Blocklist OPNsense d’IP malveillantes, en alias URL Table authentifié

Les listes d’IP vont dans un alias URL Table (IPs), qu’OPNsense récupère avec votre clé. Les listes de domaines vont dans les blocklists DNS d’Unbound, qui ne prennent pas d’identifiants : elles viennent d’un relais.

Nombres arrondis d’après la génération du 2026-10-01 ; chaque liste est régénérée toutes les 12 heures. Les chiffres du jour sont publics et ne demandent aucune clé.

# IsMalicious.com Blocklist - IPs (Critical)
# Format: Plain
# Generated: <BUILD_TIME>
# Total entries: <COUNT>
# Update frequency: every 12 hours
# Category: All
# Threat level: Critical
# Website: https://ismalicious.com
# © <YEAR> IsMalicious (compilation). Licensed to the downloading account under https://ismalicious.com/terms; redistribution of the compilation prohibited. Third-party entries remain under their providers' licences — see https://ismalicious.com/sources.
#

• OPNsense 25.1 ou ultérieur, la première version à autoriser l’authentification des alias URL ; menus vérifiés de 25.1 à 26.7.
• Pour les listes de domaines seulement : un hôte Linux avec systemd, curl et un serveur web HTTPS, qu’OPNsense joint sur votre réseau.
• Une clé API et son secret isMalicious, dans Compte › Accès API.
• Un accès HTTPS sortant (TCP 443) en IPv4 depuis OPNsense, et depuis l’hôte relais pour la blocklist DNS, vers api.ismalicious.com, qui n’a pas d’adresse IPv6.

1. 1

   Copier la clé API et le secret

   Ouvrez Compte › Accès API et copiez la Clé API et le Secret API. La liste complète demande une offre Basic, Pro ou Enterprise ; une clé Free, ou une offre interrompue, charge l’échantillon de 10 %.
2. 2

   Activer la vérification des certificats des alias

   Dans Firewall › Settings › Advanced (sur la branche de développement, Firewall › Advanced), cochez Check certificate of aliases URLs avant d’enregistrer l’alias. Le réglage est global, désactivé dans la configuration d’usine, et sans lui OPNsense envoie le secret API à n’importe quel serveur qui répond. Save.
3. 3

   Ajouter l’alias URL Table

   Firewall › Aliases, puis + : activez-le, nommez-le isMalicious_IPs, choisissez le type URL Table (IPs), réglez Refresh Frequency sur 0 jour et 1 heure (12 heures suffisent : les listes sont régénérées toutes les 12 heures), collez l’URL de la liste dans Content, et réglez Authorization sur Basic avec la clé API en Username et le secret API en Password. Save, puis Apply.

   Type

   URL Table (IPs)

   Refresh Frequency

   0 days, 1 hour

   Content

   https://api.ismalicious.com/blocklist/download/blocklist-ips-critical.txt

   Authorization

   Basic

   Username

   <API_KEY>

   Password

   <API_SECRET>

   Type:               URL Table (IPs)
   Refresh Frequency:  0 days, 1 hour
   Content:            https://api.ismalicious.com/blocklist/download/blocklist-ips-critical.txt
   Authorization:      Basic
   Username:           <API_KEY>
   Password:           <API_SECRET>

4. 4

   Bloquer l’alias dans les règles de pare-feu

   • 25.1 à 26.1 : dans Firewall › Rules › WAN, ajoutez une règle Block avec isMalicious_IPs en source ; dans Firewall › Rules › LAN, une règle Block avec l’alias en destination, au-dessus de la règle d’autorisation ; Apply.
   • 26.7 : Firewall › Rules, sélectionnez WAN, +, Action Block, Version any, Source isMalicious_IPs, Save ; sélectionnez LAN, +, Action Block, Version any, Destination isMalicious_IPs, Save, puis Move selected rule before this rule sur la règle d’autorisation par défaut ; Apply.
   • La version TCP/IP vaut IPv4 par défaut sur toutes les versions : réglez-la sur IPv4+IPv6, ou any.
5. 5

   Mettre en place un relais pour les listes de domaines (facultatif)

