Architecture du réseau d’entreprise : le guide complet (segmentation, pare-feu, accès)

Le réseau de beaucoup de PME s’est construit par couches. Une box posée par l’opérateur, un commutateur ajouté pour l’imprimante, une borne Wi-Fi achetée en urgence, des caméras branchées « là où il restait une prise ». Tout fonctionne, mais tout est sur le même réseau, personne n’a le plan, et le jour où il faut ajouter un site, un télétravailleur ou un Wi-Fi pour les visiteurs, on ne sait plus par où entrer. Ce guide reprend le sujet dans l’ordre : de la porte d’entrée (le routeur) jusqu’au plan qui garde tout lisible.

Au sommaire :

• Box de l’opérateur ou routeur professionnel
• Les VLAN, ou comment séparer les réseaux sur les mêmes câbles
• Quel réseau pour chaque appareil
• Le Wi-Fi des visiteurs
• Les règles de pare-feu
• L’accès au réseau depuis l’extérieur
• Le commutateur PoE
• Le plan du réseau
• Reprendre un réseau installé par quelqu’un d’autre
• Les mises à jour du logiciel UniFi Network
• Le tableau récapitulatif, puis ce que fait SateLink Solution

Qu’appelle-t-on l’architecture d’un réseau ?

C’est la façon dont le réseau est organisé. Trois questions la résument : par où passe Internet pour entrer chez vous, qui est sur quel réseau, et qu’est-ce qui a le droit de parler à quoi.

Le guide d’hygiène informatique de l’ANSSI, l’agence française de cybersécurité, décrit bien le risque d’un réseau sans organisation. Quand le réseau est « à plat », sans aucun cloisonnement, chaque machine peut accéder à n’importe quelle autre : la compromission d’une seule met alors en péril toutes les autres (guide d’hygiène informatique, mesure 19). L’agence recommande de raisonner par zones dès la conception du réseau, et, quand c’est difficile après coup, de le faire à l’occasion d’une extension ou d’un renouvellement de matériel.

Pour une PME, cette organisation ne demande pas un service informatique : seulement les bons choix une fois, tenus à jour ensuite.

Box de l’opérateur ou routeur professionnel ?

Tout commence à la porte d’entrée. La box fournie avec l’abonnement fait à la fois modem, routeur et Wi-Fi, avec des réglages pensés pour une maison : un seul réseau pour tout le monde, et peu de place pour ce qu’une entreprise finit par demander.

Elle suffit à une petite équipe qui travaille en ligne et ne se connecte pas depuis l’extérieur. Dès qu’il faut un lien de secours, des réseaux séparés, un accès à distance ou une surveillance du réseau, un routeur professionnel prend le relais, branché derrière la box, sans la retirer. C’est lui qui porte alors l’organisation du réseau.

Vous avez le droit de choisir ce matériel : par sa décision du 26 septembre 2023, l’IBPT, le régulateur belge des télécoms, considère les modems et les routeurs comme faisant partie de l’équipement terminal de l’utilisateur.

Le détail, avec le tableau de ce que chacun sait faire : Box de l’opérateur ou routeur professionnel : lequel pour le réseau de votre entreprise ?

Les VLAN : séparer les réseaux sans tirer d’autres câbles

Le mot fait peur, l’idée est simple. Un VLAN est un réseau virtuel : sur les mêmes câbles, les mêmes commutateurs et les mêmes bornes, on fait circuler plusieurs réseaux qui ne se voient pas entre eux. Chaque appareil est rangé dans le sien, comme des étages différents desservis par le même ascenseur.

C’est la brique de base de toute la suite. L’ANSSI l’écrit ainsi : une zone se caractérise par des VLAN et des sous-réseaux dédiés, et des mesures comme un filtrage par pare-feu peuvent ensuite être mises en place entre les zones (mesure 19).

Pour une PME, retenez deux choses. D’abord, séparer les réseaux ne demande en général ni une seconde connexion ni un second câblage : ce sont le routeur, les commutateurs et les bornes qui doivent savoir gérer les VLAN. Ensuite, un VLAN seul ne protège pas tout : il range, et ce sont les règles de pare-feu qui disent ensuite ce qui passe d’un réseau à l’autre.

