Les pare-feu sont un composant essentiel des réseaux, et leur emplacement est important. En toute logique, un pare-feu est placé entre le fournisseur d’accès à Internet (FAI) et les appareils du réseau local (LAN). Lorsque le trafic traverse le pare-feu, celui-ci le compare à un ensemble de règles prédéfinies et contrôle l’accès au réseau. Les fonctionnalités d’un pare-feu aident les réseaux d’entreprise à empêcher les pirates de voler des données, ainsi qu’à bloquer la propagation des logiciels malveillants et des attaques par déni de service (DoS).
Découvrez ci-dessous les principaux emplacements des pare-feu et l’importance de choisir le meilleur emplacement pour les installer.
Principaux emplacements des pare-feu
Traditionnellement, les pare-feu sont insérés en ligne sur une connexion réseau et surveillent le trafic entrant ou sortant. Ils contribuent à séparer les différents réseaux selon un ensemble de règles prédéfinies, qui garantissent le contrôle des accès entre les réseaux. Les pare-feu interviennent sur plusieurs segments du réseau de l’entreprise. En tant que dispositif de défense périmétrique, un pare-feu est placé entre des réseaux présentant différents niveaux de sécurité et contrôle généralement le trafic entre les réseaux externes et les réseaux internes, entre les réseaux externes et les réseaux de la zone démilitarisée (DMZ), voire entre les réseaux internes.
Selon l’environnement réseau et les exigences de sécurité de l’entreprise, un seul pare-feu peut couvrir simultanément tous les points d’application des règles. Plusieurs pare-feu peuvent être utilisés dans un déploiement multicouche, à la fois pour les interfaces physiques (couche 2) et les interfaces physiques (couche 3). La configuration la plus élémentaire consiste en un réseau étendu (WAN) connecté à un routeur ; le pare-feu filtre ensuite chaque flux et le distribue dans le réseau.
Voici quelques emplacements possibles pour les pare-feu, des grandes entreprises aux usages personnels.
Réseaux d’entreprise
Les configurations de pare-feu d’entreprise sont un peu plus complexes que celles des pare-feu destinés aux particuliers. Les pare-feu fonctionnent sur une machine dédiée du réseau, et leur emplacement dans la topologie réseau de l’entreprise revêt une plus grande importance. Le pare-feu doit être connecté au WAN, à la DMZ et au réseau de l’entreprise. Pour renforcer la sécurité, il est possible d’utiliser une configuration à deux pare-feu. Le premier est placé après l’appareil périphérique qui se connecte au WAN et achemine le trafic vers le réseau DMZ ; le second reçoit le trafic interne qui transite par la DMZ avant d’entrer dans le réseau interne. Les grandes entreprises déploient plusieurs pare-feu dans leur réseau afin de créer différentes « zones » dotées de niveaux d’accès variés.
Réseaux routés
Le pare-feu se trouve à l’emplacement du réseau situé juste avant l’entrée du trafic dans le routeur, ce que l’on appelle le point d’entrée. Il arrive parfois que le pare-feu et le routeur cohabitent, mais placer le pare-feu après le routeur est rare dans le cas d’un nœud multipath, car le pare-feu doit suivre chacun des multiples chemins de sortie. La plupart des pare-feu matériels intègrent des fonctionnalités de routage. Dans les réseaux commutés, un pare-feu fait souvent partie du commutateur afin de protéger les segments commutés. Les fonctionnalités de pare-feu intégrées à un routeur peuvent assurer une opération de sécurité supplémentaire avant l’envoi du trafic vers le pare-feu. Les entreprises peuvent déployer un routeur doté de fonctionnalités de pare-feu, ou installer un pare-feu connecté au réseau.
