DMZ, VLAN et segmentation du réseau

Une DMZ (zone démilitarisée) est un sous-réseau isolé, placé entre Internet et le réseau interne, qui héberge les serveurs joignables depuis l'extérieur : site web, relais de messagerie, proxy inverse. Si l'un d'eux est piraté, l'attaquant reste bloqué dans la DMZ, sans accès direct aux postes ni aux serveurs internes. Ce chapitre montre comment découper un réseau en zones de confiance avec une DMZ et des VLAN, comment filtrer les flux entre elles, et ce qu'apporte l'approche Zero Trust.

Pourquoi cloisonner un réseau

Dans un réseau « à plat », tout le monde est dans le même sous-réseau : postes, serveurs, imprimantes, caméras, Wi-Fi des visiteurs. Tout fonctionne, et c'est bien le problème :

• un visiteur branché sur le Wi-Fi peut joindre le serveur de fichiers et l'interface d'administration des switchs ;
• un poste infecté atteint directement tous les serveurs : un rançongiciel se propage en quelques minutes ;
• une caméra de surveillance jamais mise à jour devient une porte d'entrée vers la comptabilité ;
• une tempête de diffusion ou une inondation de la table MAC paralyse tout le monde à la fois (sujet E7 SISR 2025).

Le cloisonnement (ou segmentation) découpe le réseau en zones qui regroupent des machines de même niveau de confiance et de même besoin, et ne laisse passer entre elles que les flux nécessaires. C'est l'application directe du moindre privilège au réseau.

Les zones d'un réseau d'entreprise

La DMZ

Un serveur joignable depuis Internet sera attaqué : ce n'est pas une hypothèse, c'est une certitude. La DMZ part de ce principe et organise les flux pour que sa compromission coûte le moins possible.

Les règles de flux d'une DMZ tiennent en quatre lignes :

1. Internet vers DMZ : seulement les services publiés, sur leurs ports (HTTPS vers le serveur web, SMTP vers le relais de messagerie).
2. DMZ vers réseau interne : rien, ou un flux précis et justifié (le site web lit une base de données interne sur un port donné). C'est la règle qui fait la valeur de la DMZ.
3. Réseau interne vers DMZ : l'administration, depuis le réseau d'administration uniquement, et l'accès des utilisateurs aux services publiés.
4. DMZ vers Internet : le strict nécessaire (DNS, mises à jour). Un serveur web n'a aucune raison d'ouvrir des connexions vers n'importe quelle adresse : s'il le fait, c'est souvent qu'il est compromis.

Deux architectures existent :

• Un pare-feu à trois pattes (ou plus) : une interface vers Internet, une vers la DMZ, une ou plusieurs vers le réseau interne. C'est la solution des PME, celle de Sorbier.
• Deux pare-feu en cascade : un pare-feu externe entre Internet et la DMZ, un pare-feu interne entre la DMZ et le réseau interne. La DMZ est « prise en sandwich ». Quand les deux pare-feu sont de marques différentes, une faille de l'un ne suffit pas à traverser l'ensemble : c'est plus robuste, mais plus coûteux à acheter et à administrer.

Le réseau de Sorbier, cloisonné

Au départ, chez Sorbier, le switch de cœur route entre les VLAN avec des listes de contrôle d'accès, et le pare-feu ne voit que le trafic vers Internet (plan d'adressage du cours Réseaux). Pour mieux contrôler et tracer les flux, l'équipe décide trois évolutions :

• le routage entre les VLAN passe au pare-feu : le switch de cœur lui envoie tous les VLAN sur un lien d'agrégation 802.1Q (trunk), chaque VLAN devient une interface du pare-feu (le switch de cœur ne route plus : ses interfaces VLAN routées et ses ACL sont supprimées), et chaque flux entre deux zones est filtré et journalisé au même endroit ;
• une DMZ (VLAN 60) accueille le serveur web qui publie le suivi des livraisons pour les clients ;
• un réseau d'administration (VLAN 99) regroupe le poste d'administration, le bastion et les interfaces de gestion des équipements.

L'adresse publique du pare-feu reste 203.0.113.17. Le réseau de transit 192.168.10.192/30, devenu inutile, est libéré.

La matrice des flux de Sorbier

Voici la politique de filtrage complète, zone par zone. Chaque ligne deviendra une ou plusieurs règles sur l'interface du pare-feu par laquelle le trafic entre.

