Pare-feu d'entreprise : à quoi il sert et quand il est nécessaire

Ce qu'il fait

• Il filtre le trafic entre internet et le réseau, et entre les réseaux internes.
• Il sépare : bureaux, invités, caméras, téléphonie et objets connectés, chacun avec ses règles.
• Il offre un accès distant sécurisé par VPN.
• Il gère plusieurs connexions internet et bascule sur le secours si la principale tombe.
• Il journalise ce qui se passe, pour pouvoir analyser un incident.

La différence avec la box de l'opérateur

La box intègre un pare-feu basique qui bloque les connexions entrantes. Elle ne permet généralement ni règles entre réseaux internes, ni VPN professionnel, ni priorisation fine, ni journal exploitable. Pour un logement, c'est suffisant ; pour une entreprise à plusieurs réseaux, c'est insuffisant.

Les fonctions utiles à une PME

• VLAN et règles entre eux : le WiFi invités ne doit pas atteindre la caisse.
• VPN pour le télétravail et pour relier des sites.
• Double connexion avec bascule automatique.
• Priorisation de la voix et des applications critiques.
• Filtrage des menaces : blocage des domaines malveillants et détection d'intrusion, selon l'équipement.
• Mises à jour de sécurité pendant plusieurs années.

Les règles : tout interdire par défaut

La bonne pratique consiste à tout bloquer et à n'ouvrir que le nécessaire. Ouvrir des ports vers un enregistreur vidéo, un NAS ou un bureau à distance est à l'origine de nombreux incidents : c'est le rôle de la VPN.

Entretien

• Firmware à jour.
• Revue périodique des règles : celles qui ne servent plus sont supprimées.
• Sauvegarde de la configuration.
• Mots de passe d'administration robustes, avec double authentification.

Quand est-il nécessaire ?

• Il y a plus d'un réseau : salariés, clients, caméras.
• Quelqu'un se connecte de l'extérieur.
• Des données clients ou des paiements sont traités.
• La connexion est critique et un secours s'impose.

Et quand ne l'est-il pas ?

Dans un logement sans accès distant ni réseaux séparés, la box de l'opérateur bien configurée suffit généralement. L'essentiel est de ne pas ouvrir de ports et de la maintenir à jour.