Trois architectures suffisent à couvrir la quasi-totalité des besoins réseau dans le cloud, et savoir laquelle vous construisez évite de les mélanger. La zone démilitarisée sépare ce qui est exposé de ce qui ne l'est pas ; l'étoile centralise les interconnexions ; la segmentation applicative cloisonne par rôle. Cette page les décrit, donne le critère de choix, et assemble tout ce que le parcours a posé jusqu'ici.
Ce que vous allez apprendre
Section intitulée « Ce que vous allez apprendre »- Reconnaître les trois patrons, et celui que vous utilisez déjà sans le nommer.
- Choisir entre appairages directs et architecture en étoile, avec un seuil chiffré.
- Concevoir une segmentation qui limite la portée d'une compromission.
- Anticiper ce que chaque patron coûte, en euros et en complexité.
- Assembler un plan d'adressage complet, prêt à être appliqué.
Prérequis
Section intitulée « Prérequis »L'ensemble du parcours réseau, en particulier les leçons sur les tables de routage, la sécurité réseau et la connectivité hybride.
Patron 1 : la zone démilitarisée à trois étages
Section intitulée « Patron 1 : la zone démilitarisée à trois étages »C'est le patron que vous construisez presque toujours, même sans le nommer : un étage exposé, un étage applicatif, un étage de données, chacun ne parlant qu'à son voisin immédiat.
| Étage | Ce qu'il contient | Qui peut l'atteindre | Sort vers Internet |
|---|---|---|---|
| Exposé | répartiteur de charge, serveur de rebond | Internet, sur les ports ouverts | oui, par une passerelle Internet |
| Applicatif | serveurs métier | uniquement l'étage exposé | oui, par une passerelle NAT |
| Données | bases, caches | uniquement l'étage applicatif | non |
La valeur du patron ne tient pas au découpage, elle tient à la dernière colonne. Un étage de données qui ne sort pas du tout est un étage depuis lequel une donnée volée ne part pas facilement. C'est la mesure qui gêne le plus un attaquant, et elle ne coûte rien : il suffit de ne pas ajouter de route.
Pour l'implémenter, utilisez le référencement de groupe vu dans la leçon sur le filtrage : la base autorise le groupe applicatif, pas une plage d'adresses. La règle décrit alors le rôle, et elle survit aux changements d'adressage.
Patron 2 : l'étoile, quand les appairages se multiplient
Section intitulée « Patron 2 : l'étoile, quand les appairages se multiplient »L'appairage n'étant pas transitif, relier N réseaux deux à deux demande N × (N − 1) / 2 liens. Le calcul est le seul argument dont vous avez besoin.
| Nombre de réseaux | Appairages nécessaires |
|---|---|
| 3 | 3 |
| 5 | 10 |
| 8 | 28 |
| 12 | 66 |
Le seuil pratique se situe entre trois et cinq réseaux. En dessous, l'appairage direct est plus simple et souvent moins cher. Au-dessus, chaque ajout devient un chantier, et personne ne sait plus qui parle à qui.
L'architecture en étoile place un réseau central que tous les autres rejoignent. Chaque réseau périphérique n'a plus qu'un seul lien, et le centre héberge ce qui est commun : la connexion vers le datacenter, la sortie Internet mutualisée, les services partagés comme le DNS interne ou l'annuaire.
Ce que le centre apporte vraiment, au-delà du nombre de liens, c'est un point de passage unique où appliquer une politique. Un filtrage, une journalisation, une inspection : écrits une fois au centre, ils s'appliquent à tout le monde. C'est aussi, symétriquement, un point de défaillance unique qu'il faut traiter comme tel.
| Appairages directs | Étoile | |
|---|---|---|
| Nombre de liens | quadratique | linéaire |
| Point d'application d'une politique | chaque lien | le centre |
| Latence entre périphéries | directe | double saut par le centre |
| Coût | trafic entre pairs | trafic, plus le concentrateur |
| Point de défaillance unique | non | oui, à redonder |
Le double saut mérite attention : deux réseaux périphériques qui échangent beaucoup paient deux fois le trajet, en latence et souvent en facturation. Si deux périphéries sont très bavardes entre elles, un appairage direct en plus de l'étoile reste légitime.
