Aperçu
IPFire est une distribution Linux durcie qui transforme un petit boîtier x86, une machine virtuelle ou un Raspberry Pi en pare-feu réseau. Le projet est né en 2005 d'un fork d'IPCop et a été reconstruit sur Linux From Scratch depuis la version 2 : c'est donc un système d'exploitation complet et non un paquet à installer par-dessus un autre. Tout se gère depuis une interface web, et le tout est gratuit sous licence GPL.
La pile de sécurité se situe au niveau réseau. Un filtre de paquets Netfilter à états gère les zones, le NAT, la redirection de ports et la segmentation en réseaux LAN, DMZ, sans fil et invité. Suricata assure la prévention d'intrusion avec les jeux de règles Emerging Threats et Cisco Talos. Squid prend en charge le proxy web sortant avec filtrage d'URL et blocage de contenu. IPsec, WireGuard et OpenVPN couvrent l'accès distant, et Pakfire ajoute des paquets optionnels.
Ce qu'IPFire n'a pas, c'est un pare-feu applicatif web. Pas de reverse proxy devant vos serveurs web, pas d'analyse des requêtes, pas d'OWASP Core Rule Set, pas de gestion des bots, pas de protection des API. L'IPS Suricata compare des signatures au trafic qu'il peut lire en clair, ce qui attrape certaines tentatives d'exploitation connues, mais le HTTPS entrant vers vos applications passe sans inspection. Si vous protégez des applications web, IPFire est la machine devant la machine, pas ce qui assure la protection.
Détail des notes
Fonctionnalités clés
Filtre de paquets à états
Pare-feu Linux Netfilter avec zones, NAT, redirection de ports, règles horaires, règles par adresse MAC, blocage géographique GeoIP et limitation contre les inondations SYN.
IPS Suricata
Inspection profonde des paquets face aux signatures Emerging Threats et Cisco Talos, avec sélection des règles par catégorie et mise à jour automatique des jeux de règles.
Segmentation réseau
Zones LAN, DMZ, sans fil et invité intégrées avec politiques distinctes, c'est ainsi qu'on place concrètement un serveur web derrière IPFire.
Proxy web Squid
Proxy sortant en mode transparent, avec filtrage d'URL, blocage par type MIME, mise en forme du trafic et authentification LDAP, Active Directory ou RADIUS.
Passerelle VPN
IPsec, WireGuard et OpenVPN pour les accès site à site et distants, avec accélération matérielle du chiffrement et échange de clés post-quantique sur IPsec.
Extensions Pakfire
Gestionnaire de paquets pour des composants optionnels dont la supervision, les outils de sauvegarde, Guardian pour le blocage piloté par les logs, et Tor.
Avantages et inconvénients
Avantages
-
Gratuit et réellement complet
Aucune édition payante, aucune fonction bridée, aucune clé de licence. Tout ce que le projet produit est dans le téléchargement gratuit sous GPL.
-
Tourne sur presque n'importe quoi
Un vieux client léger, un Raspberry Pi ou une VM font l'affaire, le coût matériel pour un petit réseau est donc quasi nul.
-
Sécurité réseau solide
Suricata avec les règles Emerging Threats ou Talos, plus le blocage GeoIP et une politique de zones stricte, font un vrai périmètre pour ce prix.
-
Ancien et activement maintenu
Des Core Updates continues depuis 2005 avec un rythme de publication stable, portées par une équipe de développement identifiée et non par un seul mainteneur.
-
Administrable sans ligne de commande
L'interface web couvre les règles de pare-feu, l'IPS, le proxy, le VPN et les mises à jour, ce qui la rend accessible aux petites équipes informatiques.
Inconvénients
-
Ce n'est pas un pare-feu applicatif web
Pas de reverse proxy, pas d'analyse du corps des requêtes, pas d'OWASP Core Rule Set, pas de limitation de débit par point d'accès. Il ne peut pas arrêter une injection SQL ou un XSS contre vos applications.
-
Aveugle au trafic entrant chiffré
L'IPS n'inspecte que le trafic en clair. Les requêtes HTTPS vers vos serveurs web passent sans inspection du contenu, or c'est l'essentiel du trafic d'attaque aujourd'hui.
-
Ni protection anti-bots ni protection des API
Credential stuffing, scraping et abus d'API ressemblent tous à du trafic autorisé ordinaire pour un filtre de paquets.
-
Auto-géré, auto-supporté
Pas de SLA, pas de service managé, aucun éditeur d'astreinte. Le réglage des règles IPS pour éviter les faux positifs vous incombe, et le forum est le canal de support.
-
Une seule machine, sauf à construire autour
Pas de clustering intégré ni d'anycast mondial, la disponibilité et l'absorption des DDoS sont donc limitées par la machine et son lien.
