Comprendre le pare-feu : règles, NAT, DMZ, mode bridge et VLAN

Cette fiche explique les principes, valables quelle que soit la marque. Deux tutoriels appliquent ensuite le même plan sur OPNsense et sur UniFi.

1. Ce que fait un pare-feu

Un pare-feu filtre les flux réseau. Il ne remplace ni l'antivirus des postes, ni les mises à jour, ni la double authentification. Voir antivirus et sécurité des systèmes.

2. Le filtrage avec état

Tous les pare-feu actuels sont avec état (stateful) : ils mémorisent chaque connexion autorisée dans une table d'états. La réponse revient automatiquement, sans règle dans l'autre sens.

Conséquence pratique : on écrit les règles dans le sens où la connexion démarre. Autoriser « Bureaux vers Serveurs » suffit pour que les serveurs répondent ; cela n'autorise pas un serveur à ouvrir une connexion vers un poste.

3. Les règles

Ce que contient une règle

L'ordre compte

Sur la plupart des pare-feu, les règles sont lues de haut en bas, et la première qui correspond décide. Les suivantes ne sont pas évaluées. Tout ce qui n'a été autorisé par aucune règle est bloqué par une règle implicite finale.

Règles d'écriture qui évitent les mauvaises surprises :

1. Blocages précis d'abord (par exemple « Bureaux vers Admin : bloquer »), puis les autorisations, puis la plus large (« vers Internet »).
2. Une règle « vers Internet » écrite comme « destination : tout » ouvre aussi tous les autres VLAN. Utilisez « destination : tout sauf les réseaux privés » (un alias RFC1918 regroupant 10.0.0.0/8, 172.16.0.0/12 et 192.168.0.0/16, avec l'option « inverser »), ou placez les blocages inter-VLAN au-dessus.
3. Utilisez des alias (groupes nommés d'adresses ou de ports) : Serveurs_Fichiers, Ports_Web. Une modification de l'alias s'applique à toutes les règles qui l'utilisent.
4. Pas de règle « tout vers tout », même « temporaire ».

Interfaces ou zones : deux façons de raisonner

Les deux mènent au même résultat. L'approche par zones se lit comme une matrice ; l'approche par interface demande de bien se rappeler que la règle s'écrit là où le trafic entre.

4. Le NAT et la redirection de ports

Une redirection de ports expose un service à Internet entier. Ne publiez que ce qui doit l'être, placez-le en DMZ, maintenez-le à jour, et préférez un VPN pour tout ce qui est administratif (bureau à distance, SSH, interfaces web d'équipements). Voir l'accès à distance : RDP, VNC, SSH.

5. La box : mode routeur, mode bridge et « DMZ »

Quand on ajoute son propre pare-feu derrière la box de l'opérateur, trois montages sont possibles.

Selon les opérateurs : la Freebox et la Bbox proposent un mode bridge dans leur interface ; la Livebox n'en propose pas, et on utilise alors sa fonction DMZ vers le pare-feu (le remplacement complet de la Livebox par son propre routeur est possible mais demande une configuration avancée). Vérifiez la documentation de votre box : ces options évoluent avec les modèles.

6. La vraie DMZ

Une DMZ (zone démilitarisée) est un réseau à part pour les serveurs accessibles depuis Internet : site web, messagerie, proxy inverse, serveur de jeux. Si l'un d'eux est piraté, l'attaquant reste coincé dans la DMZ.

Les règles d'une DMZ :

7. VLAN et routage entre zones

Les VLAN découpent le réseau physique en plusieurs réseaux logiques (voir comprendre les VLAN). Le pare-feu possède une interface dans chaque VLAN, sur un seul câble tagué vers le switch (router on a stick), et c'est lui qui décide ce qui passe de l'un à l'autre.

8. Un plan type de segmentation

Ce plan sert de fil rouge aux tutoriels OPNsense et UniFi. Adaptez le nombre de zones à votre taille : une petite structure peut commencer par Bureaux, Invités et IoT.

Évitez le VLAN 1, VLAN par défaut de tous les équipements : ne l'utilisez pour aucun réseau de production.

La matrice des flux

C'est le document central : on décide avant de configurer ce qui a le droit de parler à quoi. Lisez-la de la ligne (source) vers la colonne (destination).

✔ autorisé · ≈ autorisé pour des ports ou des hôtes précis · ✘ interdit. Le filtrage avec état laisse revenir les réponses : « Bureaux → Serveurs » n'ouvre pas « Serveurs → Bureaux ».

Tous les réseaux internes doivent aussi pouvoir joindre le DNS et le NTP du pare-feu (ou les contrôleurs de domaine pour les postes du domaine), et le DHCP de leur propre réseau.

9. Bonnes pratiques

1. Tout bloquer par défaut, y compris en sortie pour les zones sensibles (Serveurs, IoT, DMZ). Un serveur n'a pas à naviguer librement sur Internet.
2. Interface d'administration du pare-feu accessible uniquement depuis le VLAN Admin et le VPN, jamais depuis le WAN.
3. Nommez et décrivez chaque règle, avec la date et le demandeur pour les règles inhabituelles.
4. Revoyez les règles tous les six mois : supprimez celles qui ne servent plus (les compteurs de correspondance aident).
5. Journalisez les blocages entre zones internes : un poste qui tente sans cesse de joindre l'Admin mérite qu'on s'y intéresse.
6. Sauvegardez la configuration après chaque modification, hors de l'équipement, et testez sa restauration.
7. Mettez à jour le pare-feu : c'est l'équipement le plus exposé du réseau.
8. Testez vos règles depuis chaque zone (un ping, un nmap, un accès web), plutôt que de supposer qu'elles fonctionnent. Voir le diagnostic réseau.
9. Documentez le plan d'adressage, la matrice des flux et les redirections dans votre base de connaissances.

10. Liste de contrôle