Patron 3 : la segmentation par rôle
Section intitulée « Patron 3 : la segmentation par rôle »Le troisième patron consiste à cloisonner par domaine fonctionnel plutôt que par étage technique, et il s'ajoute aux deux premiers plutôt qu'il ne les remplace.
L'idée tient en une question : si cette application est compromise, jusqu'où l'attaquant peut-il aller ? Dans une architecture à trois étages sans segmentation, tous les serveurs applicatifs se parlent, donc compromettre le moins important donne accès aux autres.
La segmentation par rôle sépare les domaines qui n'ont pas besoin de se parler : la facturation ne joint pas la messagerie, l'outil interne de gestion ne joint pas la production. Chacun a son groupe de sécurité, et les échanges nécessaires sont déclarés un par un.
Le coût de ce patron est humain, pas financier. Il ne consomme aucune ressource supplémentaire, et il demande de savoir qui parle à qui, donc de documenter les flux. C'est précisément ce travail que la plupart des équipes n'ont jamais fait, et c'est pourquoi la segmentation reste rare alors qu'elle est gratuite.
Assembler : un plan complet
Section intitulée « Assembler : un plan complet »Voici le plan d'adressage d'une architecture à trois étages, répartie sur trois zones, prête à être appliquée. Il reprend le dimensionnement de la leçon sur les sous-réseaux.
| Rôle | Zone A | Zone B | Zone C |
|---|---|---|---|
| Exposé | 10.20.1.0/24 | 10.20.2.0/24 | 10.20.3.0/24 |
| Applicatif | 10.20.11.0/24 | 10.20.12.0/24 | 10.20.13.0/24 |
| Données | 10.20.21.0/24 | 10.20.22.0/24 | 10.20.23.0/24 |
Le réseau est un /16, 10.20.0.0/16. La numérotation laisse volontairement
des trous : les dizaines séparent les rôles, ce qui rend une adresse lisible au
premier coup d'œil. Voir 10.20.22.7 suffit à savoir qu'il s'agit d'une base de
données en zone B.
Les tables de routage qui vont avec :
| Sous-réseaux | Route 0.0.0.0/0 vers | Conséquence |
|---|---|---|
| Exposés | passerelle Internet | joignables depuis Internet |
| Applicatifs | passerelle NAT | sortent, ne sont pas joignables |
| Données | aucune route | ne sortent pas, ne sont pas joignables |
Choisir votre patron
Section intitulée « Choisir votre patron »-
Combien de réseaux devez-vous relier ? Moins de quatre, appairages directs. Au-delà, étoile.
-
Devez-vous appliquer une politique commune ? Journalisation centralisée, inspection, filtrage uniforme : l'étoile vous les donne en un seul endroit.
-
Deux périphéries échangent-elles beaucoup ? Ajoutez un appairage direct entre elles, en plus de l'étoile, pour éviter le double saut.
-
Que se passe-t-il si une application est compromise ? Si la réponse est « il atteint tout le reste », la segmentation par rôle est votre prochain chantier, et elle ne coûte que du temps.
À retenir
Section intitulée « À retenir »- Trois étages, et le dernier ne sort pas. L'étage de données sans route vers Internet est la mesure la moins chère et la plus gênante pour un attaquant.
- Relier N réseaux deux à deux demande N × (N − 1) / 2 liens. Au-delà de quatre, passez à l'étoile.
- L'étoile donne un point d'application unique pour vos politiques, et un point de défaillance unique à redonder.
- Deux périphéries bavardes méritent un appairage direct, malgré l'étoile, pour éviter le double saut.
- La segmentation par rôle ne coûte rien en ressources, seulement le travail de documenter les flux. C'est pour cela qu'elle est rare.
- Numérotez vos sous-réseaux par dizaines selon le rôle : une adresse devient lisible sans consulter la documentation.
- Trois zones, c'est trois passerelles NAT et du trafic inter-zones facturé. Réservez la répartition complète à la production.