/reseau/index.md

Réseau & zones

Le cloisonnement réseau de LFSi : comprendre les zones, choisir son mode à l'installation, et faire évoluer son zonage ensuite.

Les trois zones de base

Zone	Rôle	Ce qui y écoute
admin	Administration — la zone de confiance	Interface web, SSH
service	Les applications exposées	Les ports déclarés par vos paquets
backup	Les sauvegardes	Les flux de sauvegarde uniquement

Chaque zone a son pare-feu fermé par défaut : rien ne passe qui n'ait été explicitement autorisé.

La règle d'or : la matrice inter-zones

Depuis \ Vers	admin	service	backup
admin	—	autorisé	autorisé
service	refusé	—	refusé*
backup	refusé	refusé	—

* sauf flux de sauvegarde explicitement déclarés.

En clair : seule la zone admin initie des connexions vers les autres. Si une application de la zone service est compromise, elle ne peut pas atteindre l'administration. Les zones personnalisées que vous créez (une DMZ par exemple) entrent dans cette matrice, fermées par défaut.

Choisir son zonage à l'installation

LFSi ne vous impose rien selon votre matériel : vous sélectionnez les cartes à dédier au zonage, puis vous choisissez un mode parmi ceux valides pour ce nombre de cartes.

Avec 1 carte sélectionnée — tout passe par cette carte, séparé par VLAN et pare-feu : 1. service seul (l'admin partage la carte du service → un avertissement de sécurité demande confirmation) ; 2. service + admin ; 3. service + backup + admin.

Avec 2 cartes sélectionnées — l'admin ou le couple backup+admin s'isole : 1. carte A → service / carte B → admin ; 2. carte A → service + backup / carte B → admin ; 3. carte A → service / carte B → backup + admin.

Avec 3 cartes sélectionnées — séparation complète : - une carte par zone : service / backup / admin.

Le principe : plus vous dédiez de cartes, plus la séparation est forte — et l'admin est toujours isolée en priorité.

Et les cartes non sélectionnées ?

Elles restent libres, et s'affectent plus tard depuis l'interface web (Réseau & zones → Cartes non affectées) :

compléter une zone : par exemple donner enfin sa carte dédiée à l'admin (c'est la proposition prioritaire) ;
agréger (teaming/bonding) : additionner deux cartes pour la performance ou la redondance d'une zone ;
créer une zone personnalisée : une DMZ par exemple, avec sa propre politique de pare-feu, intégrée à la matrice inter-zones.

Modifier son zonage au quotidien

Tout se passe dans l'interface web, menu Réseau & zones :

Interfaces & affectation : qui porte quoi ;
Pare-feu par zone : les règles actives (rappel : les ports applicatifs sont gérés automatiquement par les paquets — voir Gestion des paquets) ;
Matrice inter-zones : les autorisations entre zones, modifiables en connaissance de cause — chaque changement est journalisé.

Le fichier de configuration du mappage cartes ↔ zones est validé à chaque démarrage : une incohérence est signalée plutôt qu'appliquée silencieusement.

Bonnes pratiques

Dès que possible, donnez une carte dédiée à la zone admin.
N'élargissez la matrice inter-zones que pour un besoin précis, documenté.
Vérifiez après tout changement : un scan de ports depuis la zone service ne doit jamais atteindre l'interface d'administration.