Règles de pare-feu : ce qu’une PME devrait bloquer et autoriser

Le pare-feu est souvent la boîte la moins regardée de l’entreprise. Réglé le jour de l’installation, parfois pas du tout, plus personne ne sait ce qu’il laisse passer. Le jour où un ordinateur est infecté, on découvre qu’il pouvait atteindre tout le reste.

À quoi sert un pare-feu, concrètement ?

Le pare-feu décide quel trafic passe, et lequel est arrêté. Il travaille à deux frontières :

• entre Internet et votre réseau : ce qui entre chez vous, ce qui en sort ;
• entre vos propres réseaux : les bureaux, le Wi-Fi des visiteurs, les caméras, les téléphones, les appareils connectés.

La première frontière, tout le monde y pense. La seconde est souvent oubliée, alors que c’est elle qui empêche une infection de passer d’un appareil à l’autre. L’ANSSI, l’agence française de cybersécurité, l’explique dans son guide La cybersécurité pour les TPE/PME en 13 questions (version de novembre 2024) : les attaquants tentent souvent d’étendre leur intrusion aux autres postes et aux serveurs, et un pare-feu bien configuré rend ces déplacements plus difficiles.

Le pare-feu n’est qu’une pièce de l’organisation du réseau. Le tableau d’ensemble (réseaux séparés, accès, pare-feu) est dans notre guide de l’architecture du réseau d’entreprise, et la sécurité dans le guide de la cybersécurité du réseau pour une PME.

Que bloquer en provenance d’Internet ?

La règle de départ est simple : tout ce qui arrive d’Internet sans avoir été demandé est bloqué. Le guide de l’ANSSI décrit une politique de filtrage minimale qui bloque tous les flux non strictement nécessaires, en particulier les connexions entrantes depuis Internet, et qui garde une trace des flux bloqués.

Sur une passerelle UniFi, c’est le réglage de base : depuis Internet, seules passent les réponses au trafic envoyé par vos appareils, et le trafic invalide est bloqué, selon la documentation d’Ubiquiti sur le pare-feu par zones. Le danger vient donc surtout de ce qu’on a ajouté ensuite :

• une redirection de port ouverte un jour pour atteindre une caméra, un enregistreur ou un serveur depuis l’extérieur. Ubiquiti rappelle que ce trafic n’est pas chiffré par défaut et que la sécurité repose alors sur l’appareil exposé ;
• un bureau à distance (RDP) joignable depuis Internet. Cybermalveillance.gouv.fr, le dispositif public français d’assistance aux victimes, conseille de limiter par un pare-feu l’ouverture des accès extérieurs ou distants, RDP par exemple, aux personnes et aux services qui en ont besoin.

Pour atteindre le réseau depuis l’extérieur, on passe plutôt par un VPN, qui demande de s’identifier et chiffre les échanges. Le détail est dans Accès au réseau de l’entreprise en télétravail.

Que laisser passer entre vos réseaux ?

C’est ici que la plupart des réseaux de PME sont trop ouverts. Ubiquiti l’écrit noir sur blanc : dans le pare-feu par zones, le trafic de la zone interne vers la zone interne est autorisé par défaut. Si vos bureaux, vos caméras et vos imprimantes sont trois réseaux rangés dans la même zone, ils se parlent tant que personne n’a écrit de règle.

Le principe à suivre : chaque réseau n’atteint que ce dont il a besoin. Un exemple, pour une PME type :

De	Vers	Règle conseillée
Postes de l’équipe	Internet	Autorisé
Postes de l’équipe	Imprimantes, serveur de fichiers	Autorisé
Postes de l’équipe	Enregistreur des caméras	Autorisé, pour regarder les images
Caméras	Postes de l’équipe	Bloqué
Wi-Fi des visiteurs	Internet	Autorisé, débit plafonné si besoin
Wi-Fi des visiteurs	Tous les réseaux internes	Bloqué
Appareils connectés (écrans, badgeuse, thermostat)	Postes de l’équipe	Bloqué
Internet	Tout le réseau interne	Bloqué, sauf réponses et VPN

Le guide de l’ANSSI va dans le même sens pour les PME : interdire par défaut les connexions entre postes, et, si les ressources s’y prêtent, découper le réseau en zones selon leur sensibilité. Le découpage lui-même, avec des réseaux virtuels, est expliqué dans Les VLAN expliqués simplement. Pour le Wi-Fi des visiteurs, voyez pourquoi le séparer du réseau de l’entreprise.

