Pare-feu: types et positionnement
Définition
Un pare-feu est un point de décision qui autorise ou refuse du trafic entre deux zones de confiance selon une politique. Sa forme a évolué: filtrage par ACL stateless, inspection d'état (stateful), pare-feu applicatif de nouvelle génération (NGFW) avec contrôle par application et inspection HTTPS, systèmes de détection et prévention d'intrusion (IDS/IPS). Le blueprint 200-301 thème 1.1.c demande de décrire le rôle des NGFW et IPS, et le thème 5.x leur positionnement dans l'architecture.
Contexte
L'examen ne fait pas configurer un ASA en détail: il demande de choisir le bon type de boîtier au bon endroit, de savoir ce qu'un stateful firewall connaît qu'un ACL ne connaît pas (l'état des sessions), et où placer un IDS versus un IPS. Les questions typiques opposent un capteur passif en mode span port à un dispositif inline qui coupe. Comprendre la zone-based firewall d'IOS est utile pour lire une config de routeur.
La chaîne des générations
| Génération | Mécanisme | Ce qu'il voit | Limites |
|---|---|---|---|
| Statique (ACL) | Lignes permit/deny | En-têtes L3/L4 | Pas de notion de session; trous béants pour le trafic retour |
| Stateful | Table de sessions | Direction et état TCP (SYN, established) | Politique par port, pas par application réelle |
| Proxy applicatif | Terminaison de session | Contenu L7 d'un protocole connu (HTTP, FTP) | Coûteux, limité aux protocoles prévus |
| NGFW | Stateful + identification d'application + IPS + contrôle SSL | Application (Netflix vs navigateur), réputation, menaces | Réglages exigeants, licence de signatures |
| IDS | Analyse passif | Copies de trafic via span/TAP | Alerte seulement |
| IPS | Analyse inline | Tout le trafic, peut dropper | Peut couper du trafic légitime; bypass en cas de panne |
Un stateful firewall mémorise chaque connexion: quand un poste du LAN envoie un SYN vers le Web, le pare-feu ouvre automatiquement le flux retour correspondant sans règle explicite. Sans ça, il faudrait permit tcp any any eq 80 entrant permanent, une passoire. La table de sessions expire après le timeout TCP (par défaut 1 h sur beaucoup d'implémentations, plus court pour UDP).
Où placer quoi
Le positionnement se raisonne en zones de confiance décroissante: Internet, DMZ (serveurs publics), core interne, accès utilisateurs.
- Le pare-feu périmétrique siège à la frontière Internet, interface outside/inside/dmz sur un ASA ou équivalent.
- Un firewall entre VLANs internes (est-ouest) segmente datacenter et services; c'est le rôle des NGFW de datacenter ou des firewalls virtualisés.
- Un IDS passif écoute par miroir de port là où on veut de la visibilité sans risque de coupure; un IPS s'installe inline sur le chemin, souvent juste derrière le pare-feu périmétrique, pour traiter ce que celui-ci a laissé passer.
- La règle de placement d'un IPS inline: toujours prévoir le fail-open ou le bypass matériel, sinon la panne du boîtier éteint le site.
interface GigabitEthernet0/0
nameif outside
security-level 0
ip address 203.0.113.5 255.255.255.252
!
interface GigabitEthernet0/1
nameif inside
security-level 100
ip address 10.10.10.1 255.255.255.0
!
interface GigabitEthernet0/2
nameif dmz
security-level 50
ip address 172.16.10.1 255.255.255.0
Le security-level ASA traduit la confiance: un flux ne va que du niveau élevé vers le bas, sauf policy explicite. Inside 100 vers outside 0 par défaut, DMZ 50 jamais atteignable sans règle.
Zone-based firewall sur IOS routeur
IOS d'un routeur peut faire du stateful par zones: on définit des zones (ZONES-LAN, ZONES-WAN), une class-map qui matche le trafic, une policy-map qui decide inspect, puis une zone-pair dans un sens.
class-map type inspect match-any CM-OUTSIDE
match protocol tcp
match protocol udp
match protocol icmp
policy-map type inspect PM-LAN-TO-WAN
class CM-OUTSIDE
inspect
zone security ZON-LAN
zone security ZON-WAN
zone-pair security ZP-LAN-WAN source ZON-LAN destination ZON-WAN
service-policy type inspect PM-LAN-TO-WAN
Le modèle moderne est zone-based: la philosophie "classic CBAC" (ip inspect par interface) a été supplantée; les documents Cisco parlent de ZBFW. Le inspect autorise l'aller et crée l'état pour le retour, contrairement à une ACL qui exige la perméabilité dans les deux sens.
NGFW et inspection HTTPS
Un NGFW identifie l'application malgré le port (Skype sur 80, tunnel HTTP sur 443) grâce à la signature de protocole applicative, et peut décrypter le TLS côté pare-feu pour inspecter le contenu, au prix de certificats et de performance. Les fonctions avancées typiques: filtrage par réputation d'URL, antivirus de transfert de fichiers, blocage des apps non autorisées, détection d'anomalies. Sur l'examen, attendre la logique: port connu ≠ application connue; trafic chiffré invisible sans inspection SSL.
Exemple concret
Un site e-commerce: ASA périmétrique, DMZ à 172.16.10.0/24 pour les serveurs web, IPS inline juste derrière l'interface inside. En mars, une campagne de bots cible le portail: sans état, les ACL côté outside laissent entrer 40000 SYN/s; le stateful limite, l'IPS avec sa signature de comportement bloque 85 pour cent des sessions douteuses à la source. Un faux positif ferme 12 minutes une API partenaire (trafic légitime ressemblant à du scan): le contournement temporaire par règle d'exclusion est appliqué, puis la signature ajustée. Le bilan: pas d'IDS seul possible ici, un capteur passif n'aurait rien coupé.