Qu'est-ce qu'une règle d'accès ?

Une règle d'accès est un objet de stratégie, configuré au niveau du système ou du locataire dans Versa Director, qui compare le trafic ou les demandes d'accès à des critères (tels que le nom d'utilisateur, le rôle, l'état de sécurité de l'appareil ou l'emplacement source) et renvoie une décision d'autorisation ou de refus. Les règles sont évaluées de haut en bas ; leur ordre détermine donc quelle correspondance s'applique.

Points clés à retenir

• Les règles d'accès filtrent le trafic en fonction de l'utilisateur, du groupe, du rôle, de l'appareil ou de l'emplacement.
• Les règles sont évaluées de haut en bas ; un contrôle « Reorder » modifie l'ordre de priorité.
• L'action principale consiste à « autoriser » ou à « refuser », et s'applique à la première règle correspondante.
• SASE Les déploiements utilisent à la fois des règles d'accès de type « avec client » et « sans client ».
• Concerto définit des règles d'accès dans le cadre de son processus de gestion de l'SASE , de bout en bout.

Sur cette page : Pourquoi est-ce important ? · Comment ça marche · Types · Règles d’accès et Versa · FAQ

Pourquoi les règles d'accès sont-elles importantes ?

Les règles d’accès transforment une politique de sécurité générale en une application spécifique à chaque utilisateur et à chaque appareil. Sans elles, un administrateur ne dispose que de contrôles globaux : un service est activé ou désactivé pour tous les utilisateurs derrière une passerelle. Grâce à elles, l’accès peut dépendre de l’identité de la personne qui en fait la demande, de l’appareil utilisé et de l’emplacement, et chaque condition peut être accordée ou révoquée indépendamment. Cette précision est au cœur même du fonctionnement d’une approche « Zero Trust » : rien n’est considéré comme fiable par défaut simplement parce qu’une connexion a atteint la périphérie du réseau.

L'ordre des règles est tout aussi important que leur contenu. Étant donné que les règles d'accès sont évaluées de haut en bas et que la première correspondance l'emporte, des règles identiques présentées dans un ordre différent peuvent produire des résultats opposés. Un contrôle dédié au réordonnancement (premier, dernier ou position spécifique) existe précisément parce que le bon ordre des règles fait autant partie de la conception que la rédaction des règles elles-mêmes.

Qu'est-ce qu'une règle d'accès ?

D'un point de vue structurel, une règle d'accès associe des critères de correspondance à une action. Les critères de correspondance comprennent généralement le système d'exploitation, les utilisateurs ou groupes d'utilisateurs concernés, l'état de sécurité du terminal (profil d'information du terminal, statut de conformité de l'appareil ou niveau de risque de l'entité) et l'emplacement source ou l'adresse IP. L'action peut être « Autoriser » ou « Refuser » ; une requête autorisée passe par d'autres paramètres, tels que le groupe de passerelles chargé de la traiter, tandis qu'une requête refusée est immédiatement rejetée.

Les administrateurs créent une règle à l'aide d'un assistant qui les guide étape par étape à travers chaque critère de correspondance et chaque catégorie d'action, puis passent par une étape de « Vérification et configuration » avant de l'enregistrer. La règle enregistrée vient s'ajouter à une liste triée que Director ou Concerto évalue de haut en bas ; des opérations d'ajout, de clonage, de réorganisation et de suppression sont ensuite disponibles pour gérer cette liste.

Types de règles d'accès

Deux familles de règles régissent l’accès sécurisé à SASE . Les règles d’accès basées sur un client régissent le client Versa SASE installé sur les appareils des utilisateurs finaux (Windows, macOS, iOS, Android et Linux) ; elles effectuent une correspondance en fonction du système d’exploitation, de l’utilisateur ou du groupe, de l’état de sécurité du terminal et de l’emplacement, puis redirigent le trafic autorisé vers une passerelle cloud Versa , directement vers Internet, ou le bloquent. Les règles d’accès sans client appliquent le même modèle d’autorisation/refus à l’accès via navigateur, pour les utilisateurs accédant à des applications protégées sans installer de logiciel client.

