Mise en place de la DMZ¶
1. Objectif du cours¶
Comprendre le rôle et la configuration d'une DMZ pour séparer les services publics du réseau interne. Savoir installer un laboratoire avec VirtualBox et pfSense pour créer une DMZ fonctionnelle.
2. Notions et définitions essentielles¶
- DMZ (zone démilitarisée) : segment réseau séparé destiné à héberger des services accessibles depuis Internet afin de protéger le réseau interne.
- LAN : réseau interne privé d'une organisation, contenant les ressources sensibles.
- WAN : interface connectée à Internet.
- Pare-feu / NAT : dispositif assurant filtrage et translation d'adresses ; dans les petites architectures il gère tout le trafic entre LAN et Internet.
3. Fonctionnement et principes¶
La DMZ isole les services accessibles au public (web, messagerie, front-end, passerelles) du LAN afin que, en cas d'intrusion, l'attaquant n'accède qu'aux assets exposés. Les back-ends et données sensibles restent derrière le pare-feu interne. Les grandes infrastructures utilisent une ou plusieurs DMZ pour segmenter les fonctions exposées, avec des règles strictes empêchant ou limitant la communication directe entre DMZ et LAN.
4. Commandes et manipulations¶
- Configurer les adaptateurs VirtualBox (regrouper les paramètres) :
- Ouvrir Configuration → Réseau de la VM ; définir 3 interfaces pour la VM pfSense : WAN (Accès par pont) et deux réseaux internes distincts pour LAN et DMZ.
- Dans Avancé : laisser le type d'interface par défaut sauf problème ; activer "Câble Branché" ; générer une nouvelle MAC si collision ; passer le mode promiscuité en "Tout autoriser" si nécessaire.
- Configurer l'interface DMZ dans pfSense :
- Se connecter au panel web pfSense (IP affichée sur la VM).
- Aller dans Interfaces → Assignments → Add pour créer OPT1.
- Éditer OPT1 : activer l'interface, renommer en DMZ, choisir Static IPv4, définir adresse IP et masque, Save puis Apply Changes.
5. Sécurité et bonnes pratiques¶
- Placer uniquement les services destinés à un accès public dans la DMZ (ex. front-end, serveurs web publics, passerelles), garder back-end et données sensibles dans le LAN.
- Adopter une stratégie de gestion des risques : rien n'empêche techniquement de placer un serveur sensible en DMZ, mais il faut le justifier et mesurer l'impact.
- Vérifier et éviter les conflits d'adresses MAC ; utiliser la génération automatique si nécessaire.
- S'assurer que l'option "Câble Branché" est active dans VirtualBox pour simuler la connexion physique des interfaces.
6. Points essentiels à retenir pour le TSSR¶
- Objectif d'une DMZ : exposer des ressources publiques tout en protégeant le LAN.
- En cas de compromission, l'impact est limité aux serveurs de la DMZ.
- Services typiques en DMZ : serveurs web publics, front-ends d'applications, serveurs de messagerie, passerelles, serveurs de test.
- Une architecture DMZ nécessite au minimum trois interfaces pour le firewall : WAN, LAN, DMZ.
- Une DMZ est un réseau fonctionnel autonome ; les machines d'une même DMZ communiquent entre elles, mais la communication DMZ→LAN doit être empêchée ou strictement contrôlée.
- Plusieurs DMZ peuvent coexister selon les besoins.
- Identifiants par défaut du dashboard pfSense (à connaître pour le lab) : admin / pfsense.
7. Tableau récapitulatif¶
| Zone | Exposition | Accès vers LAN | Exemples de services |
|---|---|---|---|
| WAN | Très exposée (Internet) | Non applicable | Connexion Internet |
| DMZ | Exposée au public | Doit être restreint | Web public, front-end, messagerie |
| LAN | Peu exposée | Protégé, accès interne | Back-end, bases de données |
| pfSense (firewall) | Point de contrôle | Filtre/NAT entre zones | Gestion des règles et interfaces |
8. Vérifications pratiques¶
- Depuis une VM cliente, accéder à l'IP affichée de pfSense pour ouvrir le panel web.
- Dans pfSense, vérifier la présence de l'interface créée (OPT1 renommée DMZ) dans Interfaces → Assignments.
- S'assurer que l'interface DMZ a une adresse IPv4 statique définie et que "Apply Changes" a été effectué.
- Dans VirtualBox, vérifier que chaque adaptateur est bien dans le mode prévu et que l'option "Câble Branché" est activée.
9. Flashcards Anki¶
Qu'est-ce que la DMZ? :: Zone démilitarisée séparant le réseau interne du monde extérieur pour héberger des services accessibles publiquement. Quel est le but principal d'une DMZ? :: Permettre l'accès public aux services sans exposer le LAN, limitant l'impact d'une compromission aux serveurs DMZ. Citer trois services à placer en DMZ. :: Serveur web public, front-end d'une application, serveur de messagerie. Combien d'interfaces réseau la VM pfSense doit-elle avoir pour cet atelier? :: Trois (WAN, LAN et DMZ). Quel mode pour l'adapter 1 dans VirtualBox selon le cours? :: Accès par pont. Quel mode pour les deux autres interfaces dans VirtualBox? :: Réseau interne. Quelle option VirtualBox simule la présence d'un câble réseau? :: "Câble Branché". Où créer une nouvelle interface DMZ dans pfSense? :: Interfaces → Assignments → Add pour créer OPT1. Quels paramètres principaux définir pour l'interface DMZ dans pfSense? :: Activer l'interface, renommer en DMZ, choisir Static IPv4 et définir IP + masque. Quels sont les identifiants par défaut du dashboard pfSense indiqués? :: admin / pfsense