• Zones de sécurité. Attribuez une zone à chaque interface : lan, dmz, guest, wifi, wan ou une zone personnalisée via Custom. Une mauvaise étiquette, comme un WAN marqué LAN, entraîne des erreurs de filtrage et de reporting.

Cliquez sur Next.

4d. Activate Subscription

Trois options s'offrent à vous : un essai gratuit de 15 jours de l'abonnement professionnel (simple adresse e-mail, sans carte bancaire), « I already have my subscription key » pour une licence existante, ou la Free Edition. Pour un environnement professionnel, choisissez l'essai ou une licence. Depuis la 2.7, l'activation de licence est aussi intégrée au parcours d'enregistrement dans Zenconsole.

Offre	Prix catalogue	Pour qui ?
Free	0 USD	Évaluation et homelab ; non commercial, sans inspection TLS
Home	9,99 USD par mois	Usage personnel ; pas pour les entreprises
Unified Secure	5,00 USD par utilisateur et par mois (10–49 utilisateurs), dégressif au-delà	Entreprises : IPS, contrôle applicatif et web, HA des passerelles ; inspection TLS en option
Unified Secure Plus	9,00 USD par utilisateur et par mois (10–49 utilisateurs), dégressif au-delà	Entreprises ayant besoin de l'inspection TLS complète, du VPN maillé et de plus d'agents
SSE, ZTNA, SASE	Sur devis	Grands comptes, MSP, conservation plus longue

Prix catalogue selon la page des offres Zenarmor : état octobre 2026, en USD, hors TVA, sous réserve. Minimum 10 utilisateurs ; le premier site est inclus.

4e. Finish

Vérifiez le récapitulatif et cliquez sur Complete. Zenarmor recommande de lire les Best Practices for Zenarmor Deployment avant de configurer les politiques, et nous partageons pleinement ce conseil.

Étape 5 : rattacher le pare-feu à Zenconsole (facultatif)

Sur OPNsense, l'enregistrement dans Zenconsole est facultatif : vous pouvez tout gérer localement dans l'interface web. Le rattachement devient intéressant si vous exploitez plusieurs pare-feu, souhaitez un reporting centralisé ou prévoyez d'utiliser des agents de poste et le ZTNA.

1. Ouvrez Zenarmor > Settings > Cloud Management Portal.
2. Cliquez sur Install & Configure. Le plugin d'agent os-sensei-agent s'installe en arrière-plan.
3. Si nécessaire, créez un compte sur dash.zenarmor.com.
4. Cliquez sur Register to Cloud Management Portal et connectez-vous. Désactivez le bloqueur de fenêtres pop-up de votre navigateur, sinon l'enregistrement échoue (documentation).

Si vous souhaitez plus tard intégrer le pare-feu à une organisation Zenconsole pour une politique centralisée, sauvegardez d'abord vos politiques locales : elles sont supprimées lors du rattachement. Pour en savoir plus, lisez Zenconsole : gestion centralisée des pare-feu multi-sites.

Étape 6 : définir les premières politiques

À l'issue de l'assistant, il existe une seule politique Default. Ouvrez Zenarmor > Policies et parcourez les onglets :

• Security : activez les catégories essentielles, comme malware, hameçonnage, piratage, spam, domaines potentiellement dangereux ou parqués et sites vus pour la première fois. Un abonnement payant ajoute des catégories avancées comme les C&C de botnets, les épidémies récentes, les sites compromis et les domaines nouvellement enregistrés.
• App Controls : bloquez ou limitez des catégories d'applications et des applications précises, par exemple le P2P, les anonymiseurs ou les outils de prise en main à distance que vous n'utilisez pas. Voir notre article sur le contrôle applicatif.
• Web Controls : choisissez un profil (Permissive, Moderate ou High Control) ou composez le vôtre, et imposez Safe Search si nécessaire. Voir le filtrage web Zenarmor.
• Exclusions : définissez les exceptions pour les domaines ou systèmes critiques, et documentez-en la raison.

