Pare-feu : fonctionnement et configuration
Auteur : Rédaction Domeny.ForSale Publié le
En bref : Un pare-feu contrôle les connexions d’un appareil ou d’un réseau et les autorise ou les bloque selon des règles définies. Il contribue à limiter les accès indésirables, mais ne remplace ni les mises à jour, ni l’antivirus, ni la vigilance face aux escroqueries. À la maison, un pare-feu système actif et un routeur correctement configuré constituent généralement une base suffisante.
Comment fonctionne un pare-feu ?
Les données circulent sur le réseau sous forme de paquets, c’est-à-dire de petites portions d’information. Le pare-feu évalue ces paquets et ces connexions selon des règles. Il peut tenir compte de l’adresse IP de l’expéditeur ou du destinataire, du sens du trafic, du type de protocole ainsi que du port — un numéro qui désigne le service avec lequel la communication doit être établie.
Par exemple, un site utilisant HTTPS, qui permet une connexion chiffrée au site, est généralement accessible sur le port 443. Le pare-feu du serveur peut autoriser le trafic public vers ce port tout en bloquant l’accès au port de la base de données. Les utilisateurs peuvent ainsi consulter le site, mais pas se connecter directement à sa base de données.
De nombreux pare-feu suivent l’état des connexions. Ils reconnaissent que la réponse d’un site web fait partie d’un échange lancé par le navigateur, et non d’une tentative d’accès indépendante venant de l’extérieur. Le blocage des connexions entrantes non sollicitées ne gêne donc pas nécessairement la navigation habituelle sur internet.
Les règles peuvent aussi concerner le trafic sortant, par exemple pour interdire à une application donnée de se connecter à internet. Toutefois, tous les pare-feu n’appliquent pas par défaut un contrôle strict de ces connexions.
Où intervient le pare-feu : ordinateur, routeur et cloud
Un pare-feu peut protéger un seul appareil ou contrôler le trafic entre des réseaux entiers. Ces solutions se complètent, car elles interviennent à différents endroits :
| Type de pare-feu | Ce qu’il contrôle | Utilisation courante |
|---|---|---|
| Intégré au système | Connexions d’un ordinateur ou d’un serveur donné | Protection d’un ordinateur portable, même hors du domicile |
| Sur un routeur ou un appareil dédié | Trafic circulant entre les réseaux | Séparation du réseau domestique ou professionnel et d’internet |
| Dans le cloud | Accès aux ressources selon les règles du service | Limitation de l’accès aux serveurs et aux bases de données |
Un pare-feu n’est donc pas nécessairement un boîtier distinct. Il peut s’agir d’une fonction du système d’exploitation, d’un logiciel sur le routeur ou d’un service proposé par un fournisseur de cloud. Il faut vérifier son périmètre d’action et ses réglages par défaut dans la documentation de la solution utilisée.
Il ne faut pas confondre pare-feu et NAT. NAT est un mécanisme de traduction d’adresses qui permet à plusieurs appareils de partager une même adresse IPv4 publique. Dans une configuration domestique courante, il rend les connexions entrantes non sollicitées plus difficiles, mais ne remplace pas une politique de filtrage du trafic. Avec IPv6, où les appareils peuvent disposer d’adresses globales, des règles de pare-feu appropriées restent également nécessaires.
De quoi un pare-feu protège-t-il, et quelles sont ses limites ?
Un pare-feu limite l’accès aux services qui ne doivent pas être publics et peut bloquer les communications entre des parties isolées du réseau. Par exemple, le réseau invité d’une entreprise peut autoriser l’accès à internet, mais pas les connexions à l’ordinateur du service comptable. Le pare-feu ne fait respecter cette séparation que si le trafic passe effectivement par lui.
Activer un pare-feu ne suffit cependant pas à se protéger de toutes les menaces. Si un utilisateur saisit son mot de passe sur un faux site accessible par une connexion HTTPS autorisée, un pare-feu de base ne l’empêchera généralement pas. Il ne corrige pas non plus les vulnérabilités d’une application accessible au public et ne garantit pas une protection contre une attaque qui sature la connexion réseau.
L’antivirus et le pare-feu ont des rôles différents. L’antivirus détecte les fichiers ou les comportements malveillants sur l’appareil, tandis que le pare-feu contrôle les communications réseau. Les suites de sécurité peuvent réunir les deux fonctions, mais l’une ne remplace pas l’autre.
Le WAF, ou pare-feu applicatif web, est une solution distincte. Il analyse les requêtes adressées à un site ou à une API et peut bloquer certaines tentatives d’exploitation de failles de l’application. Il ne s’agit pas d’un simple pare-feu filtrant les ports, et son utilisation ne dispense pas de mettre à jour le logiciel du site.
Comment configurer un pare-feu à la maison en toute sécurité ?
Sur votre ordinateur personnel, commencez par vérifier que le pare-feu système est actif pour tous les profils réseau utilisés. Le profil public est destiné aux réseaux non fiables, comme le Wi-Fi d’un hôtel ; il limite généralement davantage la découverte de l’appareil sur le réseau et le partage des ressources.
Si le pare-feu empêche un programme de fonctionner, ne désactivez pas toute la protection. Suivez cette courte procédure :
- Identifiez la fonction qui ne marche pas et vérifiez si elle nécessite réellement des connexions entrantes.
- Consultez la documentation officielle du programme pour connaître les ports ou les règles d’accès nécessaires.
- Ajoutez une exception aussi restreinte que possible : pour une application, un réseau ou une adresse source précise.
- Testez le fonctionnement et supprimez l’exception dès qu’elle n’est plus nécessaire.
Par exemple, le partage de fichiers entre un ordinateur portable et un ordinateur à la maison peut nécessiter une autorisation sur un réseau privé de confiance. Cela ne signifie pas qu’il faut rendre ce même service accessible sur le Wi-Fi d’un hôtel ou à l’ensemble d’internet.
Sur le routeur, vérifiez aussi les redirections de ports, c’est-à-dire les réglages qui dirigent les connexions venant d’internet vers un appareil du réseau interne. Chaque redirection doit avoir un objectif précis ; n’autorisez pas un accès trop large simplement pour résoudre le problème d’une seule application.
Que vérifier avant de modifier les règles sur un serveur ?
Sur un serveur, une bonne base consiste à bloquer les connexions entrantes, sauf pour les services que vous choisissez explicitement de rendre accessibles. Il est préférable de limiter l’accès d’administration aux adresses de confiance ou à un VPN, c’est-à-dire un tunnel chiffré vers un réseau privé.
Avant de renforcer les règles, assurez-vous de disposer d’un accès de secours par la console du fournisseur. Une règle incorrecte peut aussi bloquer l’administrateur. Si la protection repose à la fois sur le pare-feu système et sur les règles du cloud, vérifiez les deux niveaux.
La première étape pratique consiste à passer en revue les exceptions existantes : déterminez qui a besoin de chaque service autorisé, depuis où ces personnes doivent pouvoir y accéder et si l’autorisation est toujours nécessaire.
À lire aussi : Qu’est-ce que le 2FA ?
À lire aussi
