Guide Installation Appliance Pare-Feu : Du Rack aux Règles
Installer une appliance pare-feu matériel requiert mise en place physique méthodique, configuration initiale, et durcissement. Ce guide agnostique fournisseur couvre le flux universel.
Prérequis
- Rack/emplacement sécurisé avec ventilation, alimentation onduleur
- Schéma réseau : WAN, LAN, DMZ, VLANs management
- Plan IP, VLANs, passerelle, DNS, NTP documentés
- Câble console série (RJ45 ou DB9), portable avec terminal (PuTTY, screen, minicom)
- Identifiants admin, clés licence, firmware USB
Installation Physique
- Monter en rack (oreilles/glissières) ; assurer flux air
- Connecter port management à portable (série ou MGMT Ethernet dédié)
- Connecter WAN → démarc FAI / routeur amont
- Connecter LAN → switch cœur / couche accès
- Connecter DMZ, HA, autres segments selon design
- Mettre sous tension ; vérifier POST, ventilateurs, LEDs statut
Configuration Initiale (Console Série)
- Interruption boot : Accéder bootloader si nécessaire (rare)
- Assistant setup : Nom hôte, fuseau horaire, IP management/masque/passerelle
- Compte admin : Mot de passe fort, MFA si supporté
- Config interfaces : Assigner zones (WAN, LAN, DMZ), IPs, MTU
- Routage : Route par défaut, routes statiques, dynamique (OSPF/BGP) si besoin
- DNS/NTP : Forwarders DNS internes, NTP strate 1–2
- HA (si paire) : Interface sync, IP pair, groupes basculement
Durcissement Sécurité (Avant Politiques)
- Désactiver HTTP/Telnet/SNMP v1/v2c sur toutes interfaces
- Activer SSH v2, HTTPS, SNMPv3 (ACL restreinte)
- Restreindre accès management : VLAN dédié, jump host, ACLs IP source
- Certificat : Importer cert CA-signé pour HTTPS/VPN
- Bannière : Avertissement légal selon politique org
- Journalisation : Syslog (TLS), rétention logs locale, alerte sur critique
Implémentation Politiques
- Refus par défaut : Deny implicite tout ; allow explicite seulement
- Règles par zones : LAN→WAN (allow), WAN→LAN (deny), DMZ→LAN (restreint)
- App-ID / Couche 7 : Identifier apps, pas juste ports
- Déchiffrement SSL : Sortant (sélectif), entrant (avec certs)
- Prévention Menaces : IPS, AV, blocage fichiers, sécurité DNS
- NAT : Source NAT (sortant), Destination NAT (services entrants)
- VPN : Site-à-site (IPSec), Accès distant (SSL/IKEv2)
Checklist Post-Installation
- ☐ Sauvegarde config (chiffrée, hors site)
- ☐ Firmware mis à jour dernière stable
- ☐ Scan vulnérabilités plan management
- ☐ Test pénétration / audit règles
- ☐ Documentation : topologie, plan IP, rationale règles, runbooks
- ☐ Supervision : SNMP/NetFlow vers SIEM, réglage alertes
- ☐ Processus gestion changements établi
Spécificités fournisseurs varient : Palo Alto, Fortinet, Check Point, Cisco, Sophos, OPNsense/pfSense ont chacun CLIs/GUIs uniques et noms fonctionnalités. Toujours consulter guide durcissement fournisseur.