L’explication pas à pas : Les VLAN expliqués simplement : séparer les réseaux de l’entreprise

Quel réseau pour chaque appareil ?

Une fois qu’on sait séparer, il faut décider qui va où. L’ANSSI donne des exemples de regroupements : serveurs, postes de travail des utilisateurs, postes des administrateurs, téléphones sur IP (mesure 19). Dans une PME sans serveur, le découpage le plus courant ressemble à ceci :

• l’équipe : les ordinateurs et ce dont ils ont besoin pour travailler ;
• les téléphones, quand l’entreprise passe à la téléphonie sur Internet ;
• les caméras et les équipements : caméras, badgeuse, alarme, écrans, objets connectés, souvent posés une fois puis oubliés ;
• les visiteurs, qui n’ont besoin que d’Internet ;
• l’administration du réseau : l’accès aux réglages du routeur, des commutateurs et des bornes, réservé à qui en a la charge.

Le bon découpage part de la liste réelle de vos appareils, pas d’un modèle tout fait.

Le tri, appareil par appareil : Caméras, téléphones, invités, bureaux : quel réseau pour chaque appareil ?

Le Wi-Fi des visiteurs : la séparation la plus visible

C’est souvent par là qu’on commence, parce que le problème se voit. Le client en salle de réunion, le fournisseur, le technicien : si on leur donne le mot de passe de l’équipe, leur téléphone se retrouve à côté de vos ordinateurs, de votre imprimante et de vos caméras.

L’ANSSI demande que toute connexion Wi-Fi d’appareils personnels ou de visiteurs soit séparée des connexions Wi-Fi des appareils de l’entreprise, par exemple avec un nom de Wi-Fi et un VLAN distincts, et un accès Internet dédié (mesure 20). Elle déconseille aussi de protéger le Wi-Fi de l’entreprise par un mot de passe unique et partagé.

En pratique : un réseau invité avec son propre mot de passe, isolé du reste, éventuellement un débit plafonné, et un test depuis le téléphone d’un visiteur pour vérifier qu’on ne voit ni l’imprimante ni les caméras.

Le pas à pas complet, avec la page d’accueil à code en option : Wi-Fi des visiteurs : pourquoi le séparer du réseau de votre entreprise ?

Les règles de pare-feu : qui a le droit de parler à qui ?

Séparer les réseaux, c’est ranger les appareils dans des pièces différentes. Le pare-feu, ce sont les portes entre ces pièces, et la liste de qui peut les franchir.

Deux familles de règles se distinguent :

• entre Internet et vous : ce qui peut entrer depuis l’extérieur (en principe, rien qui n’ait été demandé) et ce qui peut sortir ;
• entre vos propres réseaux : l’équipe peut regarder les images des caméras, mais les caméras n’ont rien à faire sur les postes de l’équipe ; les visiteurs ont Internet, et rien d’autre.

L’ANSSI recommande un pare-feu au plus près de l’accès à Internet pour filtrer les connexions (mesure 22), et un filtrage entre les zones du réseau (mesure 19). Le principe le plus sûr pour une PME : on bloque par défaut ce qui passe d’un réseau à l’autre, puis on ouvre seulement ce qui sert, en notant pourquoi.

L’erreur la plus fréquente n’est pas une règle manquante, c’est une règle ajoutée un jour « pour dépanner », que personne n’a refermée.

Ce qu’une PME devrait bloquer et autoriser, règle par règle : Règles de pare-feu : ce qu’une PME devrait bloquer et autoriser

Comment se connecter au réseau depuis l’extérieur ?

Télétravail, commercial en déplacement, comptable qui doit atteindre un dossier du bureau : l’accès à distance est la porte la plus exposée du réseau, parce qu’elle donne sur Internet.

Première question : qu’est-ce qui doit vraiment être atteint ? Si tout est en ligne, une bonne connexion à la maison suffit souvent. L’accès au réseau du bureau devient utile quand un serveur de fichiers, un logiciel installé sur place ou l’enregistreur des caméras reste au bureau.