Déploiement en parallèle
Le déploiement de pare-feu en parallèle contribue à améliorer davantage les performances des grands réseaux. Si les entreprises hébergent leur site web sur leur propre réseau, un pare-feu autorise le trafic externe à destination des serveurs web et en provenance de ceux-ci, tout en bloquant le trafic entrant ou sortant non autorisé vers les ordinateurs internes, conformément aux règles de sécurité. Les systèmes dotés de pare-feu en parallèle peuvent se composer d’un répartiteur de charge et d’une baie de pare-feu, chaque pare-feu de la baie étant identique aux autres. Lorsqu’un paquet de données arrive, il est envoyé vers l’un des pare-feu de la baie, tandis que le répartiteur de charge maintient de courtes files d’attente de paquets.
En savoir plus : 7 types de pare-feu et options de déploiement expliqués
Importance du choix de l’emplacement du pare-feu
Le bon emplacement et la configuration adéquate du pare-feu sont directement liés à ses performances, à l’utilisation des ressources et à la prévention des menaces.
Amélioration des performances
Pour garantir la cybersécurité complète d’un système, il est important de maximiser les performances du pare-feu pour le trafic entrant et sortant. Les performances du pare-feu dépendent de l’endroit où il est placé. En ajustant les paramètres et en limitant l’impact des attaques DoS, les pare-feu peuvent contribuer à assurer la continuité des activités et la sécurité, même pendant une cyberattaque majeure. Les entreprises peuvent créer une DMZ, c’est-à-dire une zone correctement configurée au sein du réseau de l’entreprise ; la DMZ peut contenir des services accessibles au public tels que des serveurs de messagerie, FTP et VoIP, ainsi que le site web de l’entreprise. Une configuration adéquate du pare-feu assure une protection complète en surveillant les tendances et les schémas du trafic.
Utilisation appropriée des ressources
Au niveau des passerelles réseau, les pare-feu inspectent les en-têtes de chaque paquet réseau afin de déterminer sa provenance et sa destination. Ils offrent d’excellentes performances tout en consommant peu de ressources. Au niveau des passerelles applicatives, les pare-feu plus complexes analysent le contenu de chaque paquet ainsi que son en-tête, filtrent efficacement les paquets et contrôlent l’accès aux ressources en analysant les protocoles. Les pare-feu à inspection avec état analysent le trafic à plusieurs niveaux du réseau et peuvent empêcher un éventail plus large de menaces, mais ils sont également gourmands en ressources. Le pare-feu doit être placé aux bons endroits ; dans le cas contraire, certaines ressources peuvent être gaspillées ou le système peut être submergé par des attaques DoS.
Prévention des attaques DoS
En général, un pare-feu n’est pas conçu pour gérer un nombre considérable de connexions par seconde (CPS) et traite chaque flux unique en fonction de la zone, de l’adresse IP, du protocole et de l’application. L’emplacement du pare-feu joue donc un rôle essentiel pour éviter la saturation des compteurs lors des attaques DoS. Pour garantir la meilleure protection contre les attaques DoS, il faut placer les pare-feu aussi près que possible des ressources, ce qui réduit le nombre de sessions qu’ils peuvent avoir à gérer. Ne placez pas les pare-feu devant des appareils dédiés et laissez ces appareils à haut volume constituer la première ligne de défense afin d’atténuer l’afflux lié aux attaques DoS.
En résumé : où placer un pare-feu dans le réseau
Les pare-feu sont indispensables à la sécurité des réseaux et contribuent à empêcher les accès malveillants aux données et aux ressources. Placer un pare-feu au bon endroit dans le réseau garantit une utilisation sûre et efficace des ressources du système.
De nombreux fournisseurs de solutions de cybersécurité proposent différents types de pare-feu dotés de technologies de pointe et de fonctionnalités riches. Ces pare-feu offrent un niveau de protection accru, tout en étant faciles à installer et à configurer. Les différents types de pare-feu répondent à des usages différents ; il est important de placer le pare-feu en fonction des exigences de votre système afin qu’il puisse fonctionner avec une efficacité optimale. Un système doté d’une configuration et d’un emplacement de pare-feu appropriés offre un meilleur contrôle du trafic réseau et assure une protection complète des données de l’entreprise contre les menaces de sécurité avancées actuelles.
Pour en savoir plus sur les pare-feu, consultez ce guide.