Segmentation réseau : zones, VLAN et filtrage

Niveau : débutant à intermédiaire.

Prérequis : connaître le rôle d'une adresse IP, d'un préfixe, d'une passerelle, d'un port TCP ou UDP et d'un pare-feu. Savoir lire un petit schéma réseau suffit. Aucun commutateur administrable ni logiciel de virtualisation n'est requis.

L'exercice est local, fictif et documentaire. Tu dessines des zones et raisonnes sur une matrice de flux. Tu ne modifies ni routeur, ni pare-feu, ni VLAN, et tu ne testes aucune adresse réelle.

La segmentation consiste à regrouper des systèmes selon une politique, puis à limiter et observer les communications entre ces groupes. Une zone peut représenter des postes utilisateurs, des serveurs, des équipements d'administration, des invités, des objets connectés ou une application sensible. Sa frontière devient utile lorsqu'un mécanisme applique une décision et qu'une équipe sait vérifier son effet.

Les objectifs diffèrent selon le contexte : réduire les déplacements après la compromission d'un poste, protéger une interface d'administration, limiter l'exposition d'un service ancien, contenir une diffusion de niveau liaison ou améliorer la visibilité des flux. Formule l'événement redouté avant de choisir la technique. Créer dix VLAN sans politique ni inventaire produit surtout dix domaines à exploiter et à dépanner.

La segmentation ne corrige pas un mot de passe faible, un serveur non maintenu ou une application qui autorise trop d'actions. Elle réduit certains chemins et fournit des points de contrôle. Elle doit conserver les communications nécessaires au métier, avec une procédure de changement et des journaux exploitables. Une frontière qui bloque au hasard sera vite contournée. Une frontière qui autorise tout dans les deux sens n'apporte qu'une séparation de forme.

Une séparation physique utilise des équipements ou liaisons distincts. Une séparation logique partage une infrastructure tout en isolant des groupes par configuration : VLAN, réseau virtuel, table de routage ou interface de pare-feu. La première réduit certaines dépendances communes, mais coûte davantage. La seconde reste tributaire de la plateforme partagée et de sa configuration.

Une zone est d'abord un objet de politique. Elle rassemble des actifs qui ont des besoins et un niveau de confiance comparables. Elle ne correspond pas forcément à un seul bâtiment, VLAN ou préfixe. Une zone d'administration peut comporter plusieurs sous-réseaux, tandis qu'un commutateur peut transporter plusieurs zones.

Définis pour chaque zone son propriétaire, ses actifs, les identités admises, les services fournis, les dépendances et la sensibilité. N'utilise pas « interne » comme synonyme de fiable. Un poste compromis reste interne. Le modèle Zero Trust du NIST SP 800-207 refuse d'accorder une confiance implicite à partir du seul emplacement réseau. L'identité, l'appareil, le service demandé et le contexte peuvent aussi compter.

Un VLAN permet à une infrastructure de commutation de créer plusieurs domaines de diffusion logiques. Les trames d'un VLAN ne sont pas livrées comme si elles appartenaient automatiquement à un autre. Un port d'accès associe généralement un équipement à un VLAN. Un lien qui transporte plusieurs VLAN utilise un marquage et doit limiter ceux qui y sont réellement nécessaires.

Cette technique aide à séparer invités, utilisateurs, téléphonie ou administration sans installer un commutateur physique par groupe. Elle ne décide pourtant pas, à elle seule, quels échanges applicatifs sont légitimes. Dès qu'un équipement assure le routage entre les VLAN, une politique supplémentaire doit contrôler les flux. Une erreur de port, de lien, de VLAN natif, de réseau virtuel ou d'administration peut aussi réduire l'isolation attendue.

Un VLAN seul n'est donc pas une barrière de sécurité complète. Il segmente la couche liaison dans un périmètre de commutation, sous les hypothèses de sa configuration. Il faut protéger l'administration des équipements, désactiver ou isoler les ports inutilisés selon le contexte, limiter les VLAN sur les liaisons, surveiller les changements et filtrer les communications interzones. Ne présente pas le VLAN comme une protection contre toutes les attaques de couche 2, les erreurs de configuration, un administrateur compromis ou un chemin Wi-Fi parallèle.

Un sous-réseau IP regroupe des adresses partageant un préfixe. Un hôte compare la destination à ses routes et envoie le paquet directement ou vers une passerelle. Le routeur choisit ensuite une prochaine étape. La RFC 1812 décrit les exigences des routeurs IPv4, notamment le transfert entre réseaux et le traitement des routes. Le routage rend la communication possible ; il n'exprime pas automatiquement une politique de sécurité.

Dans une conception courante, un VLAN est associé à un sous-réseau, ce qui facilite le raisonnement et limite les ambiguïtés. Les deux notions restent distinctes. Le VLAN concerne la livraison des trames dans un domaine logique. Le sous-réseau concerne l'adressage IP et la décision de route. Une configuration atypique peut placer plusieurs préfixes dans le même VLAN ou étendre un VLAN entre sites, avec des conséquences de dépannage et de sécurité.

Les plages privées de la RFC 1918 ne rendent pas un réseau fiable. Elles évitent leur routage comme adresses publiques sur Internet, mais elles sont réutilisées partout et circulent dans de nombreux réseaux internes, VPN et environnements cloud. Une route vers une zone sensible doit être justifiée même si source et destination utilisent des adresses privées. Vérifie aussi IPv6 : une politique pensée uniquement pour IPv4 peut laisser un chemin non examiné.

