DevThis a conçu, sécurisé et administre une architecture réseau segmentée sur l’écosystème TP-Link Omada : contrôleur centralisé, passerelle, switchs, bornes Wi-Fi et caméras de surveillance. Les équipements sont répartis dans des réseaux séparés selon leur niveau de confiance, avec des règles de filtrage entre zones et un accès à distance chiffré.
L’organisation accompagnée n’est pas identifiée ici.
Contexte
Le réseau accueillait des usages très différents : postes de travail, appareils mobiles, caméras de surveillance, serveurs, sauvegardes et services en lien avec des machines hébergées à l’extérieur. Tant que tout partage le même réseau, la moindre faille sur un équipement secondaire ouvre un chemin vers les données les plus sensibles.
Il fallait aussi pouvoir administrer l’ensemble à distance sans exposer d’interface sur Internet, et garder une configuration lisible, que l’on puisse vérifier et faire évoluer sans tout reprendre.
Conception et sécurisation
- Plan d’adressage et segmentation : découpage du réseau en plusieurs VLAN selon les usages et le niveau de confiance, avec un plan d’adressage pensé pour cohabiter avec les réseaux de virtualisation, de conteneurs et de VPN.
- Isolement des services critiques : serveurs, sauvegardes et services sensibles regroupés dans une zone dédiée, injoignable depuis les autres segments sauf flux explicitement autorisés.
- Cloisonnement des équipements connectés : caméras et appareils moins maîtrisés séparés des postes et des serveurs, sans accès au-delà de ce dont ils ont besoin.
- Filtrage entre zones : règles ACL construites sur le principe du moindre privilège ; chaque flux autorisé correspond à un besoin identifié, le reste est refusé.
- Traitement des services exposés : toute machine en relation avec un système accessible depuis Internet est considérée comme peu fiable et strictement limitée dans ce qu’elle peut atteindre.
- Accès à distance maîtrisé : administration possible uniquement depuis le réseau local ou à travers un VPN chiffré ; aucune interface d’administration publiée sur Internet.
- Contrôle de la frontière : tests documentés vérifiant que les zones sensibles restent effectivement inaccessibles, à rejouer après chaque modification.
Administration du réseau
- Gestion centralisée : passerelle, switchs, bornes Wi-Fi et caméras pilotés depuis le contrôleur Omada, pour une vue d’ensemble et une configuration cohérente.
- Intégration des nouveaux équipements : chaque appareil ajouté est rattaché au contrôleur et placé dans la zone qui correspond à son usage.
- Réseaux Wi-Fi : réseaux sans fil associés aux segments adaptés, pour que l’accès sans fil respecte le même cloisonnement que le filaire.
- Maintien à jour : suivi et application des mises à jour des équipements, sauvegarde de la configuration du contrôleur.
- Suivi et documentation : description des zones, des flux autorisés et des procédures d’accès, pour intervenir à partir d’un état connu.
Résultat
Le réseau est découpé en zones dont les échanges sont définis et contrôlés. Un équipement compromis reste cantonné à son segment, les services sensibles ne sont joignables que depuis les zones prévues, et l’administration à distance passe par un accès chiffré unique.
La gestion centralisée dans Omada et la documentation associée permettent de faire évoluer l’architecture, par exemple pour accueillir un nouveau service ou de nouveaux équipements, sans remettre en cause l’ensemble.
Ce type de conception fait partie des interventions DevThis pour faire évoluer et sécuriser l’environnement numérique d’une entreprise.