1. Filtrage à double niveau : Groupes de sécurité vs NACLs

La sécurité réseau dans le cloud repose sur une stratégie de défense en profondeur combinant deux pare-feu complémentaires :

Caractéristique Groupe de Sécurité (Security Group) Liste de Contrôle d’Accès Réseau (NACL)
Niveau d’application Interface réseau virtuelle de l’instance (ENI) Frontière du sous-réseau entier
Gestion d’état (State) Avec état (Stateful) : Le trafic retour est autorisé automatiquement. Sans état (Stateless) : Le trafic retour doit être explicitement autorisé.
Règles de filtrage Règles d’autorisation uniquement (Allow only) Règles d’autorisation et d’interdiction (Allow et Deny numérotées)
Comportement par défaut Tout le trafic entrant est bloqué Tout le trafic entrant et sortant est autorisé

2. Exemple de configuration d’un Security Group applicatif

# Création d'un groupe de sécurité pour serveur Web
SG_ID=$(aws ec2 create-security-group --group-name "sg-web-educasuisse" 
    --description "Autorise HTTP, HTTPS et SSH restreint" --vpc-id $VPC_ID --output text)

# Autoriser HTTP (80) et HTTPS (443) depuis n'importe où
aws ec2 authorize-security-group-ingress --group-id $SG_ID --protocol tcp --port 80 --cidr 0.0.0.0/0
aws ec2 authorize-security-group-ingress --group-id $SG_ID --protocol tcp --port 443 --cidr 0.0.0.0/0

# Restreindre l'administration SSH (22) à l'adresse IP fixe du bureau de Genève
aws ec2 authorize-security-group-ingress --group-id $SG_ID --protocol tcp --port 22 --cidr 194.209.10.15/32

3. Interconnexion hybride sécurisée : VPN IPsec vs Liaison Dédiée

Pour relier un réseau on-premise à l’environnement cloud d’entreprise :

  • VPN IPsec Site-à-Site : Tunnel chiffré établi à travers l’Internet public via des protocoles cryptographiques standards (IKEv2, AES-256). Économique, rapide à déployer, mais soumis aux variations de latence de l’Internet public.
  • Liaison Dédiée (AWS Direct Connect / Azure ExpressRoute) : Câble réseau physique dédié reliant votre baie informatique au point de présence de l’hyperscaler (ex: Equinix Zurich / Genève). Débit garanti (1 à 100 Gbps), latence déterministe ultra-faible et absence totale d’exposition à l’Internet.

Règle de sécurité stricte : N’ouvrez jamais le port de management SSH (22) ou RDP (3389) à 0.0.0.0/0 dans un groupe de sécurité. Limitez l’accès à un bastion, à un VPN d’administration ou utilisez un service sans agent comme AWS Systems Manager Session Manager.

PreviousNext