📖 Cours – Le filtrage
Parcours Stormshield – module S06
🚀 Pour aller plus loin
Module du parcours Stormshield (préparation CSNA). Lien avec les ACL : module CCNA 5-03.
🎯 À la fin de ce cours, tu sauras
- expliquer le filtrage à états ;
- écrire une politique minimale selon le moindre privilège ;
- ordonner les règles correctement.
1. Filtrage à états (stateful)
Un pare-feu à états mémorise les connexions. Quand un poste du LAN ouvre une connexion vers un site web, la réponse est acceptée automatiquement : pas besoin de règle « retour ». Un paquet sans connexion connue (par exemple une réponse non sollicitée) est bloqué.
2. Une règle de filtrage
| Champ | Question |
|---|---|
| Action | autoriser (pass), bloquer (block, sans réponse) ou rejeter (reset : le client est averti) |
| Source | d'où ? (zone, adresse) |
| Destination | vers où ? |
| Service / port | quel protocole ? |
| Commentaire | pourquoi cette règle existe |
3. L'ordre compte
Les règles sont lues de haut en bas ; la première qui correspond s'applique, les suivantes sont ignorées. À la fin, la politique par défaut bloque tout.
| Ordre | Règle | Effet |
|---|---|---|
| 1 | Bloquer 192.168.1.50 → Internet |
le stagiaire est refusé |
| 2 | Autoriser LAN → Internet, web | les autres passent |
Warning
Si on inverse (règle 2 avant la règle 1), le stagiaire est autorisé par la règle 2 : la règle de blocage n'est jamais atteinte. Le plus précis en haut, le plus général en bas.
4. Moindre privilège
On n'autorise que le strict nécessaire : un flux = une règle précise (zones, source, service). On évite any → any.
| À éviter | À préférer |
|---|---|
| LAN → WAN, tout | LAN → WAN, TCP 80 et 443, UDP 53 |
| DMZ → LAN, tout | aucune règle (bloqué par défaut) |
5. Dans le simulateur
Onglet Règles de filtrage : tableau ordonné, boutons ↑ ↓ pour changer l'ordre, case On pour activer ou désactiver, colonne Hits (nombre d'utilisations). La dernière ligne grisée est la politique par défaut (bloquer).
Note
🧊 Limite du simulateur. Pas d'inspection applicative (IPS, antivirus, URL), pas de règles par utilisateur ni par heure, pas d'objets, pas de plusieurs politiques (slots). Alternative Packet Tracer : une ACL étendue sur un routeur Cisco : ordre, permit/deny, refus implicite final (module CCNA 5-03). Alternative VM : EVA, rubrique Politique de sécurité → Filtrage et NAT.
🧠 Quiz de fin
1. Qu'est-ce que le filtrage à états ?
Voir la réponse
Le pare-feu mémorise les connexions : les réponses aux connexions autorisées passent automatiquement.
2. Dans quel ordre place-t-on les règles ?
Voir la réponse
Les plus précises en haut, les plus générales en bas.
3. Que fait le pare-feu d'un flux qui ne correspond à aucune règle ?
Voir la réponse
Il le bloque (politique par défaut).
4. Quelle différence entre block et reset ?
Voir la réponse
Block ignore le paquet sans rien dire ; reset prévient l'émetteur que la connexion est refusée.
➡️ Suite : le TP du module.