   • Les blocklists d’Unbound se téléchargent sans identifiants : un hôte que vous contrôlez récupère donc les listes de domaines avec votre clé et les sert en HTTPS.
   • Créez /etc/ismalicious/netrc, réservé à root, avec les commandes ci-dessous et écrivez-y les trois lignes avec un éditeur ; installez le script sous /usr/local/sbin/ismalicious-mirror, en mode 755, avec ses unités service et timer, et lancez le bloc d’activation, qui crée /var/www/ismalicious et lance aussitôt la première récupération.
   • Le service s’exécute en root pour lire le netrc et ne peut écrire que dans ce répertoire.
   • Le script refuse une erreur, un contenu qui n’est pas une liste, l’échantillon de 10 % et un fichier dont le nombre d’entrées diffère de son en-tête.
   • Publiez /var/www/ismalicious sous https://RELAY_HOST/ismalicious/ avec un certificat qu’OPNsense reconnaît (une autorité privée va dans System › Trust › Authorities), refusez dans le serveur web les fichiers dont le nom commence par un point, comme dans l’exemple nginx, et gardez le relais interne : chaque fichier est licencié au compte qui le télécharge, et son en-tête interdit de redistribuer la compilation.

   install -d -m 700 /etc/ismalicious
   [ -e /etc/ismalicious/netrc ] || install -m 600 /dev/null /etc/ismalicious/netrc
   chmod 600 /etc/ismalicious/netrc
   # Then write the three lines below into it with an editor, unless it holds them already.

   machine api.ismalicious.com
   login <API_KEY>
   password <API_SECRET>

   #!/bin/sh
   # Fetch the lists with your key and publish them for the firewall.
   # A list that fails a check keeps its previous copy, and the run exits 1.
   set -eu
   NETRC=/etc/ismalicious/netrc
   DEST=/var/www/ismalicious
   LISTS="blocklist-domains-c2.txt blocklist-domains-ransomware.txt"
   
   # fetch_list LIST OUT: download one list to OUT and check it.
   # On any failure OUT is removed and the function returns 1.
   fetch_list() {
     if ! code=$(curl --silent --show-error --fail --netrc-file "$NETRC" \
         --proto '=https' --max-time 300 --retry 2 \
         --output "$2" --write-out '%{http_code}' "https://api.ismalicious.com/blocklist/download/$1"); then
       rm -f "$2"; echo "$1: download failed" >&2; return 1
     fi
     if [ "$code" != 200 ]; then
       rm -f "$2"; echo "$1: HTTP $code" >&2; return 1
     fi
     if ! head -n 1 "$2" | grep -q '^[#!] IsMalicious.com Blocklist'; then
       rm -f "$2"; echo "$1: not an isMalicious list" >&2; return 1
     fi
     if grep -q 'Lite Version' "$2"; then
       rm -f "$2"; echo "$1: lite list received, check the API key and the plan" >&2
       return 1
     fi
     # Every entry ends with a newline, and one header counts them: refuse a
     # cut, doubled or empty file.
     if [ -n "$(tail -c 1 "$2")" ]; then
       rm -f "$2"; echo "$1: cut short, no final newline" >&2; return 1
     fi
     if [ "$(grep -c '^[#!] Total entries:' "$2")" != 1 ]; then
       rm -f "$2"; echo "$1: not one Total entries line" >&2; return 1
     fi
     total=$(sed -n 's/^[#!] Total entries: \([0-9,]*\)$/\1/p' "$2" | tr -d ,)
     got=$(grep -c '^[^#!]' "$2" || true)
     if [ -z "$total" ] || [ "$total" = 0 ] || [ "$got" != "$total" ]; then
       rm -f "$2"; echo "$1: $got entries, the header says ${total:-none}" >&2
       return 1
     fi
   }
   
   mkdir -p "$DEST"
   failed=0
   for f in $LISTS; do
     tmp=$(mktemp "$DEST/.$f.XXXXXX")
     if fetch_list "$f" "$tmp"; then
       chmod 644 "$tmp"
       mv -f "$tmp" "$DEST/$f"
     else
       failed=1
     fi
   done
   exit "$failed"

   [Unit]
   Description=Fetch isMalicious blocklists
   Wants=network-online.target
   After=network-online.target
   
   [Service]
   Type=oneshot
   ExecStart=/usr/local/sbin/ismalicious-mirror
   # Root, to read the root-only netrc; it may write only the published directory.
   NoNewPrivileges=yes
   ProtectSystem=strict
   ProtectHome=yes
   PrivateTmp=yes
   ReadWritePaths=/var/www/ismalicious

   [Unit]
   Description=Fetch isMalicious blocklists every hour
   
   [Timer]
   OnCalendar=hourly
   RandomizedDelaySec=15min
   Persistent=true
   
   [Install]
   WantedBy=timers.target

   install -d -m 755 /var/www/ismalicious
   systemctl daemon-reload
   systemctl enable --now ismalicious-mirror.timer
   systemctl start ismalicious-mirror.service   # the first fetch, now
   ls -l /var/www/ismalicious/

   location /ismalicious/ {
       allow <FIREWALL_IP>;
       deny all;
       # Downloads in progress are dot files: never serve them.
       location ~ /\. { deny all; }
   }