Tarification
Modèle tarifaire : Gratuit et open source (GPL) ; appliances et support payants optionnels via Lightning Wire Labs
Communauté
La distribution complète, téléchargeable et auto-hébergée
- Toutes les fonctions, aucun module payant
- Core Updates pendant toute la vie de la version
- Support par le forum et le wiki communautaires
- Jeux de règles IPS Emerging Threats et Talos (niveaux gratuits)
Appliance
Matériel préinstallé ou appliances cloud de Lightning Wire Labs
- Matériel préconfiguré dimensionné pour le déploiement
- Support éditeur sur l'appliance
- Images d'appliance cloud
- Soutient le projet en amont
Support commercial
Support et conseil payants pour les déploiements en production
- Support direct par les développeurs
- Aide au déploiement et à la migration
- Traitement prioritaire des incidents
Notre verdict
IPFire est un bon pare-feu open source que les gens trouvent en cherchant un WAF gratuit, autant être direct : ce n'en est pas un. IPFire filtre des paquets, termine des VPN, sert de proxy pour le trafic web sortant et fait tourner Suricata sur des jeux de signatures. Rien de tout cela n'inspecte une requête HTTP vers votre application comme le fait un WAF, et l'IPS ne peut pas lire le HTTPS entrant chiffré.
Jugé pour ce qu'il est, le rapport qualité-prix est excellent. Un mini PC réformé et un après-midi vous donnent la segmentation en zones, le blocage GeoIP, les règles Emerging Threats et WireGuard, pour rien. Le projet publie des Core Updates depuis 2005 et l'interface web évite d'éditer nftables à la main. Pour le périmètre d'un petit bureau, c'est difficile à battre à ce prix.
Si l'objectif réel est de protéger une application web, mettez un WAF derrière. BunkerWeb et SafeLine sont gratuits, auto-hébergés et fonctionnent en reverse proxy, c'est la couche manquante ; ModSecurity ou Coraza avec l'OWASP Core Rule Set font le même travail à l'intérieur de votre serveur web. Voir BunkerWeb vs IPFire pour situer la frontière. Les deux sont complémentaires, pas concurrents.
Notre verdict : un solide pare-feu de périmètre gratuit et un mauvais substitut de WAF. Utilisez-le pour le réseau, et placez autre chose devant vos applications.
CVE Coverage
IPFire can detect and block attacks matching 111K+ known CVEs based on its supported rule sets.
Coverage by Attack Type
Latest Blockable CVEs
| CVE | Severity |
|---|---|
| CVE-2026-49294 | UNKNOWN |
| CVE-2026-20262 | MEDIUM |
| CVE-2026-9863 | UNKNOWN |
| CVE-2026-9862 | UNKNOWN |
| CVE-2025-15659 | UNKNOWN |
| CVE-2025-15658 | UNKNOWN |
| CVE-2026-52704 | UNKNOWN |
| CVE-2019-25746 | HIGH |
| CVE-2018-25436 | CRITICAL |
| CVE-2016-20084 | HIGH |
Questions fréquentes
IPFire inclut-il un pare-feu applicatif web ?
Non. IPFire dispose d'un filtre de paquets à états, d'un système de prévention d'intrusion Suricata et d'un proxy sortant Squid, mais d'aucun reverse proxy ni inspection des requêtes HTTP destinées à vos propres applications. Il n'y a ni OWASP Core Rule Set, ni analyse du corps des requêtes, ni patching virtuel. Pour cette couche, il vous faut un vrai WAF comme BunkerWeb, SafeLine ou ModSecurity devant le serveur web.
L'IPS Suricata peut-il bloquer une injection SQL ou un XSS ?
Seulement dans des cas limités. Suricata compare des signatures au trafic qu'il peut lire : une requête HTTP en clair portant un motif d'exploitation bien connu peut donc être détectée. Le HTTPS entrant n'est pas déchiffré, ce qui veut dire que l'essentiel du trafic d'attaque réel passe sans inspection, et la correspondance de signatures ne comprend pas les paramètres de votre application comme le fait un moteur de règles WAF. Considérez l'IPS comme un bonus, pas comme de la sécurité applicative.
Puis-je utiliser IPFire et un WAF ensemble ?
Oui, et c'est la conception sensée. IPFire gère le périmètre, la segmentation et le VPN, avec votre serveur web dans la zone DMZ. Un WAF en reverse proxy se place ensuite directement devant l'application, en terminant le TLS pour pouvoir réellement lire les requêtes. IPFire couvre la couche réseau et le WAF la couche 7 ; aucun des deux ne remplace l'autre.
Combien coûte IPFire ?
Rien. La distribution complète est sous licence GPL, sans édition payante ni fonction bridée. Lightning Wire Labs vend du matériel préinstallé, des appliances cloud et du support commercial, et le projet accepte les dons, mais vous pouvez tout télécharger et l'utiliser gratuitement indéfiniment.
Comment IPFire se compare-t-il à pfSense ou OPNsense ?
Ils occupent la même catégorie : pare-feux de périmètre gratuits, auto-hébergés et administrés par interface web. IPFire repose sur Linux avec Netfilter et Suricata, tandis que pfSense et OPNsense reposent sur FreeBSD avec pf. Aucun des trois n'est un pare-feu applicatif web, même si OPNsense peut placer une application derrière son extension reverse proxy. Si la protection applicative est le besoin, le choix du pare-feu compte bien moins que ce que vous placez devant l'application.
Ready to try IPFire?
Start with the free tier and upgrade as you grow.