Questions pour vérifier la compréhension
Dans quel ordre le pare-feu lit-il ses règles ?
De haut en bas ; la première règle qui correspond au paquet s’applique et la lecture s’arrête.
Pourquoi la règle « tout refuser » doit-elle être la dernière ?
Placée en tête, elle bloquerait tout. En dernière position, elle sert de filet : tout ce qui n’a pas été explicitement autorisé est refusé.
Que se passe-t-il si une règle générale précède une règle précise ?
La règle précise n’est jamais atteinte. Il faut ordonner du plus précis au plus général.
Qu’apporte un pare-feu à états ?
Il suit les connexions : les réponses aux connexions ouvertes depuis l’intérieur passent automatiquement, les paquets non sollicités sont rejetés.
Pourquoi placer le serveur web en DMZ plutôt que dans le LAN ?
S’il est compromis, l’attaquant reste dans une zone qui ne peut pas ouvrir de connexion vers le réseau interne.
Transcription de l’animation
1. Le rôle du pare-feu
Un pare-feu se place à la frontière entre des zones de confiance différentes : le réseau interne (LAN), Internet et la DMZ. Chaque paquet qui le traverse est comparé à des règles. Le pare-feu décide de le laisser passer ou de le refuser.
2. Lire les règles
Le pare-feu compare chaque paquet à une liste de règles : source, destination, protocole et port. Il les lit de haut en bas. Ce paquet vient d’Internet vers le serveur web, en HTTPS : la règle 1 correspond, il est accepté. Celui-ci vise le bureau à distance (RDP, port 3389) d’un PC interne. Aucune règle ne l’autorise : il tombe sur la dernière, le refus par défaut. Un PC du LAN consulte un site en HTTPS : la règle 2 correspond. Dès qu’une règle correspond, la lecture s’arrête.
3. L’ordre des règles
L’ordre des règles est décisif. Ici, on veut ouvrir Internet au LAN, mais interdire l’envoi direct de courrier (SMTP, port 25). Un paquet vers le port 25 est comparé à la règle 1, « LAN vers Internet, tout » : elle correspond. Il passe ! La règle 2 n’est jamais atteinte : la règle générale, placée avant, l’emporte toujours. On corrige : la règle la plus précise d’abord, la plus générale ensuite, et le refus par défaut à la fin. Cette fois, le paquet est arrêté par la règle qui le vise.
4. Le suivi des connexions
Un pare-feu à états (stateful) suit chaque connexion. Quand le PC ouvre une connexion vers un site web, le pare-feu l’inscrit dans sa table d’états. La réponse du serveur correspond à une connexion connue (ESTABLISHED) : elle passe, sans qu’il faille une règle pour le retour. Un paquet venu d’Internet qui ne correspond à aucune connexion ouverte depuis le LAN est rejeté. Un filtrage sans états, lui, juge chaque paquet isolément : il faut écrire des règles pour l’aller et pour le retour, forcément plus larges.
5. La DMZ
La DMZ, ou zone démilitarisée, accueille les serveurs joignables depuis Internet, à l’écart du réseau interne. Internet peut joindre le serveur web de la DMZ, sur le port 443 uniquement. Mais pas le réseau interne. Depuis le LAN, seul le poste d’administration peut joindre le serveur, en SSH. Et la DMZ ne peut pas ouvrir de connexion vers le LAN : si le serveur exposé était compromis, le réseau interne resterait protégé.
6. Vigilance sécurité
Vigilance : un pare-feu ne vaut que par ses règles. La politique par défaut doit être le refus. On n’ouvre ensuite que ce qui est nécessaire. Chaque règle est la plus étroite possible : moindre privilège. Une règle se documente : qui l’a demandée, pourquoi, jusqu’à quand. On retire celles qui ne servent plus. Les refus sont journalisés et relus, et l’interface d’administration du pare-feu n’est accessible que depuis un réseau dédié.
7. À retenir
En résumé : des règles lues dans l’ordre, un suivi des connexions, et des zones séparées selon leur niveau de confiance. Le bon réflexe : tout refuser par défaut, puis n’ouvrir que le strict nécessaire.
© 2026 Bruno Jousseaume. Ce cours est publié sous licence CC BY-NC-SA 4.0 : vous pouvez le partager et l’adapter en citant l’auteur et un lien vers cette page, sans usage commercial, et en partageant vos adaptations sous la même licence.