Qu'est-ce qu'un pare-feu avec suivi d'état ?

Un pare-feu avec suivi d'état (SFW) suit l'état des connexions réseau actives dans une table de sessions, en comparant les informations des paquets des couches 2 à 4 (adresses, ports et protocole) à celles des sessions établies avant d'autoriser, de refuser ou de rejeter le trafic correspondant.

Points clés à retenir

• Il suit les connexions dans une table de session au lieu d'analyser chaque paquet individuellement.
• Compare les en-têtes des couches 2 à 4 avec les sessions établies afin d'autoriser, de refuser ou de rejeter le trafic.
• Moins coûteux à mettre en œuvre qu’une inspection approfondie : seuls les paquets entrants font l’objet d’une vérification complète.
• Sur Versa VOS, SFW est une alternative au NGFW au niveau de chaque locataire, et non une solution qui s'ajoute à celui-ci.
• Configuré à l'aide de politiques d'accès sécurisées structurées, comprenant des règles de correspondance et des actions.

Sur cette page : Pourquoi est-ce important ? · Comment ça marche · Types · Pare-feu avec état et Versa · FAQ

Pourquoi un pare-feu avec suivi d'état est-il important ?

Avant l’inspection avec état, les pare-feu filtraient les paquets un par un selon des règles statiques, sans garder en mémoire si un paquet appartenait à une conversation déjà autorisée – une méthode peu efficace, car des paquets usurpés pouvaient imiter un échange autorisé, et lente, car chaque paquet devait faire l’objet d’une évaluation complète. Les pare-feu avec suivi d’état ont résolu ces deux problèmes grâce à une table de sessions : une fois qu’une connexion est autorisée, les paquets suivants sont vérifiés par rapport à cette table plutôt qu’à l’ensemble de la politique, ce qui bloque le trafic n’appartenant pas à une session réelle et suivie.

C'est cette combinaison entre une mise en œuvre plus rigoureuse et des coûts d'exploitation réduits qui a fait de l'inspection avec suivi d'état la norme de référence pour tout pare-feu, et qui explique pourquoi les pare-feu de nouvelle génération continuent d'utiliser un moteur d'inspection avec suivi d'état sous-jacent à leurs fonctionnalités de couche 7, plutôt que de le remplacer. La table d'état permet également de mettre en place des politiques plus riches : les règles peuvent s'appuyer sur le comportement des sessions, les zones et l'heure de la journée, et non plus uniquement sur des paires IP-port.

Qu'est-ce qu'un pare-feu avec suivi d'état ?

Un pare-feu avec suivi d'état classe le trafic en fonction du port de destination, puis suit son état à chaque interaction jusqu'à la fermeture de la connexion. Lorsqu'un paquet arrive, le pare-feu vérifie dans sa table de sessions s'il existe une connexion établie ou une requête correspondante ; s'il ne trouve aucune correspondance, le paquet est alors évalué au regard de la politique d'accès.

Cette politique est un ensemble ordonné de règles combinant des critères de correspondance – en-têtes IP, noms de domaine, services par port et protocole, zones source et destination, emplacement géographique et planification horaire – avec des actions d’application : journalisation (début, fin, les deux ou jamais) et une décision (autoriser, refuser ou rejeter avec une réinitialisation TCP ou un message ICMP « port inaccessible »). Les règles sont évaluées dans l’ordre et la première correspondance prévaut ; ainsi, les règles spécifiques ont priorité sur les règles génériques. Par la suite, les paquets correspondant à une session suivie sont autorisés à passer avec un traitement bien moins lourd qu’une réinspection complète.

Types de pare-feu avec suivi d'état

On distingue trois grandes catégories. L’inspection traditionnelle des paquets avec suivi d’état (SPI) constitue le modèle classique : un suivi de session pur aux couches 3/4 par rapport à une table d’état, sans prise en compte du contenu des applications. Les pare-feu hybrides avec état prenant en charge les ALG (Application Layer Gateways) apportent une aide limitée au niveau de la couche application : une passerelle de couche application (ALG) comprend les protocoles tels que FTP ou SIP qui ouvrent des connexions secondaires dynamiques, et assure leur suivi sans recourir à une inspection approfondie des paquets. Les pare-feu virtuels et logiciels avec état dissocient cette fonction du matériel dédié ; ils s’exécutent plutôt en tant que fonction réseau virtuelle sur un périphérique SD-WAN en périphérie ou une instance cloud — c’est le modèle utilisé aujourd’hui par la plupart des plateformes de « SASE ».

