Configuration de routeurs, commutateurs et pare-feu au Rwanda

Qu’est-ce que ce travail de configuration, et qui en a besoin

Il couvre trois types d’équipements qui fonctionnent ensemble. Les commutateurs relient les appareils et affectent chaque port au bon VLAN. Les routeurs acheminent le trafic entre VLAN, entre sites et vers internet. Les pare-feu appliquent des règles qui décident du trafic autorisé. Les faire correspondre à la conception réseau est ce qui rend la segmentation réelle plutôt que théorique, et ce qui garde un trafic fluide.

Le problème qu’il résout

Une configuration non revue ou d’usine crée un écart entre ce qu’une organisation croit qu’il se passe et ce que fait réellement le matériel. Constats fréquents : un pare-feu qui laisse sortir presque tout le trafic ; des VLAN dessinés sur un schéma mais jamais configurés sur les commutateurs ; des règles de routage que personne ne sait expliquer ; une bascule internet jamais testée ; et des interfaces d’administration accessibles depuis le Wi-Fi invités. Chacun est un risque, et beaucoup provoquent aussi une connectivité lente ou instable.

Nos principes de configuration

Tout refuser par défaut, autoriser selon le besoin. Le trafic entre segments et vers internet est autorisé parce qu’un système en a besoin, chaque autorisation étant documentée, plutôt que tout ouvrir et bloquer quelques éléments.

L’administration reste séparée. L’administration des commutateurs, routeurs et pare-feu n’est accessible que depuis un réseau d’administration protégé, les comptes par défaut sont supprimés et les accès administrateur sont individuels et journalisés.

Une configuration cohérente des commutateurs. Chaque port est soit affecté délibérément à un VLAN, soit désactivé, et les ports inutilisés ne rejoignent pas discrètement le réseau du personnel.

Une bascule démontrée. Lorsqu’il y a deux liaisons internet, la bascule est configurée puis testée en débranchant la liaison principale.

Des configurations sauvegardées. La configuration de chaque appareil est sauvegardée après chaque modification, pour qu’un appareil défaillant puisse être remplacé et restauré en quelques minutes.

Modifier un réseau en production en toute sécurité

La plupart des configurations se font sur des réseaux en cours d’utilisation. Avant toute modification, nous sauvegardons la configuration actuelle de chaque appareil concerné. Les changements se font pendant un créneau convenu, par petites étapes, avec un retour arrière écrit pour chacune. Lorsqu’une erreur pourrait couper l’accès à distance, nous conservons une voie d’accès hors bande, pour annuler une mauvaise modification sans devoir se rendre sur site.

Ce que comprend le travail

1. Audit. Pour les réseaux existants, nous exportons et examinons les configurations actuelles, en documentant ce qui est réellement paramétré et ce qui ne sert plus.
2. Plan. Nous reportons la conception sur chaque appareil : VLAN par port de commutateur, routes, zones du pare-feu et règles entre elles.
3. Configuration. Nous appliquons les changements pendant un créneau planifié, dans un ordre qui garde le réseau accessible tout du long.
4. Accès à distance. Si nécessaire, nous mettons en place un accès VPN avec des comptes individuels.
5. Tests. Nous vérifions que le trafic prévu passe, que le trafic non prévu est bloqué et que la bascule fonctionne.
6. Documentation. Nous remettons le registre des règles, les schémas et les sauvegardes de configuration.

Ce qui est inclus et ce qui ne l’est pas

Délais habituels et ce qui détermine le coût

La configuration d’un réseau d’un seul site prend généralement un à trois jours, selon le nombre de règles et de VLAN nécessaires et la nécessité d’auditer d’abord la configuration existante. Le coût dépend du nombre d’appareils, de VLAN et de sites, des besoins d’accès à distance, et de la quantité de configuration existante non documentée à comprendre avant de pouvoir la modifier sans risque.

Équipements généralement utilisés

La configuration s’applique au matériel de routage, de commutation et de pare-feu en place ou en cours d’installation. Nous travaillons avec les fabricants reconnus, à condition que le matériel gère ce que la conception exige, comme le marquage VLAN, le routage inter-VLAN, le VPN et le filtrage par règles, et reçoive encore des mises à jour de sécurité de son fabricant.

Les erreurs que nous voyons souvent

Des pare-feu laissés sur des règles par défaut qui « autorisent presque tout ». Des VLAN conçus mais jamais configurés sur les commutateurs. Un accès VPN par un compte partagé, si bien que personne ne sait qui s’est connecté et que les partants gardent leur accès. Des interfaces d’administration exposées sur internet avec des mots de passe par défaut. Des listes de règles qui grossissent pendant des années sans annotation, si bien que personne n’ose rien supprimer. Et des configurations jamais sauvegardées, si bien qu’un seul appareil en panne oblige à tout reconstruire de mémoire.