Un pare-feu est l'équipement, ou le logiciel, qui décide quelles connexions peuvent traverser votre réseau. Placé entre votre connexion Internet et vos postes, serveurs, caméras et imprimantes, il applique des règles : il laisse passer ce qui est prévu et refuse le reste. Pour une PME, c'est le premier point de contrôle à mettre en place. Il ne suffit pas à lui seul, mais sans lui, chaque appareil branché au réseau ne dépend que de ses propres réglages. AsloTech fournit et installe des pare-feu MikroTik et Fortinet, sur devis.
En bref
- Un pare-feu applique des règles aux connexions entre deux réseaux, par exemple Internet et votre réseau local : il autorise ce qui est prévu et refuse le reste.
- Sans pare-feu, vos serveurs, enregistreurs et postes sont exposés aux scans automatiques venus d'Internet, et rien ne limite ce qui sort de votre réseau.
- Pour une PME, un pare-feu réseau dédié donne un point de contrôle unique ; le pare-feu de Windows sur chaque poste vient en complément, pas à la place.
Qu'est-ce qu'un pare-feu et comment fonctionne-t-il ?
Un pare-feu examine chaque connexion selon des règles. Une règle typique : « autoriser HTTPS (port 443) depuis Internet vers le serveur web ; refuser tout accès depuis Internet au serveur de comptabilité ; autoriser les postes à accéder à Internet ». Chaque règle porte sur une source, une destination, un protocole et un port, et se termine par une action : autoriser ou refuser.
Les pare-feu actuels sont dits « à état » (stateful). Ils mémorisent les connexions ouvertes depuis l'intérieur et laissent revenir les réponses correspondantes. Un paquet venu d'Internet qui ne correspond à aucune connexion connue ni à aucune règle d'ouverture est refusé.
Deux politiques s'opposent :
- Refuser par défaut, autoriser au cas par cas (recommandé) : tout est fermé, sauf ce que vous ouvrez explicitement.
- Autoriser par défaut, refuser au cas par cas (déconseillé) : tout est ouvert, sauf ce que vous interdisez. Toute omission reste ouverte.
NAT et redirections de ports
Votre box ou votre pare-feu partage une seule adresse IP publique entre tous vos appareils : c'est le NAT (translation d'adresses). Effet de bord utile : une connexion non sollicitée venue d'Internet n'a aucun appareil interne désigné comme destination, tant que vous n'avez pas créé de redirection de port. Le NAT n'est pas une politique de sécurité à lui seul, et chaque redirection de port est une porte ouverte vers un appareil interne. Listez vos redirections et supprimez celles qui ne servent plus.
Filtrage simple, nouvelle génération, UTM
- Filtrage à état : décide selon les adresses IP, les ports et les protocoles. C'est la base, présente sur la plupart des routeurs professionnels.
- Pare-feu nouvelle génération (NGFW) : ajoute la reconnaissance des applications, un IPS (système de prévention d'intrusion, qui bloque les trafics reconnus comme des attaques) et le filtrage web.
- UTM (Unified Threat Management) : appareil qui regroupe pare-feu, VPN, IPS, antivirus et filtrage web. Ces services de sécurité reposent en général sur des signatures mises à jour par abonnement auprès du constructeur.
Pare-feu réseau ou pare-feu de poste
Un pare-feu réseau est installé entre votre réseau et Internet : il traite tout le trafic et se gère à un seul endroit. Un pare-feu de poste, comme celui de Windows, ne protège que l'ordinateur sur lequel il tourne. Les deux se complètent. Pour comparer les familles de produits, dont MikroTik et Fortinet que nous fournissons, lisez MikroTik ou Fortinet : lequel pour une PME.
Quels sont les risques sans pare-feu ?
Accès aux serveurs et aux données
Des programmes automatiques balayent en permanence les adresses IP publiques et testent les ports courants. Quatre exemples : le port 22 (SSH, administration de serveurs Linux), le port 3306 (base de données MySQL), le port 445 (partage de fichiers Windows, SMB) et le port 3389 (Bureau à distance Windows, RDP). Un service de ce type joignable depuis Internet, avec un mot de passe faible ou une faille non corrigée, peut permettre de voler ou de chiffrer vos données. Pour travailler à distance, passez par un VPN plutôt que d'ouvrir ces ports. Les serveurs et NAS sont les premiers concernés.
Équipements connectés exposés
Un enregistreur de caméras, une pointeuse ou une imprimante rendus joignables par redirection de port, avec le mot de passe d'origine, sont des cibles classiques. Si vous devez consulter vos caméras à distance, suivez le guide sur l'accès à distance aux caméras plutôt que d'ouvrir un port. La réglementation interdit la connexion à internet des systèmes de vidéosurveillance des structures publiques et de celles dont les caméras filment l'espace ouvert au public (décret exécutif n° 09-410 modifié par le décret n° 16-61, art. 20 bis) ; vérifiez votre situation avant d'ouvrir l'accès à distance.
Logiciels malveillants et ransomware
Un poste infecté contacte souvent un serveur extérieur pour recevoir des instructions ou envoyer des données. Un pare-feu qui filtre aussi le trafic sortant peut limiter ces échanges : ports inutiles fermés, destinations connues bloquées. En revanche, un pare-feu à état simple n'analyse pas le contenu des fichiers. Pour reconnaître un logiciel malveillant, il faut un antivirus sur les postes et, côté réseau, un IPS ou un filtrage DNS ou web. Contre un ransomware, la parade reste la sauvegarde selon la règle 3-2-1.