Dans ce cas, on passe par une liaison chiffrée (un VPN) qui part du poste de la personne et arrive au routeur de l’entreprise. L’ANSSI recommande pour les postes nomades un tunnel VPN entre le poste et une passerelle mise à disposition par l’entreprise (mesure 32). Ce qu’on évite : ouvrir directement sur Internet l’accès à un appareil du bureau, comme un enregistreur de caméras ou un bureau à distance.

Le même principe relie deux adresses de l’entreprise : voyez Relier plusieurs sites d’entreprise.

Le pas à pas pour le télétravail : Accès au réseau de l’entreprise en télétravail : comment se connecter à distance proprement

Le commutateur PoE : le cœur discret du réseau

Le commutateur est la boîte où arrivent tous les câbles du bâtiment. C’est lui qui transporte les VLAN jusqu’à chaque prise, et souvent lui qui alimente les appareils par le câble réseau : c’est le PoE. Une borne Wi-Fi, un téléphone ou une caméra reçoivent ainsi le courant et le réseau sur un seul câble. Ubiquiti indique par exemple, sur la fiche technique de sa borne U6 Pro, une alimentation par PoE, de 44 à 57 volts.

La norme a évolué : l’amendement IEEE 802.3bt augmente la puissance disponible pour l’appareil branché en utilisant les quatre paires du câble. D’où les deux questions à se poser en choisissant un commutateur : combien de prises alimentées faut-il, et quelle puissance au total, avec de la marge pour les appareils à venir.

Et un commutateur qui ne gère pas les VLAN empêche de séparer les réseaux.

Comment le choisir : Commutateur PoE : à quoi il sert, et comment le choisir

Le plan du réseau : pourquoi le tenir à jour ?

Parce qu’un réseau qui ne tient que dans la tête d’une personne s’arrête avec ses congés. Le plan est la pièce la plus utile, et la plus souvent oubliée.

L’ANSSI demande de créer et de maintenir à jour un schéma simplifié du réseau : ses différentes zones et son plan d’adressage, ses équipements de routage et de sécurité comme le pare-feu, et ses liaisons avec l’extérieur (mesure 4). Le Centre national de cybersécurité britannique va dans le même sens : connaître tout son matériel est un préalable pour traiter les risques, et l’inventaire doit rester exact et à jour (NCSC, gestion des actifs).

Pour une PME, un bon plan tient en quelques pages : la liste du matériel, les réseaux et ce qu’ils contiennent, les règles entre eux, et où se trouvent les accès. Il se range hors de l’armoire réseau, protégé comme les mots de passe.

Ce qu’il doit contenir : Plan du réseau : pourquoi le tenir à jour, et ce qu’il doit contenir

Reprendre un réseau installé par quelqu’un d’autre

C’est la situation la plus fréquente : l’ancien prestataire est parti, le neveu qui « s’y connaissait » a changé de travail, et personne n’a les mots de passe du routeur. Avant de toucher à quoi que ce soit, on fait l’état des lieux : ce qui est branché, ce qui sert, qui a les accès.

L’ordre compte. D’abord récupérer les accès et les changer : l’ANSSI rappelle que les identifiants par défaut des équipements doivent être modifiés dès leur installation, parce qu’ils sont connus des attaquants (mesure 12). Ensuite dresser le plan. Enfin seulement, corriger ce qui presse, puis le reste, sans tout recommencer quand ce n’est pas nécessaire.

Le pas à pas : Reprendre un réseau installé par quelqu’un d’autre : par où commencer ?

Les mises à jour du logiciel UniFi Network

Le matériel UniFi que nous posons se règle depuis un logiciel, UniFi Network, qui évolue régulièrement. Une nouvelle version peut corriger des failles, ajouter des fonctions ou changer un réglage habituel.

La règle générale vaut pour tout le matériel réseau : l’ANSSI demande de suivre l’apparition de nouvelles failles et d’appliquer les correctifs de sécurité sur l’ensemble des équipements dans le mois qui suit leur publication par l’éditeur (mesure 34). Pour une PME : quelqu’un doit savoir qu’une mise à jour existe, juger de l’urgence, et l’appliquer au bon moment, pas en pleine journée de travail.