Et ce qui sort vers Internet ?

Par défaut, une passerelle UniFi laisse sortir le trafic de vos réseaux vers Internet. Pour une PME, c’est souvent raisonnable : bloquer la sortie demande de connaître chaque service utilisé.

Deux réglages restent utiles :

• les appareils qui n’ont rien à faire sur Internet, comme une imprimante ou un enregistreur qu’on ne consulte que depuis le bureau : on peut couper leur sortie ;
• le filtrage par application, par domaine ou par région : Ubiquiti indique que ses règles peuvent viser une application, un site ou une région du monde, avec un horaire si besoin, par exemple pendant les heures de bureau ou le week-end.

Comment relire les règles en place ?

Vous n’avez pas besoin d’être technicien pour poser les bonnes questions à celui qui gère votre réseau :

1. Quelles redirections de port sont ouvertes, et pour quoi ? Chacune doit avoir une raison connue. Une redirection dont personne ne sait plus à quoi elle sert se ferme.
2. Les réseaux internes sont-ils séparés par des règles, ou seulement par leur nom ? Un réseau « Caméras » qui atteint les postes de l’équipe n’est pas séparé.
3. Depuis le Wi-Fi des visiteurs, voit-on l’imprimante ? On le vérifie avec un téléphone, sur place.
4. Les blocages sont-ils enregistrés ? Les journaux montrent ce qui a été arrêté. Ubiquiti indique qu’une règle peut envoyer ses traces vers un serveur de journaux, et que le pare-feu fait partie des événements qui peuvent déclencher une alerte.
5. Qui a modifié les règles, et quand ? Les journaux UniFi enregistrent aussi les changements de réglage faits par les administrateurs.

Ubiquiti présente les règles dans une matrice, réseau d’origine en ligne, réseau de destination en colonne : on la parcourt case par case. Un détail compte : le blocage se lit dans les deux sens. Une règle qui bloque les caméras vers les postes n’empêche pas les postes d’ouvrir l’enregistreur, si une autre règle l’autorise.

Les erreurs les plus courantes

• Tout autoriser « pour voir si ça marche », puis oublier de refermer.
• Une redirection de port pour les caméras, au lieu d’un accès par VPN ou par l’application du fabricant.
• Des réseaux séparés sans règle entre eux, parce que la séparation semblait acquise.
• Un pare-feu laissé sans mises à jour. L’ANSSI rappelle que les vulnérabilités exploitées concernent surtout des services exposés sur Internet, dont les pare-feux, et que le délai entre la publication d’une faille et son exploitation tend à raccourcir.

Ce que fait SateLink

Romuald et son équipe posent le réseau sur une passerelle UniFi, avec des réseaux séparés pour l’équipe, les visiteurs, les caméras et les équipements. Le pare-feu est en général laissé à votre gestion ; à votre demande, nous le réglons : règles entre réseaux, redirections inutiles fermées, accès à distance par VPN plutôt que par un port ouvert. Vous recevez les plans et les accès à la fin.

SateLink Solution est une entreprise indépendante, qui pose et configure ce matériel sans appartenir à ces sociétés.

Avec la maintenance Sérénité, le réseau est supervisé à distance, les mises à jour critiques sont appliquées et les failles connues surveillées. Tout ce que comprend une installation est sur la page Réseau et Wi-Fi.

En résumé

• Depuis Internet : tout bloquer, sauf les réponses au trafic de vos appareils et l’accès par VPN.
• Entre vos réseaux : chacun n’atteint que ce dont il a besoin ; sur UniFi, les réseaux de la zone interne se parlent tant qu’aucune règle ne les sépare.
• Chaque redirection de port a une raison connue, sinon elle se ferme.
• On relit les règles, on teste depuis le Wi-Fi des visiteurs, et on tient le pare-feu à jour.

Vous voulez savoir ce que votre pare-feu laisse passer ? L’appel de cadrage est gratuit : trente minutes pour faire le tour des règles en place.