Remarque ce qui n'y figure pas : aucune zone ne peut ouvrir de connexion vers ADMIN (ce sont les équipements d'ADMIN qui joignent les serveurs, pour leurs alertes, RADIUS et l'heure), VISITEURS ne joint aucune zone interne, et la DMZ n'a que deux flux précis vers l'intérieur, l'API de srv-gestion et l'envoi de ses journaux à srv-journaux.

Les VLAN ne filtrent pas : ce qui filtre, c'est le routage

Un VLAN sépare les domaines de diffusion : une machine du VLAN 40 ne reçoit pas les trames du VLAN 10, et ne peut pas lui envoyer de trame directement (les VLAN dans le cours Réseaux). Mais dès qu'un routeur relie les deux VLAN, tout passe, sauf si l'équipement qui route filtre. Deux solutions :

Pour comparer, voici ce que donnerait sur un switch Cisco la règle « les visiteurs n'accèdent qu'à Internet », en filtrage sans état :

ip access-list extended VISITEURS-ENTRANT
 deny   ip 192.168.10.0 0.0.0.63 192.168.10.64 0.0.0.63
 deny   ip 192.168.10.0 0.0.0.63 192.168.10.128 0.0.0.127
 permit ip 192.168.10.0 0.0.0.63 any
!
interface Vlan40
 ip access-group VISITEURS-ENTRANT in

Les ACL Cisco utilisent un masque générique (wildcard), l'inverse du masque de sous-réseau : 0.0.0.63 pour un /26, 0.0.0.127 pour un /25. La deuxième ligne couvre 192.168.10.128 à 192.168.10.255, donc tous les autres VLAN internes de Sorbier. Comme sur un pare-feu, la première ligne qui correspond s'applique, et une ACL se termine par un refus implicite.

Le réseau d'administration

Les interfaces d'administration (pages web des switchs, du pare-feu, des bornes Wi-Fi, des hyperviseurs, cartes de gestion à distance des serveurs comme iDRAC ou iLO) donnent le contrôle total de l'infrastructure. Elles ne doivent être joignables que depuis un réseau d'administration dédié :

• chaque équipement a son adresse de gestion dans le VLAN 99, et son interface d'administration n'écoute que sur cette adresse ;
• les administrateurs travaillent depuis un poste d'administration dédié, ou passent par un bastion (chapitre 12) ;
• aucune autre zone ne peut ouvrir de connexion vers le VLAN 99.

C'est une recommandation constante de l'ANSSI : un attaquant qui prend le contrôle d'un poste utilisateur ne doit pas pouvoir atteindre une interface d'administration, même s'il connaît le mot de passe.

Zero Trust et micro-segmentation

Le cloisonnement par zones a une faiblesse : à l'intérieur d'une zone, tout le monde fait confiance à tout le monde. Un poste compromis du VLAN 10 peut attaquer les autres postes du VLAN 10. L'approche Zero Trust (« ne jamais faire confiance, toujours vérifier »), décrite par le NIST dans la publication SP 800-207, va plus loin :

• l'emplacement réseau ne donne aucun droit : être « à l'intérieur » ne suffit plus ;
• chaque accès à une ressource est authentifié (de préférence avec MFA), autorisé selon l'identité, l'état de l'appareil (à jour, chiffré, protégé par un EDR) et le contexte, puis journalisé ;
• les droits sont accordés au plus juste et pour la durée nécessaire.

En pratique, cela se traduit par :

• la micro-segmentation : un filtrage au plus près de chaque machine, par le pare-feu local ou par l'hyperviseur (pare-feu de Proxmox VE, VMware NSX), pour que deux serveurs d'une même zone ne se parlent que s'ils en ont besoin ;
• l'isolation des clients sur le Wi-Fi invité : deux visiteurs ne peuvent pas se joindre entre eux ;
• le ZTNA (Zero Trust Network Access), qui donne accès à une application précise plutôt qu'à tout un réseau, là où un VPN classique ouvre un tunnel vers toute une zone (chapitre 7).

L'ANSSI rappelle que le Zero Trust est une démarche progressive, qui s'ajoute à la défense périmétrique sans la remplacer : la DMZ et le pare-feu restent nécessaires.

Exercices