Pare-feu, VLAN, couche 2, Wi-Fi et VPN : les thèmes réseau

Les thèmes réseau de l'E7 SISR portent sur la façon de cloisonner et de protéger une infrastructure : segmentation en VLAN et DMZ, filtrage par pare-feu, sécurité des commutateurs (couche 2), authentification des accès filaires et Wi-Fi, portail captif et VPN. Pour chaque thème, ce chapitre donne ce que tu dois savoir, la forme que prend la question dans les sujets et une réponse modèle.

Segmentation et DMZ

Ce que tu dois savoir. Segmenter, c'est découper le réseau en zones (VLAN, sous-réseaux) selon le niveau de confiance et le rôle des machines : postes, serveurs internes, administration, sauvegarde, téléphonie, vidéosurveillance, Wi-Fi des salariés, Wi-Fi des visiteurs. Les flux entre zones passent par un équipement qui filtre (pare-feu ou commutateur de niveau 3 avec des listes de contrôle d'accès). La DMZ (zone démilitarisée) accueille les serveurs joignables depuis Internet ; elle est séparée du réseau interne, et un serveur de la DMZ ne doit pas pouvoir ouvrir de connexion vers l'intérieur. La configuration des VLAN et du routage inter-VLAN est détaillée dans le cours Routage et commutation.

Trois arguments reviennent dans toutes les justifications :

1. Contenir une attaque. Les trames d'une attaque de couche 2 restent dans leur VLAN : un poste du VLAN des utilisateurs ne reçoit plus le trafic du VLAN des serveurs, et un faux serveur DHCP ou une usurpation ARP ne touche que son VLAN. Attention : la table d'adresses MAC est commune à tout le commutateur, donc une inondation MAC dégrade quand même tous les VLAN de ce commutateur ; la segmentation se complète par la sécurité des ports. Un rançongiciel qui infecte un poste doit franchir le pare-feu pour atteindre les serveurs.
2. Appliquer le moindre privilège aux flux. Entre deux zones, seuls les flux nécessaires sont autorisés, et tout le reste est interdit.
3. Tracer. Le point de passage unique journalise les flux entre zones.

Comment ça tombe. « Proposer une évolution de l'architecture qui permettrait de limiter le risque identifié vis-à-vis des serveurs » (2025) ; « Expliquer pourquoi le réseau Wi-Fi invité est raccordé directement au pare-feu » ; les recommandations de l'ANSSI sur les serveurs de sauvegarde placés dans une zone distincte de la production (2026).

Le pare-feu et ses règles

Ce que tu dois savoir. Un pare-feu filtre les paquets selon l'adresse source, l'adresse de destination, le protocole et les ports ; un pare-feu à états suit les connexions et autorise leurs réponses sans règle supplémentaire. Les pare-feu actuels ajoutent l'identification des applications, la détection et la prévention d'intrusion (IDS/IPS), le filtrage d'URL et l'inspection du trafic chiffré. Le chapitre Rédiger une réponse détaille l'écriture d'un tableau de règles ; le cours Cybersécurité des infrastructures montre la configuration de pfSense.

IDS, IPS, pot de miel. Un IDS détecte et alerte ; un IPS bloque en plus le trafic qu'il juge malveillant, au risque de bloquer un trafic légitime (un faux positif). En 2026, une alerte d'IPS sur le téléchargement d'un exécutable bloquait en fait une mise à jour légitime d'un logiciel de gestion : la question demandait pourquoi l'utilisateur ne pouvait plus travailler et comment éviter le problème (autoriser explicitement la destination de l'éditeur, par exemple par une exception ciblée). Un pot de miel (honeypot) est une adresse leurre qu'aucun usage légitime ne contacte : toute connexion vers lui révèle une machine qui explore le réseau, donc probablement compromise.

L'inspection HTTPS. Pour analyser un flux chiffré, le pare-feu s'interpose : il présente au poste un certificat qu'il génère, signé par une autorité de certification interne, et ouvre sa propre connexion chiffrée vers le site. Le certificat racine de cette autorité doit être installé sur les postes (par GPO dans un domaine), sinon le navigateur affiche une erreur de certificat. Côté juridique, les salariés doivent être informés, les représentants du personnel consultés, et les catégories de sites relevant de la vie privée (banques, santé) peuvent être exclues de l'inspection.

La couche 2 : reconnaître l'attaque à ses symptômes

C'est un classique des sujets : on te donne des symptômes, une table d'adresses MAC, une capture de trames, et tu dois dire de quelle attaque il s'agit. Retiens les signatures.

Dans le sujet 2025, l'hypothèse de l'usurpation ARP était proposée à côté de l'inondation MAC : la table saturée, les trames étrangères reçues par un poste et les collisions désignaient l'inondation MAC. Et pour trouver l'appareil responsable, il fallait écarter les ports qui relient deux commutateurs (ils apprennent normalement beaucoup d'adresses) et retenir le port d'accès qui en apprenait des centaines.

La sécurité des ports

Ce que tu dois savoir. La sécurité des ports limite le nombre d'adresses MAC qu'un port d'accès accepte, et définit la réaction en cas de violation. Sur un commutateur Cisco, trois réactions existent :

Le mode shutdown isole l'appareil fautif et impose une intervention de l'administrateur pour réactiver le port, donc une analyse de la cause : c'est le choix à justifier quand le sujet demande de tracer et isoler. Le mode restrict convient quand couper le port aurait un coût trop élevé (un poste critique). Le document de ton sujet peut ne présenter que deux modes, comme en 2025 : raisonne alors avec ceux-là.