Le filtrage autorise ou refuse des communications selon des critères tels que la zone source, la zone destination, le protocole, les adresses, les ports, l'état de connexion et parfois l'identité ou l'application. Un pare-feu avec suivi d'état peut autoriser les réponses à une connexion établie sans accepter de nouvelles connexions dans le sens inverse. Le sens, l'emplacement et l'ordre des règles changent donc le résultat.

Le NIST SP 800-41 Rev. 1 décrit les politiques et technologies de pare-feu, leur planification, leur configuration, leurs tests et leur gestion. Pars d'une règle de refus par défaut entre zones lorsque le contexte le permet, puis documente chaque autorisation nécessaire : propriétaire, source, destination, service, justification, durée et journalisation. Une règle any-any permanente annule largement l'objectif de la frontière.

Place les contrôles là où les chemins passent réellement. Un pare-feu central ne voit pas forcément deux machines du même segment, un échange entre charges virtuelles sur le même hôte ou une interface de gestion hors bande. Des pare-feu locaux, des groupes de sécurité cloud, des ACL et des politiques distribuées peuvent compléter la frontière. Leur multiplication crée toutefois des conflits et des angles morts. Conserve une source de vérité, teste le chemin complet et retire les exceptions expirées.

Commence par les actifs et leurs dépendances. Un serveur applicatif peut avoir besoin du DNS, de l'heure, d'une identité, d'une base, des mises à jour et de la supervision. Bloquer un de ces flux peut produire une panne différée. Autoriser toute la zone vers chaque dépendance expose au contraire trop de systèmes.

Construis une matrice avec zones source et destination, protocole, port, initiateur, usage, propriétaire et journalisation. Distingue le trafic utilisateur de l'administration. Les interfaces de gestion ne devraient pas être ouvertes à tous les postes parce qu'elles utilisent HTTPS ou SSH.

Le NIST SP 800-125B traite la segmentation dans les environnements virtualisés et insiste sur des approches adaptées aux charges et aux flux. Une frontière physique ne suffit plus lorsque les communications restent à l'intérieur d'un hôte ou d'une plateforme.

Prévois le déploiement par étapes, la supervision des refus, le retour arrière et les tests fonctionnels. Un refus peut révéler une dépendance oubliée, pas une attaque. L'absence de refus ne prouve pas que tous les chemins sont couverts. Compare la politique attendue, la configuration active et les flux testés.

Cadre : utilise uniquement un fichier texte ou un outil de dessin local. Ne configure aucun équipement et ne lance aucune commande réseau. Dessine quatre zones fictives : Utilisateurs, Application, Base et Administration. Attribue les préfixes documentaires 192.0.2.0/26, 192.0.2.64/26, 192.0.2.128/26 et 192.0.2.192/26. Ces valeurs servent au schéma, pas à une configuration réelle.

Ajoute les besoins suivants : les utilisateurs initient HTTPS vers l'application ; l'application initie TCP 5432 vers la base ; les postes d'administration initient SSH vers les serveurs Linux ; toutes les zones interrogent un DNS fictif situé dans Administration. Refuse les nouvelles connexions directes d'Utilisateurs vers Base et les connexions initiées par Base vers Utilisateurs. Pour chaque flux permis, note sa justification, son propriétaire et la trace attendue.

Dessine ensuite un routeur ou pare-feu entre les zones. Explique séparément ce que réalisent le VLAN, le préfixe, la route et la règle. Ajoute un chemin alternatif fictif, par exemple une seconde interface de gestion, puis décide s'il est contrôlé ou supprimé du modèle.

Critère observable

L'exercice est réussi si le schéma contient quatre zones et quatre préfixes sans chevauchement, si la matrice distingue flux permis et refusés, et si aucun accès direct Utilisateurs vers Base n'est autorisé. Tu dois pouvoir montrer qu'une route rend un chemin possible sans l'autoriser à elle seule, et qu'un VLAN sépare les trames sans remplacer la règle interzone.

• Traiter VLAN, sous-réseau et zone comme des synonymes. Ils relèvent de couches et d'objets de politique différents.
• Croire qu'un VLAN suffit. Le routage, le filtrage, l'administration et les chemins alternatifs déterminent l'isolation réelle.
• Faire confiance aux adresses privées. Elles n'authentifient ni l'appareil ni l'utilisateur.
• Autoriser des zones entières. Préfère les sources, destinations et services nécessaires lorsque l'exploitation le permet.
• Oublier IPv6, le Wi-Fi, les VPN ou le cloud. Un second chemin peut contourner la frontière dessinée.
• Négliger les flux d'infrastructure. DNS, temps, identité, supervision et sauvegarde restent des dépendances.
• Accumuler des règles temporaires. Donne une échéance, un propriétaire et une preuve de retrait à chaque exception.
• Tester seulement la connectivité permise. Vérifie aussi qu'un flux interdit échoue au bon point et produit la trace attendue.

La segmentation réduit l'étendue de certains incidents, mais elle n'empêche pas un abus réalisé avec une identité autorisée ni une compromission présente dans chaque zone. Elle peut augmenter la complexité, créer des pannes et déplacer les angles morts. Réévalue les zones lorsque les applications, les équipes ou les flux changent. La qualité se mesure aux chemins réellement contrôlés et compris, pas au nombre de VLAN ou de pare-feu affiché sur le schéma.