Botnets et attaques par saturation
Un appareil infecté de votre réseau (caméra, enregistreur, poste) peut être enrôlé dans un botnet, un ensemble de machines pilotées à distance pour mener des attaques par saturation (DDoS) contre d'autres sites. Votre connexion est alors utilisée à votre insu. Dans l'autre sens, un pare-feu installé chez vous ne peut pas absorber une attaque qui sature le lien de votre opérateur : il contrôle ce qui entre, il ne crée pas de bande passante.
Scans de ports
Un pare-feu peut traiter un paquet non autorisé de deux façons : le jeter sans répondre (DROP) ou renvoyer un refus explicite (REJECT). Le DROP fait perdre du temps aux scanners, mais il ne remplace pas la fermeture des services inutiles.
Un pare-feu, c'est aussi un outil de gestion réseau
Au-delà de la sécurité, un pare-feu professionnel offre des fonctions utiles au quotidien :
- Contrôle de bande passante : limiter le débit par poste, par service ou par réseau pour qu'un téléchargement ne sature pas la ligne.
- Journalisation : voir quelles connexions ont été refusées, utile pour enquêter après un incident. Sur beaucoup d'équipements, les journaux restent en mémoire et disparaissent au redémarrage : envoyez-les vers un serveur de journaux si vous voulez les conserver.
- Wi-Fi invité isolé : un réseau pour les visiteurs sans accès à vos ordinateurs (voir Wi-Fi invité sécurisé).
- Accès à distance et sites distants : un VPN relie vos sites ou vos collaborateurs en télétravail par un tunnel chiffré (voir VPN d'entreprise).
- Séparation des réseaux : avec des VLAN, les caméras, les serveurs et les bureaux ne se voient plus que par le pare-feu (voir segmenter son réseau avec des VLAN).
Un pare-feu est-il suffisant seul ?
Non. Un pare-feu est un élément d'une stratégie de sécurité, pas la stratégie complète. Prévoyez aussi :
- Des mises à jour régulières des postes, des serveurs et du pare-feu lui-même, dont le logiciel interne reçoit des correctifs de sécurité. Un contrat de maintenance et une maintenance préventive évitent de les oublier.
- Des mots de passe forts et une authentification multi-facteur (MFA) pour les accès sensibles.
- La formation de l'équipe au phishing et aux usurpations d'identité.
- Un antivirus ou une solution antimalware sur les postes de travail.
- Des sauvegardes testées, dont une copie hors ligne (voir la règle 3-2-1).
- Une alimentation secourue : un pare-feu coupé par une coupure d'électricité laisse tout le site sans Internet ni VPN. Branchez-le, avec le modem et le switch, sur un onduleur.
Pourquoi maintenant ?
- Les attaques sont automatisées et continues. Tout équipement joignable depuis Internet est testé par des scanners, quelle que soit la taille de l'entreprise.
- Le travail à distance multiplie les accès. Sans VPN ni règles claires, on ouvre des ports « pour dépanner » et on ne les referme pas.
- Les données personnelles sont encadrées. La loi algérienne n° 18-07 du 10 juin 2018 sur la protection des données à caractère personnel impose au responsable d'un traitement de protéger ces données par des mesures techniques et organisationnelles appropriées. Fichiers clients, paie, images de caméras : voir aussi les obligations ANPDP pour la vidéosurveillance. AsloTech peut vous aider à préparer les démarches auprès de l'ANPDP ; cet accompagnement n'a pas valeur de conseil juridique.
- Un réseau de PME regroupe vite beaucoup d'appareils : postes, imprimante, caméras, pointeuse, Wi-Fi. Sans cloisonnement, la compromission d'un seul expose les autres.
Prochaines étapes
Pour protéger votre réseau, il vous faut un pare-feu adapté à votre taille et à vos usages. Consultez notre page sécurité réseau et pare-feu pour voir comment nous intervenons, ou comparez les pare-feu MikroTik, Fortinet et Cisco pour situer votre besoin. Vous pouvez aussi lire comment segmenter votre réseau avec des VLAN pour isoler vos données sensibles.
Questions fréquentes
Mon routeur ou ma box d'opérateur est-il un pare-feu ?
La box ou le modem de votre opérateur contient presque toujours un pare-feu à état et du NAT : les connexions entrantes non sollicitées sont en général bloquées. Ses limites : peu ou pas de règles sur le trafic sortant, pas de VLAN, VPN souvent limité, journaux réduits, gestion à distance parfois pilotée par l'opérateur. Pour une PME qui a des serveurs, des caméras ou plusieurs réseaux, un pare-feu dédié placé derrière la box, ou à sa place, offre plus de contrôle.
Faut-il un pare-feu même avec quatre ordinateurs ?
Pas forcément un appareil séparé : si vous n'exposez rien sur Internet, un routeur correctement configuré peut suffire. Dès que vous avez un serveur, un enregistreur accessible à distance, un Wi-Fi invité ou un VPN, un pare-feu dédié devient utile. Les scans automatiques ne regardent pas la taille de l'entreprise.
Un pare-feu ralentit-il Internet ?
Le filtrage à état simple ajoute une latence négligeable. Le facteur limitant est la puissance de l'appareil : l'IPS, l'inspection du trafic HTTPS et l'antivirus réseau consomment du processeur et réduisent le débit. Les fiches des constructeurs donnent plusieurs débits (pare-feu seul, avec IPS, avec VPN) : comparez celui qui correspond aux fonctions que vous activerez.
Qui doit configurer le pare-feu ?
Un pare-feu mal configuré peut bloquer du trafic utile ou laisser un accès ouvert. Confiez la configuration initiale à un technicien, faites documenter les règles et sauvegarder la configuration. AsloTech fournit et installe des pare-feu MikroTik et Fortinet, avec mise en service et essais de recette. Un administrateur de votre équipe peut ensuite gérer les ajouts courants.
Besoin d’un avis sur votre site ? Un technicien peut passer évaluer votre besoin et vous conseiller.