Principes de sécurité sur un réseau local

a. Fonction et positionnement dans un réseau

Un firewall ou pare-feu peut être logiciel ou matériel. Il désigne un actif dont le but est de contrôler les communications entre différents réseaux, ou, pour un firewall logiciel, contrôler les communications entre le système d’exploitation d’une machine et les autres équipements du réseau.

Le firewall logiciel est un programme installé sur un poste client, parfois intégré directement au sein du système d’exploitation d’une machine donnée. Il permet de mettre en place un premier niveau de sécurité en traitant l’ensemble des flux entrants et sortants sur la (ou les) carte réseau de la machine. Il est bien sûr possible de paramétrer finement les droits d’accès afin de n’autoriser que certains protocoles bien particuliers. On peut citer l’application Netfilter (commandes iptables) sous Linux ou sous Windows 10, le firewall du centre de sécurité : Windows Defender. Il existe bien sûr d’autres solutions commerciales où la fonction de firewall est intégrée à une solution d’antivirus.

Mais lorsqu’on utilise le terme firewall dans le domaine de l’administration réseau, on fait plutôt référence à un équipement dédié à la fonction, placé à un endroit stratégique du réseau, très souvent en lieu et place de la passerelle par défaut. En fait, un firewall est avant tout un routeur, car pour contrôler les flux et les communications entre tous les réseaux de la société et l’Internet, il faut forcément que ces flux transitent par ce dernier. C’est pourquoi la fonction de firewall est rarement dissociée de celle de routeur.

Dans certaines configurations spécifiques, il est possible de placer le firewall « en coupure » entre le commutateur et le routeur par défaut du réseau : on parle de mode transparent. Le firewall devient totalement passif en termes de routage, il n’est là que pour analyser les flux circulants, mais cela implique dans tous les cas que les flux à surveiller...

a. Principe

L’augmentation des débits des connexions internet, notamment avec le déploiement de la fibre optique et des réseaux 4G, et bientôt 5G, rendent maintenant possible techniquement le travail à distance. Il est tout à fait envisageable qu’un employé d’une société puisse accéder à partir de n’importe quel accès internet, y compris domestique, aux ressources internes de la société dans des conditions réellement optimales.

Les travailleurs nomades ont donc la possibilité d’accéder à leurs ressources, quelle que soit leur situation géographique, on utilise alors le terme de « poste nomade ». Même si fonctionnellement, le nomade doit pouvoir accéder aux mêmes ressources réseau que lorsqu’il est connecté directement sur le LAN de sa société, l’administrateur réseau commettrait une erreur en la considérant comme une connexion interne standard. Il est préférable de placer toute connexion nomade dans un réseau particulier, afin de lui soumettre des règles de sécurité plus restrictives. On définit alors facilement les règles d’accès aux ressources situées dans les autres segments réseau de la société (dont le LAN). À partir du moment où le poste nomade s’authentifie explicitement pour mettre en place la connexion, les firewalls permettent de gérer l’utilisateur spécifiquement et mettre en place les restrictions adéquates, quelle que soit d’ailleurs sa provenance.

La connexion nomade se configure de plusieurs manières. À l’origine, elle nécessitait l’utilisation d’une application cliente dédiée, souvent propriétaire, qui initiait une connexion vers la société avec des protocoles comme L2TP, PPTP, SSTP sur Windows et surtout IPSEC. Cette configuration classique nécessite le paramètrage des deux côtés de la connexion. Les protocoles de sécurité en ce qui concerne l’authentification, l’intégrité...