Pare-feu avec suivi d'état & Versa

VOS propose un pare-feu avec suivi d'état comme l'un des deux modes de pare-feu par locataire, aux côtés du pare-feu de nouvelle génération (NGFW) ; un locataire utilise l'un ou l'autre : si une licence inclut le NGFW, les options du pare-feu avec suivi d'état n'apparaissent pas dans l'interface graphique de Director. La configuration suit le même modèle quelle que soit l’option choisie : consultez la section « Configurer le pare-feu avec suivi d’état » pour la procédure standard, ou « Configurer le pare-feu avec suivi d’état (NGFW) » pour la procédure équivalente sur les appareils disposant d’une licence NGFW. VOS associe également une passerelle de couche applicative au pare-feu avec suivi d’état pour des protocoles tels que FTP et SIP. Étant donné que VOS ne déchiffre pas le protocole QUIC, les administrateurs doivent bloquer le trafic QUIC pour que les modules de sécurité fonctionnent correctement.

VOS prenant en charge la multi-location, il est possible d'activer le pare-feu avec suivi d'état pour un locataire tandis qu'un autre utilise un pare-feu de nouvelle génération (NGFW), grâce à des formules d'abonnement telles que « Default-Stateful-FW-Plan » ou « Default-SFW-IPSEC-CGNAT-Plan », qui l'associent à des services comme IPsec et CGNAT. Le pare-feu avec suivi d'état est disponible depuis la version 20.2.

Questions fréquentes

Quelle est la différence entre un pare-feu avec suivi d'état et un pare-feu de nouvelle génération (NGFW) ?

Un pare-feu avec état (SFW) analyse les informations des couches 2 à 4 : adresses, ports et état des sessions. Un pare-feu de nouvelle génération (NGFW) ajoute la reconnaissance des applications de la couche 7, notamment l’inspection approfondie des paquets et l’identification des applications. Sur le VOS d’ Versa , le SFW et le NGFW sont des options disponibles sous licence par locataire ; ils ne sont pas combinés.

Qu'est-ce qu'un pare-feu sans état, et en quoi est-il différent ?

Un pare-feu sans état évalue chaque paquet indépendamment à l'aune de règles statiques, sans conserver de trace des paquets précédents de la connexion. À l'inverse, un pare-feu avec état enregistre chaque connexion dans une table de sessions, de sorte que seul le premier paquet doit faire l'objet d'une évaluation complète au regard de la politique.

Qu'est-ce qu'une table de session (table d'état) ?

Une table d'état répertorie chaque connexion active : adresses source et destination, ports, protocole et état de la connexion. Chaque paquet entrant est d'abord comparé à cette table ; seuls les paquets qui ne correspondent à aucune entrée existante sont évalués au regard de la politique d'accès complète.

Un pare-feu avec suivi d'état peut-il bloquer les menaces au niveau de la couche application ?

Seulement dans une certaine mesure. L'inspection de base s'arrête à la couche 4, bien que les passerelles de couche application l'étendent à des protocoles tels que FTP et SIP qui établissent des connexions secondaires. La détection des logiciels malveillants, des failles d'exploitation ou des menaces dissimulées dans le trafic chiffré nécessite l'inspection de couche 7 fournie par un pare-feu de nouvelle génération (NGFW).

En quoi une connexion rejetée diffère-t-elle d'une connexion refusée ?

Une action de « deny » rejette silencieusement les paquets correspondants sans envoyer de réponse à l'expéditeur. Une action de « reject » rejette également les paquets, mais renvoie un message TCP « reset » ou un message ICMP indiquant que le port est inaccessible ; l'expéditeur est ainsi immédiatement informé, au lieu d'attendre l'expiration du délai d'attente.

En savoir plus sur les pare-feu avec suivi d'état

Si vous souhaitez en savoir plus, voici des sources auxquelles nous faisons confiance.

Termes associés

Si vous vous intéressez aux pare-feu avec suivi d'état, voici quelques articles qui méritent d'être consultés ensuite.