Créez des politiques supplémentaires pour les groupes aux besoins différents, selon l'interface, le VLAN, le réseau, l'appareil, l'utilisateur ou la plage horaire : une politique plus stricte pour le réseau invités, par exemple, et une politique distincte pour l'IoT et l'OT. Attention : tous les critères d'une politique doivent être remplis simultanément (logique ET). Notre règle empirique : démarrer avec Moderate et la sécurité essentielle, analyser les rapports pendant une semaine, puis durcir. Vous évitez ainsi qu'une première politique trop stricte bloque des processus métier. Pour la segmentation par VLAN, lisez Segmentation réseau pour NIS2 et ISO 27001.

Étape 7 : préparer l'inspection TLS

Sans inspection TLS, Zenarmor voit surtout les noms de domaine et les informations de certificat du trafic HTTPS. C'est suffisant pour une grande partie du contrôle web et applicatif. Pour aller plus loin, Zenarmor propose un mode léger basé sur les certificats et l'inspection TLS complète (déchiffrement puis rechiffrement).

1. Vérifier la licence. Dans les nouvelles offres, l'inspection TLS est une option d'Unified Secure et elle est incluse dans Unified Secure Plus.
2. Générer ou importer un certificat d'autorité (CA) dans les paramètres Zenarmor (CA Management). Zenarmor recommande une CA intermédiaire, afin que votre CA racine ne se trouve jamais sur le pare-feu.
3. Déployer le certificat sur les postes comme certificat de confiance, par exemple via une stratégie de groupe, Intune ou votre solution MDM.
4. Activer progressivement par politique : commencez par un groupe pilote et utilisez la liste de contournement, notamment pour les banques, les portails de santé et les applications utilisant l'épinglage de certificats.
5. Documenter ce que vous inspectez et pourquoi (RGPD ; en France, le CSE doit être informé et consulté avant la mise en place de moyens de contrôle de l'activité des salariés, article L2312-38 du Code du travail).

Tous les détails juridiques et techniques figurent dans notre article Inspection TLS avec Zenarmor.

Étape 8 : tester et vérifier

• Live Sessions : voyez-vous le trafic de toutes les interfaces et de tous les VLAN protégés ?
• Dashboard et Reports : les applications, catégories web et menaces apparaissent-elles ?
• Tester un blocage : visitez un site d'une catégorie bloquée. Pour les sites HTTPS, la page de blocage ne s'affiche correctement que si le certificat CA de Zenarmor est approuvé sur le poste ; sinon, une erreur de connexion apparaît.
• Vérifier une catégorie : en cas de doute sur un domaine, consultez l'outil de classification de sites de Zenarmor.
• Charge : surveillez le processeur, la RAM et le disque dans le tableau de bord d'OPNsense, surtout les premiers jours.
• Services critiques : testez le VPN, la VoIP, la visioconférence, les sauvegardes et les mises à jour.
• Documenter : consignez la configuration et créez une sauvegarde sous Zenarmor > Settings > Backup and Restore.

Mises à jour et maintenance

Maintenez OPNsense et Zenarmor à jour et lisez les notes de version à chaque mise à jour. Zenarmor recommande lui-même de :

• prendre un instantané avant chaque mise à niveau en environnement virtuel ;
• tester d'abord les mises à niveau dans un environnement de préproduction ;
• garantir une connexion fiable et planifier les mises à jour hors des heures de bureau ;
• obtenir l'accord de la direction et documenter l'ensemble du processus ;
• passer par l'interface Zenarmor pour des mises à jour maîtrisées.

Avant une mise à niveau majeure d'OPNsense, par exemple de 26.1 vers 26.7, consultez les notes de version de Zenarmor pour repérer les problèmes connus ; Zenarmor 2.6.2 a ainsi corrigé un rapport de plantage sous OPNsense 26.7. Un processus de mise à jour formalisé constitue en outre une preuve pour les mesures ISO 27001 A.8.8 (gestion des vulnérabilités techniques) et A.8.32 (gestion des changements).

Haute disponibilité (HA)

Si vous exploitez OPNsense en cluster HA avec CARP, installez Zenarmor sur chaque nœud. Sous Zenarmor > Settings > High Availability, vous voyez l'état du nœud de secours : version de Zenarmor, état du moteur, base de données et synchronisation. Paramètres et politiques sont synchronisés depuis le pare-feu principal ; après une modification, une notification avec un bouton Sync apparaît. La HA requiert un abonnement professionnel : la documentation HA cite la Business Edition, tandis que les nouvelles offres mentionnent « gateway HA with configuration synchronization » à partir d'Unified Secure. Depuis la 2.7, les abonnements Business et supérieurs sur OPNsense bénéficient aussi du traitement multicœur pour les liens 10G.

