Vous travaillez sur un ordinateur connecté au réseau de votre entreprise, ou vous administrez quelques postes et serveurs ? Vous avez probablement déjà rencontré un message demandant d’autoriser une application à communiquer. Cette décision concerne le pare-feu : un mécanisme de filtrage qui laisse passer certains échanges et en bloque d’autres selon des règles définies.
Pour l’utiliser à bon escient, il faut distinguer le pare-feu installé sur un poste de celui qui protège un réseau, puis savoir ce qu’il ne remplace pas. Les critères de choix, les règles à documenter et les vérifications régulières permettent de réduire l’exposition sans interrompre les services nécessaires.
À quoi sert un pare-feu informatique ?
Un pare-feu, ou firewall, contrôle les communications entre un ordinateur ou un réseau et d’autres systèmes. Il applique des règles de filtrage aux échanges entrants et sortants : par exemple, autoriser une application précise à accéder à un service, ou bloquer une connexion qui n’a pas été prévue. Il peut s’agir d’un logiciel installé sur un poste, d’une fonction intégrée à un routeur ou d’un équipement dédié au réseau.
Le filtrage peut tenir compte de plusieurs éléments : l’adresse IP source ou destination, le protocole, le port utilisé, l’application ou le service concerné. Un port est un numéro qui aide le système à diriger les données vers le bon service. Ainsi, une règle peut être plus précise qu’une autorisation générale d’accès au réseau. Les ports TCP 80 et 443 sont des exemples courants associés au trafic Web, mais leur présence dans une règle ne suffit pas à déterminer si une communication est sûre : le contexte et le service autorisé comptent aussi.
Sur Windows, le pare-feu bloque par défaut les connexions entrantes qui ne correspondent pas à une règle ou à une réponse attendue, et autorise les connexions sortantes sauf règle contraire. Microsoft distingue trois profils réseau, « domaine », « privé » et « public », afin d’adapter les règles au contexte de connexion, comme le précise la documentation officielle du Pare-feu Windows. Une autorisation utile sur un réseau privé ne convient donc pas nécessairement à un réseau public.
Quel pare-feu choisir pour un poste ou une PME ?
Commencez par identifier ce que vous devez protéger et les communications indispensables. Pour un poste de travail, le pare-feu local peut contrôler les échanges propres à cet appareil, y compris lorsqu’il quitte les locaux. Pour une petite organisation, le routeur ou un équipement placé à l’entrée du réseau peut filtrer les échanges entre le réseau interne et Internet. Ces protections peuvent se compléter : elles ne contrôlent pas toutes le trafic au même endroit.
Pour comparer les options, examinez notamment :
- Le périmètre filtré : un poste, un serveur, un réseau entier ou des segments distincts du réseau.
- La précision des règles : possibilité de restreindre l’accès par application, adresse, protocole, port et profil réseau.
- L’administration : qui peut modifier les règles, comment les changements sont validés et où sont conservés les journaux.
- La continuité de service : conséquences d’une panne ou d’une règle trop restrictive sur les outils métier.
- L’entretien : mises à jour, sauvegarde de la configuration et revue des exceptions.
La complexité doit rester proportionnée aux besoins. Un poste isolé et un serveur accessible depuis Internet ne présentent pas les mêmes enjeux. Pour une architecture exposée, l’ANSSI recommande, dans son guide consacré à ce périmètre, deux pare-feux en cascade afin de limiter le risque lié à un point de défaillance unique. Cette préconisation vise les passerelles Internet sécurisées décrites dans le document, pas chaque ordinateur ou chaque PME indistinctement ; le guide de l’ANSSI sur les pare-feux en zone exposée détaille ce contexte.
Le choix et le maintien des règles peuvent mobiliser des compétences en administration réseau et en coordination des changements. Dans une équipe informatique, le pilotage d’un projet informatique peut notamment aider à organiser les rôles, les validations et le calendrier des évolutions. Pour explorer les sujets liés aux infrastructures et aux outils numériques, retrouvez aussi les contenus de la rubrique technologie.
Comment définir des règles utiles sans bloquer l’activité ?
Partez des usages nécessaires plutôt que d’ouvrir largement le réseau « au cas où ». Pour chaque communication, notez le service concerné, sa source, sa destination, le protocole et le port requis, le responsable métier, ainsi que la raison de l’exception. Si l’application ne fonctionne qu’avec un flux particulier, limitez la règle à cette application et aux adresses utiles lorsque votre configuration le permet.
Une règle entrante autorise un système extérieur à joindre un service local ; une règle sortante encadre les communications initiées depuis le poste ou le réseau. Les deux sens méritent d’être examinés : une politique qui contrôle uniquement les connexions entrantes ne répond pas forcément aux besoins de maîtrise des flux sortants. L’ANSSI recommande de documenter les communications nécessaires et de n’autoriser que celles qui ont été identifiées dans le système d’information.
