Pare-feu SPI vs NAT : Différences clés expliquées
Souvent combinés dans un même appareil, l'Inspection Stateful de Paquets (SPI) et la Traduction d'Adresses Réseau (NAT) sont des mécanismes distincts servant des objectifs sécurité et réseautage différents.
Pare-feu SPI (Stateful Packet Inspection)
Fonction cœur : Suit l'état des connexions actives (flux TCP, UDP) dans table d'état. Inspecte en-têtes et contexte payload pour s'assurer que chaque paquet appartient à une session valide, établie.
- Bloque : Trafic entrant non sollicité, paquets malformés, anomalies drapeaux TCP (ex: NULL, XMAS scans), tentatives détournement connexion.
- Force : Comprend protocoles couche application (FTP, SIP, etc.) pour ouvrir/fermer ports dynamiquement canaux secondaires.
- Coût : Overhead CPU/mémoire plus élevé ; typique pare-feu dédiés/UTM.
Pare-feu NAT (Passerelle NAT)
Fonction cœur : Réécrit adresses IP source/destination et ports pour mapper plusieurs IPs privées (RFC 1918) vers une ou quelques IPs publiques.
- Effet sécurité : Masque topologie interne ; bloque paquets entrants non sollicités car pas de mapping existant (« deny inbound » implicite).
- Limites : N'inspecte pas payloads ni valide logique protocole. Vulnérable à usurpation IP, tunneling protocole, attaques depuis connexions sortantes établies.
- Problèmes compatibilité : Casse protocoles embarquant IPs dans payload (FTP, SIP, IPsec AH) sans ALG (Application Layer Gateways).
Résumé comparatif
| Fonctionnalité | Pare-feu SPI | NAT |
|---|---|---|
| Objectif principal | Application sécurité | Conservation adresses / connectivité |
| Inspecte payload ? | Oui (deep packet inspection possible) | Non (réécriture en-têtes seulement) |
| Suit état connexion ? | Oui (table d'état complète) | Oui (table mapping) |
| Bloque entrant non sollicité ? | Oui (politique explicite) | Oui (implicite, pas mapping) |
| Arrête DDoS / Scan ? | Oui (rate limiting, détection anomalies) | Partiel (obscurcit cibles) |
| Casse certaines apps ? | Rarement | Oui (requiert ALGs) |
Pratique moderne
Presque tous les « pare-feux » entreprise et grand public (routeurs) implémentent les deux : NAT pour adressage et SPI pour sécurité. Un pare-feu SPI standalone se place en périphérie réseau derrière la passerelle NAT dans architectures larges.