Pourquoi une DMZ ? Le cloisonnement réseau avec OPNsense

9 novembre 2026 · OPNsense · Réseau · Pare-feu

Mettre les serveurs exposés à part du réseau interne, et prouver que ça marche.

Un serveur web ou mail est joignable depuis Internet : c'est la machine la plus exposée. La placer dans le même réseau que les postes et l'annuaire, c'est offrir un tremplin à un attaquant.

Le principe

• WAN : Internet
• DMZ : les serveurs exposés
• LAN : les postes, l’annuaire, les données

Le pare-feu se place au milieu et décide de chaque flux.

Les règles de base

• Tout est refusé par défaut
• WAN vers DMZ : seulement les ports publiés (443 par exemple)
• LAN vers DMZ : administration depuis des postes précis
• DMZ vers LAN : refusé. C’est la règle qui compte

Prouver le blocage

Une règle qu'on n'a pas testée est une supposition. Depuis un serveur de la DMZ, on tente de joindre une machine du LAN, puis on vérifie le refus dans les journaux du pare-feu.

# depuis la DMZ
ping -c 3 192.168.10.10      # doit échouer
nc -zv 192.168.10.10 445     # doit échouer

Dans OPNsense, Firewall > Log Files > Live View montre alors les paquets bloqués. C'est cette preuve qui figure dans un dossier d'audit.