Qu'est-ce qu'un pare-feu ?
Un pare-feu est un poste de contrôle placé entre deux réseaux — typiquement entre votre réseau et Internet. Chaque paquet qui tente de traverser est examiné, puis autorisé ou rejeté selon un ensemble de règles. Il ne regarde pas le contenu utile de vos échanges : il décide surtout qui a le droit de parler à qui, et sur quel canal.
Un point de passage
Il se tient à la frontière du réseau. Tout ce qui entre ou sort passe par lui ; rien ne le contourne, c'est ce qui fait sa force.
Avec ou sans mémoire
Un pare-feu « à états » (stateful) se souvient des connexions ouvertes : il laisse revenir la réponse à une requête que vous avez lancée, sans règle explicite. Un pare-feu « sans état » juge chaque paquet isolément.
Entrée et sortie
On filtre le trafic entrant (ce qui vient vers vous) et le trafic sortant (ce que vos machines envoient). Les deux directions ont leurs propres règles.
L'idée clé : la politique par défaut. Un bon pare-feu part du principe « tout ce qui n'est pas explicitement autorisé est interdit » (politique DROP par défaut). On n'énumère donc pas ce qu'on bloque — c'est infini — mais la courte liste de ce qu'on laisse passer.
Qu'est-ce qu'une règle de pare-feu ?
Une règle est une phrase qui décrit un type de paquet et l'action à lui appliquer. Toutes les règles ont la même grammaire. En voici une, décortiquée :
Les règles sont lues dans l'ordre, de haut en bas. La première qui correspond au paquet décide de son sort, et la lecture s'arrête là. Si aucune ne correspond, c'est la politique par défaut qui tranche. Exemple d'un petit jeu de règles pour un serveur :
| # | Action | Proto | Source | Port | Rôle |
|---|---|---|---|---|---|
| 1 | ACCEPT | tcp | 0.0.0.0/0 | 443 | Site web (HTTPS) |
| 2 | ACCEPT | tcp | 10.0.0.0/8 | 22 | SSH depuis le LAN |
| 3 | ACCEPT | udp | 10.0.0.0/8 | 51820 | VPN WireGuard |
| ∞ | DROP | tout | tout | tout | Politique par défaut |
Ici, un accès SSH (port 22) venu d'Internet ne correspond à aucune des règles 1 à 3 : il tombe sur le DROP final. Seules les machines du réseau interne 10.x.x.x peuvent s'y connecter.
Faites passer un paquet
Décrivez un paquet, et regardez quelle règle l'attrape. Le jeu de règles est celui du tableau ci-dessus, avec DROP par défaut.
Jeu de règles actif
La NAT, c'est quoi ?
NAT, pour Network Address Translation (traduction d'adresses réseau). Le problème qu'elle résout : vos machines à la maison ou au bureau ont des adresses privées (comme 192.168.1.x), qui n'existent pas sur Internet. Pour sortir, elles doivent emprunter l'unique adresse publique de votre box. La NAT fait cette traduction au passage.
Au départ, le paquet dit « de 192.168.1.20 vers le serveur ». La box réécrit l'expéditeur en « de 203.0.113.5 », note la correspondance dans une table, et transmet. Quand la réponse revient, elle consulte sa table pour savoir à quelle machine privée la rendre. Deux variantes principales :
Masquerade
Le cas courant : plusieurs machines privées partagent une seule IP publique pour sortir. La box distingue leurs connexions grâce aux numéros de port. C'est ce qui fait tourner presque tous les réseaux domestiques.
Redirection de port
L'inverse : « tout ce qui arrive sur le port 443 de l'IP publique, envoie-le vers 192.168.1.20 ». Indispensable pour héberger un service accessible de l'extérieur derrière une box.
NAT n'est pas un pare-feu, même si on les confond souvent. La NAT traduit des adresses ; elle bloque incidemment le trafic entrant non sollicité, faute de savoir où le router. Mais c'est un effet de bord, pas une politique de sécurité. Les deux fonctions cohabitent dans votre box, et chacune a son rôle.
Les trois en une phrase
- Le pare-feu décide qui passe, selon une politique « tout fermé sauf exceptions ».
- La règle est l'exception : action + direction + protocole + source + port, lue dans l'ordre, première correspondance gagnante.
- La NAT traduit les adresses privées en une adresse publique (sortie), ou réoriente un port public vers une machine interne (entrée).
- Ensemble, ils forment la frontière de presque tout réseau : la NAT rend les machines joignables, le pare-feu décide lesquelles et comment.