Administration et sécurisation des réseaux - services, filtrage et contrôle d'accès
Le domaine « Administration et sécurisation des réseaux » porte sur l'exploitation des services et leur durcissement : DHCP/DNS, supervision, filtrage, authentification, VPN. On attend une justification des choix de sécurité, pas une liste d'outils.
Services d'infrastructure
DHCP échange en quatre temps (Discover, Offer, Request, Ack) ; un relais relaie les requêtes entre VLAN. DNS organise des zones et des enregistrements A, AAAA, CNAME, MX, PTR ; le TTL règle le cache. NTP n'est pas décoratif : des horodatages cohérents rendent les logs exploitables. SNMP v3 avec authPriv remplace v2c dont la communauté circule en clair ; syslog collecte les événements.
Filtrage et segmentation
Un pare-feu à états suit les connexions : une règle acceptant established/related couvre le retour sans ouvrir de ports éphémères. Les règles se lisent de haut en bas, première correspondance ; la politique par défaut doit être DROP. On segmente en VLAN et DMZ, on applique le moindre privilège, on n'expose pas l'administration sur Internet.
Authentification et chiffrement
AAA sépare authentification, autorisation et traçabilité. RADIUS (UDP 1812/1813) sert 802.1X, où le supplicant, le commutateur authenticator et le serveur échangent via EAPOL. La PKI repose sur une CA, des certificats X.509 et la révocation CRL/OCSP. IPsec (IKEv2, ESP) ou TLS-VPN chiffrent les flux ; l'asymétrique échange les clés, le symétrique chiffre les données.
Exemple travaillé
Politique DROP sur un pare-feu. Règle 1 : accepter established,related. Règle 2 : SSH depuis 10.0.0.0/24 vers 10.0.10.10:22. Règle 3 : HTTP/HTTPS depuis Internet vers 10.0.20.10 (DMZ). Règle 4 : DNS depuis le LAN vers 10.0.10.53:53. Règle 5 : journaliser puis rejeter. Raisonnement : la règle 1 rend inutile l'ouverture des ports hauts en retour ; les règles spécifiques précèdent les règles générales ; le journal du rejet permet de diagnostiquer sans exposer les services.
Pièges qui coûtent des points
Laisser la politique par défaut en ACCEPT ou créer un « any-any » provisoire qui reste en production. Confondre authentification (qui) et autorisation (quoi). Placer le portail invité sur le VLAN d'administration. Écrire un secret dans un script ou un dépôt Git. Croire que chiffrer remplace filtrer. Négliger NTP, puis ne pas pouvoir corréler les journaux.