Pièges courants et solutions

Problème	Cause	Solution
L'assistant ne propose pas Elasticsearch en local	RAM insuffisante, système classé low-end	Passer à 8 Go de RAM ou plus, ou choisir SQLite ou un Elasticsearch distant
Instabilité, pertes de paquets, interfaces qui décrochent	Hardware offloading actif ou carte réseau mal prise en charge par netmap	Désactiver l'offloading, utiliser le mode émulé, choisir des cartes Intel em/igb
Conflit avec Suricata (IDS/IPS)	Les deux utilisent netmap sur la même interface	Les faire tourner sur des interfaces différentes, par exemple Suricata sur le WAN et Zenarmor sur le LAN
Reporting en double ou manquant sur les VLAN	Interface parente et VLAN sélectionnés ensemble, ou un VLAN seul	Ne sélectionner que l'interface parente, par exemple igb0
Trafic VPN invisible	L'interface tun d'OpenVPN ne prend pas en charge netmap	Utiliser WireGuard (compatible netmap) ou déployer des agents de poste
Filtrage ou rapports incohérents	Mauvaise zone de sécurité, par exemple WAN étiqueté LAN	Corriger les zones dans la configuration Zenarmor
Échec de l'enregistrement dans Zenconsole	Bloqueur de pop-up du navigateur	Autoriser temporairement les pop-up
Disque saturé	Les données de reporting croissent plus vite que prévu	Fixer une durée de conservation, prendre un SSD plus grand ou externaliser les données

Si vous utilisez OPNsense en pont transparent (bridge), testez d'abord cette configuration en laboratoire : les scénarios en pont exigent une attention particulière dans le choix des interfaces et du mode de déploiement.

Revenir en arrière ou désinstaller

• Retour rapide : passez le moteur en mode bypass ou arrêtez le moteur de paquets. OPNsense continue de traiter le trafic comme un pare-feu classique, sans inspection Zenarmor.
• Restaurer la configuration : via Zenarmor > Settings > Backup and Restore.
• Suppression complète : suivez la procédure de désinstallation de la documentation Zenarmor (depuis le shell avec zenarmorctl uninstall), qui vous demande si vous souhaitez conserver les données de reporting. Supprimez ensuite os-sensei et, si vous le souhaitez, os-sunnyvalley sous System > Firmware > Plugins.
• Dernier recours : restaurez la sauvegarde de configuration OPNsense ou l'instantané de la VM réalisés à l'étape 1.

Vous préférez nous confier l'installation ?

Installer soi-même fonctionne bien en laboratoire ou dans un petit bureau. En production, avec plusieurs VLAN, de la HA, de l'inspection TLS ou des exigences de conformité, mieux vaut réussir du premier coup. En tant que partenaire officiel Zenarmor aux Pays-Bas, avec des projets dans toute l'Europe, Secrotec vous apporte :

• un conseil de dimensionnement et de matériel : réutilisation du matériel existant, VM ou appliance Deciso ;
• l'installation et la configuration selon les bonnes pratiques de Zenarmor, y compris la HA et la conception des VLAN ;
• des politiques alignées sur l'annexe A de l'ISO 27001 et sur NIS2 ;
• l'inspection TLS avec déploiement de la CA et documentation RGPD ;
• un reporting et une journalisation exploitables comme preuves d'audit ;
• des licences avec remise partenaire, le prix restant toujours négociable dans les projets Zenarmor.

Notre atout : nous sommes aussi Lead Auditors ISO 27001. Nous savons quelles preuves un auditeur attend et configurons Zenarmor en conséquence. Zenarmor soutient la conformité, mais ne vous rend pas conforme à lui seul. Découvrez les licences et l'intégration Zenarmor avec Secrotec, comparez les coûts avec votre pare-feu actuel dans notre comparatif de prix Zenarmor, voyez comment exploiter le reporting pour NIS2 et l'ISO 27001, ou consultez notre page Pare-feu & réseaux.