SateLink Solution est une entreprise indépendante, qui pose et configure ce matériel sans appartenir à ces sociétés.

Ce que la dernière version change pour une PME : UniFi Network : ce que la dernière version change pour une PME

Le tableau récapitulatif

Brique	Question à se poser	Ce qu’on met en place	Article
Porte d’entrée	La box suffit-elle encore ?	Un routeur professionnel derrière la box	Box ou routeur
Séparation	Tout est-il sur le même réseau ?	Des VLAN sur les câbles existants	Les VLAN
Découpage	Qui va où ?	Un réseau par usage : équipe, téléphones, caméras, visiteurs	Un réseau par appareil
Visiteurs	Ont-ils le mot de passe de l’équipe ?	Un Wi-Fi invité isolé, testé	Wi-Fi des visiteurs
Pare-feu	Qui parle à qui ?	Tout bloqué entre réseaux, sauf ce qui sert	Règles de pare-feu
Accès à distance	Qu’est-ce qui doit être atteint de l’extérieur ?	Un VPN, aucun appareil ouvert directement sur Internet	Télétravail
Commutateur	Assez de prises alimentées ?	Un commutateur PoE qui gère les VLAN, avec de la marge	Commutateur PoE
Plan	Qui sait comment le réseau est fait ?	Un schéma et un inventaire tenus à jour	Plan du réseau
Reprise	Avez-vous les accès ?	État des lieux, accès changés, plan, puis corrections	Reprendre un réseau
Mises à jour	Qui les suit ?	Correctifs de sécurité appliqués au bon moment	UniFi Network

L’architecture du réseau repose aussi sur ce qu’on ne voit pas : les câbles, l’armoire, l’alimentation. C’est le sujet de notre guide du câblage réseau et de la baie de brassage. Et pour la sécurité du réseau dans son ensemble, voyez le guide de la cybersécurité du réseau pour une PME.

Ce que fait SateLink Solution

Romuald et son équipe commencent par regarder ce qui existe : le routeur, les commutateurs, les bornes, ce qui est branché et qui a les accès. Nous posons ensuite, quand c’est utile, une passerelle UniFi derrière la box de l’opérateur, et nous séparons les réseaux de l’équipe, des visiteurs, des téléphones, des caméras et des équipements, avec les règles qui disent ce qui passe de l’un à l’autre. Vous gardez en général la main sur votre pare-feu ; au besoin, nous le réglons. Nous posons aussi, si vous en avez besoin, un NAS Synology pour le stockage partagé ou l’enregistrement des caméras. Les caméras sont posées par notre partenaire sécurité : nous préparons le réseau qui les accueille et coordonnons la pose.

Le prix se donne après la visite, gratuite dans un rayon de 30 km autour d’Overijse, avec une proposition détaillée HTVA avant toute intervention. À la fin, vous gardez les plans et les accès, avec quatre mois d’accompagnement compris. Ensuite, si vous le souhaitez, la maintenance Sérénité supervise le réseau à distance et applique les mises à jour critiques, avec une assistance 7 jours sur 7, de 8 h à 20 h. Tout ce que comprend une installation est sur la page Réseau et Wi-Fi.

En résumé

• L’architecture d’un réseau, c’est qui est sur quel réseau, et ce qui a le droit de parler à quoi.
• Un routeur professionnel derrière la box porte cette organisation ; l’IBPT reconnaît depuis 2023 le libre choix du modem et du routeur.
• Les VLAN séparent les réseaux sur les mêmes câbles ; le pare-feu dit ensuite ce qui passe de l’un à l’autre.
• Un réseau par usage : équipe, téléphones, caméras et équipements, visiteurs, administration.
• L’accès à distance passe par un VPN, sans appareil du bureau ouvert directement sur Internet.
• Un commutateur PoE qui gère les VLAN, avec de la marge, et un plan tenu à jour.
• Pour reprendre un réseau : les accès d’abord, le plan ensuite, les corrections enfin.

L’appel de cadrage est gratuit : trente minutes avec Romuald pour faire le point sur l’organisation de votre réseau et savoir par où commencer.