Switch(config)# interface GigabitEthernet1/0/13
Switch(config-if)# switchport mode access
Switch(config-if)# switchport port-security
Switch(config-if)# switchport port-security maximum 1
Switch(config-if)# switchport port-security mac-address sticky
Switch(config-if)# switchport port-security violation shutdown
Switch(config-if)# exit
Switch(config)# snmp-server enable traps port-security

sticky enregistre dans la configuration la première adresse apprise. La dernière ligne active l'envoi d'un trap SNMP à chaque violation. Seule, la sécurité des ports bloque et journalise localement ; c'est la supervision (trap SNMPv3 vers un serveur) qui alerte l'administrateur. C'est pourquoi la question de 2025 disait que le mécanisme ne répondait que « partiellement » à la demande.

DHCP snooping et inspection ARP. Le DHCP snooping n'autorise les réponses DHCP que sur les ports déclarés de confiance (vers le vrai serveur) et construit une table des associations adresse IP, adresse MAC et port. L'inspection ARP dynamique s'appuie sur cette table pour rejeter les réponses ARP falsifiées.

Switch(config)# ip dhcp snooping
Switch(config)# ip dhcp snooping vlan 10
Switch(config)# interface GigabitEthernet1/0/48
Switch(config-if)# ip dhcp snooping trust          ! lien vers le serveur DHCP
Switch(config-if)# exit
Switch(config)# ip arp inspection vlan 10

802.1X et RADIUS

Ce que tu dois savoir. Le protocole 802.1X contrôle l'accès à un port filaire ou à un réseau Wi-Fi : le poste (le client, ou supplicant) s'authentifie auprès d'un serveur RADIUS par l'intermédiaire du commutateur ou de la borne (l'authentificateur), qui n'ouvre le port qu'en cas de succès. Le serveur RADIUS s'appuie sur l'annuaire (Active Directory, LDAP) et peut placer l'utilisateur dans un VLAN selon son profil. RADIUS utilise UDP 1812 (authentification) et 1813 (comptabilité).

Comment ça tombe. En 2025, les salariés et les apprenants de longue durée s'authentifiaient en 802.1X sur le réseau filaire, et la solution étendait ce mécanisme au Wi-Fi interne. Arguments : authentification individuelle (fin du mot de passe Wi-Fi partagé), traçabilité, révocation simple d'un compte au départ d'une personne, attribution du VLAN selon le profil.

Le Wi-Fi : ce qui protège, ce qui ne protège pas

En 2026, le sujet présentait les réseaux comme configurés en « WPA3 TKIP » : WPA3 n'utilise pas TKIP (il impose AES-CCMP ou GCMP), ce qui était une incohérence à relever ou au moins à ne pas reprendre. Il demandait aussi si le masquage du SSID, le filtrage MAC et la PMF étaient adaptés au Wi-Fi interne et à celui des personnels externes : la PMF est utile sur les deux, le masquage n'apporte rien, le filtrage MAC peut se défendre sur un parc interne connu mais pas pour des visiteurs. Le cours Réseaux : les fondamentaux présente les normes Wi-Fi actuelles.

Le portail captif

Ce que tu dois savoir. Un portail captif intercepte la première requête web d'un appareil non authentifié et affiche une page de connexion ou d'inscription. Techniquement : le DNS et l'accès au portail sont autorisés avant authentification, les requêtes web sont redirigées vers le portail, puis l'accès à Internet est ouvert pour la session authentifiée.

Arguments pour un réseau invité :

1. Identifier les utilisateurs. Une organisation qui fournit un accès à Internet au public doit pouvoir retrouver qui était connecté : le code des postes et des communications électroniques (article L34-1) soumet à l'obligation de conservation des données de connexion les personnes qui offrent au public une connexion à Internet, y compris à titre gratuit. Un mot de passe partagé ne permet pas de savoir qui a fait quoi.
2. Pas de gestion manuelle des comptes. L'auto-inscription crée des comptes temporaires, qui expirent seuls.
3. Afficher et faire accepter les conditions d'utilisation.
4. Cloisonner. Le réseau invité, raccordé au pare-feu, n'a accès qu'à Internet.

Le formulaire d'inscription est une collecte de données personnelles : il doit respecter la minimisation (ne demander que le nécessaire), informer la personne et fixer une durée de conservation.

Le VPN

Ce que tu dois savoir. Un VPN crée un tunnel chiffré et authentifié à travers un réseau non maîtrisé.

Dans le sujet 2026, des ordinateurs portables de responsables se connectaient en bureau à distance directement sur un serveur du siège, et le mot de passe administrateur était enregistré sur l'un d'eux : deux éléments ayant pu faciliter l'attaque. Dans le sujet de secours 2025, la question portait sur le choix entre sortir sur Internet directement depuis le site distant ou repasser par le siège via le VPN : la sortie directe soulage le lien et le site central ; le passage par le siège applique le même filtrage et la même journalisation à tous.

Pour aller plus loin. Chaque thème a son chapitre détaillé dans le cours Cybersécurité des infrastructures : pare-feu, DMZ et segmentation, sécurité des switchs, Wi-Fi et VPN ; 802.1X et le portail captif sont aussi expliqués dans le chapitre 802.1X, RADIUS et portail captif du cours Authentification. Pour passer à la pratique sur le pare-feu du labo, le cours Pare-feu pfSense montre la politique de filtrage, le NAT et les VPN.

Exercices