6. 6

   Ajouter l’URL du relais aux blocklists d’Unbound

   • 25.7.8 et ultérieur : Services › Unbound DNS › Blocklists, onglet Blocklists, +.
   • Activez le mode avancé, cochez Enable, ajoutez https://RELAY_HOST/ismalicious/blocklist-domains-c2.txt et https://RELAY_HOST/ismalicious/blocklist-domains-ransomware.txt à URLs of Blocklists, réglez Cache TTL sur 43200 (12 heures), cochez Return NXDOMAIN ou saisissez une Destination Address, tapez une Description, Save, puis Apply.
   • 25.1 à 25.7.7 : Services › Unbound DNS › Blocklist, mode avancé, Enable, les mêmes URL, Return NXDOMAIN ou une Destination Address, Apply ; ces versions n’ont pas de champ Cache TTL et retéléchargent une liste après 20 heures.
7. 7

   Planifier la mise à jour des blocklists

   Les blocklists d’Unbound ne se rafraîchissent que par une tâche cron : System › Settings › Cron, puis +, avec la commande Update Unbound DNSBLs toutes les heures (minute 15, heure *) et une Description, obligatoire. Save, puis Apply. Une liste est retéléchargée dès que sa copie en cache dépasse le Cache TTL.

• Firewall › Diagnostics › Aliases, avec isMalicious_IPs sélectionné, liste les entrées actuelles : environ le count de la liste dans /blocklist/stats.
• L’API d’OPNsense renvoie les mêmes entrées, avec une clé API OPNsense : à partir de 25.7, une requête renvoie au plus 9 999 lignes, lisez donc total.
• Firewall › Log Files › General affiche fetch alias url avec le nombre de lignes après chaque téléchargement, ou error fetching alias url avec le code HTTP.
• Services › Unbound DNS › Log File affiche blocklist download avec les lignes téléchargées pour chaque URL ; à partir de 25.7.8, le Blocklist Tester vérifie un domaine selon vos réglages.

# The alias entries, through the OPNsense API: an OPNsense API key with the
# "Diagnostics: PF Table IP addresses" privilege. curl asks for its secret;
# the GUI CA (System › Trust › Authorities) verifies the firewall.
curl -s --cacert opnsense-gui-ca.pem -u '<OPN_KEY>' \
  "https://<FIREWALL>/api/firewall/alias_util/list/isMalicious_IPs" | grep -o '"total":[0-9]*'

• La vérification des certificats des alias est désactivée par défaut : sans elle, les identifiants Basic partent vers qui répond. Cochez-la avant d’enregistrer l’alias.
• OPNsense stocke la clé et le secret en clair dans config.xml, ses sauvegardes, /usr/local/etc/filter_tables.conf et les exports d’alias : utilisez une clé dédiée à ce pare-feu, et chiffrez les sauvegardes.
• Les blocklists DNS d’Unbound n’ont pas de champ d’identifiants : les listes de domaines complètes passent par le relais.
• Un alias d’IP résout par DNS chaque ligne qui n’est pas une adresse : ne le pointez jamais vers une liste de domaines.
• Ni CIDR ni plages ne sont servis : l’alias les accepterait, mais les listes d’IP contiennent des adresses seules.
• L’échantillon de 10 % est le premier dixième d’un fichier non trié, pas le dixième le plus risqué.

• FG

  Flux de menaces FortiGate

  Flux d’IP et de domaines en authentification Basic

• PA

  Blocklist EDL Palo Alto

  External Dynamic Lists adaptées aux limites de PAN-OS

• pf

  Blocklist d’IP malveillantes pfSense

  Alias URL Table ou flux pfBlockerNG via un relais

• MT

  Blocklist adlist MikroTik

  Domaines malveillants en adlist DNS RouterOS

• nf

  Blocklist d’IP pour pare-feu Linux

  IP malveillantes en sets nftables sur tout hôte Linux

• Automatisation des blocklists de pare-feu

  Des blocklists de pare-feu à jour

• Blocklist IP et domaines

  Toutes les listes, niveaux et catégories

• Flux de menaces STIX/TAXII

  Collections TAXII 2.1 pour SIEM et TIP

• Documentation de l’API

  Authentification, endpoints et limites

• Réputation d’IP

  Vérifier une adresse avant de la bloquer