Qu'est-ce qu'un pare-feu et comment fonctionne-t-il ?

Un pare-feu est un dispositif matériel, logiciel, ou les deux à la fois, qui filtre le trafic réseau entrant et sortant selon des règles de sécurité prédéfinies. Placé entre un réseau de confiance et un réseau non fiable, généralement Internet, il bloque les accès non autorisés tout en laissant passer les communications légitimes. Le concept date de la fin des années 1980, et le pare-feu reste aujourd'hui la première ligne de défense de presque tous les réseaux.

À quoi sert un pare-feu ?

Les données qui circulent sur un réseau voyagent par paquets. Chaque paquet comporte un en-tête contenant les adresses IP source et destination, les numéros de ports et le protocole de transport. Le pare-feu lit ces en-têtes et compare chaque paquet à une liste de règles ordonnées. La première règle qui correspond décide du sort du paquet : il est transmis ou silencieusement abandonné.

Par défaut, la plupart des pare-feux bloquent le trafic entrant non sollicité. Une machine exposée directement sur Internet reçoit en permanence des tentatives de connexion aléatoires. Sans filtrage, chaque service exposé devient une porte d'entrée potentielle. Avec un pare-feu, seuls les ports explicitement ouverts restent accessibles.

Comment fonctionne un pare-feu ?

Les règles sont évaluées de haut en bas, et la première correspondance s'applique. Les configurations prudentes se terminent par une règle de refus par défaut (deny by default) qui bloque tout ce qui n'est pas explicitement autorisé. Cette approche est plus sûre que l'inverse, car l'administrateur n'ouvre que ce qui est réellement nécessaire. L'ANSSI recommande de documenter chaque règle et de tester régulièrement la politique de filtrage pour éviter les failles de configuration.

Les pare-feux modernes sont « stateful », c'est-à-dire avec état. Ils maintiennent une table des connexions actives, enregistrant adresses, ports et statut de chaque session. Quand un ordinateur demande une page web, le pare-feu note la requête sortante et accepte automatiquement la réponse correspondante. Un paquet non sollicité arrivant sur le même port ne correspond à aucune entrée de la table, il est donc rejeté. Cette seule distinction élimine une grande part du bruit de fond d'Internet.

Certains pare-feux logiciels adaptent aussi leurs règles au contexte de connexion. Le Pare-feu Windows applique par exemple des profils distincts selon que la machine est connectée à un réseau de domaine, privé ou public, resserrant automatiquement le filtrage dans les lieux publics.

Les principaux types de pare-feux

Le filtrage simple de paquets (stateless) juge chaque paquet isolément, à partir des seuls en-têtes. Rapide mais aveugle au contexte de connexion, il laisse passer des paquets falsifiés. L'inspection avec état (stateful) l'a supplanté dès les années 1990 en mémorisant les sessions en cours.

La forme compte aussi. Un pare-feu matériel est une appliance dédiée placée à la périphérie du réseau, généralement juste derrière le routeur. Un pare-feu logiciel, dit hôte, s'exécute sur chaque appareil et ne protège que celui-ci. Les pare-feux virtuels ou cloud appliquent la même logique aux datacenters sans matériel dédié, au prix d'une dépendance à l'hyperviseur.

Les pare-feux de nouvelle génération (NGFW) combinent inspection avec état, identification des applications, prévention d'intrusion (IPS) et politiques basées sur l'identité. Un pare-feu classique voit du trafic sur le port 443. Un NGFW voit quelle application utilise ce port, et parfois quel utilisateur se trouve derrière. Les modèles récents intègrent des moteurs d'apprentissage automatique capables de repérer des menaces inédites en temps réel.

Pour les environnements sensibles, la France dispose d'un cadre spécifique. L'ANSSI qualifie des pare-feux garantissant un niveau de maîtrise et de non-contournement adapté aux zones exposées à Internet, un critère à considérer pour toute infrastructure critique.

Un exemple concret de règles de filtrage

Rien ne vaut la lecture d'une vraie configuration. Sous Linux, l'outil ufw gère les règles de filtrage du noyau avec des commandes simples :

# Politique par défaut : bloquer tout le trafic entrant
sudo ufw default deny incoming

# Autoriser SSH uniquement depuis le réseau local
sudo ufw allow from 192.168.1.0/24 to any port 22 proto tcp

# Autoriser le trafic web standard
sudo ufw allow 80/tcp
sudo ufw allow 443/tcp

# Activer l'ensemble de règles
sudo ufw enable

Ces commandes deviennent des entrées dans la table de filtrage du noyau. Les lister révèle l'ensemble ordonné des règles et la politique appliquée à tout ce qui ne correspond à rien :

$ sudo iptables -L INPUT -n --line-numbers
Chain INPUT (policy DROP)
num   pkts bytes target prot opt in  out source         destination
1     8412  612K ACCEPT tcp  --  *   *  192.168.1.0/24 0.0.0.0/0    tcp dpt:22
2     3188  402K ACCEPT tcp  --  *   *  0.0.0.0/0      0.0.0.0/0    tcp dpt:443
3      947   61K ACCEPT tcp  --  *   *  0.0.0.0/0      0.0.0.0/0    tcp dpt:80
4    20114 2.1M DROP   all  --  *   *  0.0.0.0/0      0.0.0.0/0

La ligne (policy DROP) matérialise le refus par défaut. Le compteur de la dernière règle donne la mesure du trafic bloqué, plus de 20 000 paquets ici.

Bonnes pratiques d'utilisation

Quelques principes séparent un pare-feu utile d'une fausse sécurité :

Partir d'un refus par défaut, puis n'ouvrir que les flux nécessaires.
Documenter chaque règle avec son motif, pour que la politique reste compréhensible dans six mois.
Tester la politique après chaque changement d'architecture.
Ne jamais désactiver le pare-feu hôte sans justification, même derrière un pare-feu réseau. La défense en profondeur suppose les deux niveaux.
Surveiller les performances, car l'inspection approfondie ajoute de la latence mais améliore nettement la visibilité.

Important : un pare-feu ne remplace pas les autres mesures de sécurité. Il filtre le trafic, mais ne corrige pas une application vulnérable volontairement exposée sur un port ouvert.

Le pare-feu dans l'écosystème réseau

Le pare-feu ne travaille jamais seul. Il s'appuie sur le routage assuré par le routeur, s'installe à la frontière de sous-réseaux délimités par le masque de sous-réseau, et complète des outils comme le serveur proxy, qui filtre le trafic applicatif pour le compte des utilisateurs. Ensemble, ces briques forment l'architecture de défense d'un réseau.

Pour aller plus loin, il faut comprendre comment le trafic circule réellement. Les outils de diagnostic en ligne de DigTrace permettent de suivre le chemin des paquets et de repérer où un filtrage bloque une connexion. C'est la suite logique pour quiconque veut passer de la théorie à la pratique de la sécurité réseau.

Dig Trace