Sécurisation du réseau d'entreprise
Sécurisation de l'infrastructure NovaTech : pare-feu pfSense avec DMZ, VPN pour les nomades, durcissement du serveur Linux, détection d'intrusion avec Snort, audit Nmap, analyse Wireshark et volet RGPD.
Le projet en clair
Une fois le réseau construit, il faut le protéger comme on protège une maison. Le pare-feu pfSense est la porte d'entrée : il laisse passer uniquement ce qui est autorisé. Le site web est mis à part dans une « DMZ », une zone tampon, pour que s'il est attaqué, le reste du réseau reste à l'abri. Les salariés à distance passent par un VPN, un tunnel chiffré. Je renforce le serveur Linux, j'installe un détecteur d'intrusion (Snort), puis je joue l'attaquant avec Kali Linux et Nmap pour vérifier qu'il n'y a pas de faille.
Outils utilisés
pfSensePare-feu & routeur
OpenVPNAccès distant
SnortDétection d'intrusion
Kali LinuxAudit- NNmapScan de ports
WiresharkAnalyse de trafic
DebianServeur durci
Contexte
Une fois le réseau de NovaTech opérationnel, il faut le protéger : le site web est exposé sur Internet, des salariés travaillent à distance et les données personnelles des clients doivent respecter le RGPD.
Ce lab applique une démarche de défense en profondeur : filtrer, chiffrer, durcir, détecter puis auditer.
Objectifs
- Filtrer les flux avec un pare-feu et une DMZ
- Permettre un accès distant chiffré (VPN)
- Durcir l'accès SSH du serveur exposé
- Détecter les tentatives d'intrusion
- Vérifier la sécurité par un audit
- Intégrer les exigences du RGPD
Architecture de sécurité
Politique de filtrage pfSense (extrait)
| # | Interface | Source | Destination | Port / protocole | Action |
|---|---|---|---|---|---|
| 1 | WAN | Internet | Serveur web DMZ | TCP 443 (HTTPS) | Autoriser |
| 2 | WAN | Internet | pfSense | UDP 1194 (OpenVPN) | Autoriser |
| 3 | DMZ | Serveur web | LAN | Tous | Bloquer |
| 4 | LAN | VLAN 30 Technique | DMZ | TCP 2222 (SSH) | Autoriser |
| 5 | LAN | VLAN 40 Invités | LAN interne | Tous | Bloquer |
| 6 | Toutes | Toute source | Toute destination | Tous | Bloquer (par défaut) |
Étapes de réalisation
- 01
Installer le pare-feu pfSense
Déploiement de pfSense en machine virtuelle avec trois interfaces : WAN (Internet), LAN (réseau interne) et DMZ (serveur exposé).
- 02
Définir la politique de filtrage
Principe du moindre privilège : tout est bloqué par défaut, seuls les flux nécessaires sont ouverts (HTTPS vers la DMZ, VPN, administration SSH depuis le VLAN Technique).
- 03
Mettre en place un VPN pour les nomades
Serveur OpenVPN sur pfSense avec authentification par certificat : les salariés en déplacement accèdent au réseau interne à travers un tunnel chiffré.
- 04
Durcir le serveur Linux exposé
Sécurisation de l'accès SSH et protection contre les attaques par force brute.
Bash — /etc/ssh/sshd_config
# /etc/ssh/sshd_config Port 2222 PermitRootLogin no PasswordAuthentication no # connexion par clé uniquement sudo systemctl restart ssh sudo apt install fail2ban -y sudo systemctl enable --now fail2ban - 05
Détecter les intrusions avec Snort
Activation du paquet Snort sur pfSense avec les règles communautaires pour détecter les scans et comportements suspects.
- 06
Auditer le réseau depuis Kali Linux
Scan avant / après sécurisation pour vérifier que seuls les ports prévus restent ouverts.
Bash — Kali Linux
# découverte des hôtes puis des services exposés nmap -sn 192.168.99.0/24 nmap -sV -p- 172.16.0.20 - 07
Analyser le trafic avec Wireshark
Capture du trafic pour vérifier que les échanges VPN sont bien chiffrés et repérer les protocoles non sécurisés.
- 08
Volet conformité RGPD
Registre des traitements, politique de mots de passe, sauvegardes et durée de conservation des journaux — en lien avec l'Atelier RGPD de la CNIL.
Compétences mobilisées
- Pare-feu & DMZ
- VPN
- Durcissement Linux
- IDS
- Audit de sécurité
- Analyse de trafic
- RGPD
Livrables
- Politique de filtrage documentée
- Procédure de connexion VPN
- Rapport d'audit Nmap
- Registre RGPD simplifié