Dans le cadre des règles basées sur le client, une distinction supplémentaire s’opère au niveau du trafic et des actions : l’option « Breakout to Internet » achemine le trafic privé via le tunnel tandis que le trafic destiné à Internet sort localement (tunnel partagé), et l’option « Send Apps to Versa Cloud Gateway » achemine tout le trafic vers la passerelle, à l’exception des exclusions sélectionnées. Les options disponibles dépendent du type d’abonnement du locataire.

Règle d'accès & Versa

Concerto définit les règles d'accès dans le cadre d'une étape spécifique de son processus « SASE », une fois que les utilisateurs et les groupes, les tunnels de site à site et les profils d'accès sécurisés basés sur les clients ont déjà été mis en place. La création s’effectue en plusieurs étapes : sélection des critères de correspondance (système d’exploitation, utilisateurs/groupes d’utilisateurs, état de sécurité des terminaux à l’aide des profils d’informations sur les terminaux, ainsi que la localisation géographique et l’adresse IP de la source), puis définition des actions (action sur le trafic, passerelles, configuration client – y compris l’authentification multifactorielle et le type de VPN – et profil d’agent issu de l’EIP), et enfin révision et configuration.

Le guide de configuration de bout en bout de Concerto SASE décrit en détail cette séquence complète, tandis que le document consacré à la configuration des règles d’accès sécurisé par client d’ SASE détaille chaque étape de manière approfondie, y compris les mécanismes de réorganisation qui régissent l’ordre d’évaluation.

Questions fréquentes

Quelle est la différence entre les critères de correspondance d'une règle d'accès et son action ?

Les critères de correspondance déterminent à quel trafic une règle s'applique : système d'exploitation, utilisateur ou groupe, état de sécurité du terminal, et emplacement ou adresse IP d'origine. L'action définit ce qu'il advient du trafic correspondant : « Autoriser », avec des options de routage supplémentaires, ou « Refuser », ce qui entraîne son rejet pur et simple.

Pourquoi l'ordre des règles d'accès est-il important ?

Les règles d'accès sont évaluées de haut en bas, et la première règle correspondante détermine le résultat. Il est possible de réorganiser l'ordre des règles – pour qu'elles soient traitées en premier, en dernier ou à une position spécifique – ; ainsi, le déplacement d'une règle modifie le trafic qu'elle intercepte avant une règle plus générale située plus loin dans la liste.

Quelle est la différence entre les règles d'accès « avec client » et « sans client » ?

Les règles d'accès basées sur le client régissent le trafic provenant du client « Versa » (SASE ) installé sur l'appareil d'un utilisateur, en fonction du système d'exploitation, de l'utilisateur et de l'état de sécurité du terminal. Les règles d'accès sans client appliquent le même modèle d'autorisation ou de refus à l'accès via un navigateur, pour les utilisateurs accédant à des applications protégées sans installer de logiciel client.

Une règle d'accès peut-elle se fonder sur l'état de sécurité de l'appareil, et pas uniquement sur l'identité de l'utilisateur ?

Oui. Les critères de correspondance de l'état de sécurité des terminaux permettent à une règle de faire référence à un profil d'informations sur les terminaux, à l'état de conformité d'un appareil ou à une fourchette de risque d'une entité. Ainsi, l'accès peut dépendre de l'état de sécurité actuel d'un appareil, en plus de l'identité de la personne qui demande l'accès et de l'endroit d'où elle le fait.

Que se passe-t-il au niveau du trafic lorsqu'une règle d'accès a pour action « Refuser » ?

La règle rejette immédiatement tout trafic répondant à ses critères, et les étapes de configuration suivantes, telles que la sélection de la passerelle et les paramètres client, sont ignorées pour cette règle, puisqu'il ne reste plus de trafic autorisé sur lequel elles pourraient s'appliquer. Aucune autre règle n'est évaluée pour cette requête.

En savoir plus sur les règles d'accès

Si vous souhaitez en savoir plus, voici des sources auxquelles nous faisons confiance.

Termes associés

Si vous vous renseignez sur les règles d'accès, voici quelques éléments qui méritent d'être consultés ensuite.