Les ports donnent des exemples concrets, mais ne constituent pas une liste à ouvrir par défaut. Le trafic DNS utilise généralement le port 53, tandis que les ports UDP 500 et 4500 sont notamment associés à des usages IPsec, selon les paramètres du service et de l’équipement. Le NIST mentionne ces deux ports pour l’échange IKE et la traversée de NAT dans le contexte des connexions IPsec, sans en faire des autorisations universelles ; consultez ses recommandations sur les pare-feux et les politiques de filtrage pour comprendre pourquoi les règles doivent correspondre à une architecture donnée. Un port ouvert sans besoin documenté augmente les communications possibles, sans prouver à lui seul qu’un service est vulnérable.
Évitez aussi de confondre trois outils. Le pare-feu filtre des communications réseau selon des règles. L’antivirus ou une autre protection des terminaux cherche à détecter ou bloquer des logiciels malveillants et comportements suspects sur l’appareil. Un reverse proxy, lui, sert d’intermédiaire devant un ou plusieurs serveurs Web et peut répartir ou traiter leurs requêtes ; il n’est pas automatiquement un pare-feu réseau. Certaines solutions regroupent plusieurs fonctions, mais il reste utile de vérifier précisément ce qui est activé et ce que chaque fonction protège.
Comment vérifier que le filtrage fonctionne ?
Avant une modification, relevez les applications et services qui doivent continuer à fonctionner et repérez les règles déjà en place. Faites valider les changements par la personne responsable du réseau ou de l’application : une règle trop large peut exposer un service, tandis qu’une règle trop étroite peut interrompre un outil nécessaire. En entreprise, testez d’abord dans un périmètre maîtrisé quand cela est possible, puis consignez la modification et son résultat.
Après le changement, vérifiez les deux côtés de la règle : le service attendu doit fonctionner depuis les sources autorisées, et les accès non prévus ne doivent pas être acceptés. Examinez les journaux du pare-feu pour repérer les blocages utiles ou les autorisations inattendues. Un test positif isolé ne démontre pas que toutes les communications sont correctement filtrées ; contrôlez aussi les profils réseau, les interfaces concernées et les règles qui se chevauchent.
Enfin, supprimez les exceptions qui ne correspondent plus à un usage actif et réévaluez les règles après une évolution importante du réseau ou des applications. Le référentiel de mesures de l’ANSSI recommande une revue technique des règles de filtrage au moins une fois par an et indique de documenter les communications nécessaires. Cette périodicité est un minimum formulé dans ce référentiel : un changement majeur ou un incident peut justifier une vérification plus tôt. Le pare-feu reste une couche de défense parmi d’autres, à maintenir avec les mises à jour, la protection des postes, les sauvegardes et une gestion rigoureuse des accès.
Questions fréquentes
Un pare-feu ralentit-il la connexion Internet ?
Un pare-feu examine ou filtre les communications ; son effet dépend de la capacité de l’équipement, du volume de trafic et des fonctions activées. Une baisse de débit ne se déduit pas de sa seule présence. Si elle apparaît après un changement de règles ou de configuration, comparez les mesures avant et après, puis vérifiez les journaux et les ressources de l’équipement avec l’administrateur.
Faut-il un pare-feu sur chaque ordinateur si le réseau en possède déjà un ?
Les deux protections n’agissent pas au même endroit. Le pare-feu réseau filtre les échanges qui traversent un point du réseau, tandis que le pare-feu local contrôle les communications de l’appareil lui-même. Un poste peut aussi être utilisé hors du réseau de l’entreprise. Leur coexistence peut donc apporter un filtrage complémentaire, à condition que les règles soient compatibles et suivies.
Un pare-feu protège-t-il contre les rançongiciels ?
Il peut limiter certaines communications réseau et réduire les chemins d’accès inutiles, mais il ne garantit pas qu’un rançongiciel ne puisse pas s’exécuter. Une pièce jointe ouverte, une faille logicielle ou un compte compromis relèvent aussi d’autres mesures de sécurité. Maintenez les logiciels à jour, protégez les comptes et prévoyez des sauvegardes testées en complément du filtrage.
Quand faut-il revoir les règles du pare-feu ?
Réexaminez-les après une évolution des applications, des serveurs ou de l’organisation du réseau, ainsi qu’après un incident ou une modification de configuration. La revue permet de repérer les exceptions devenues inutiles et de confirmer que les communications attendues fonctionnent toujours. Pour le système d’information, l’ANSSI recommande une vérification technique au moins annuelle des règles de filtrage.
