Depuis 2009, Chatelain-Info accompagne les entreprises dans la gestion de leur parc informatique. L’un des défis les plus fréquents auxquels nous sommes confrontés est la sécurisation des accès réseau, en particulier dans les PME où les ressources sont limitées et où la croissance rapide expose à des vulnérabilités critiques. Ce cas pratique illustre comment une société de services de 35 employés a résolu un problème de contrôle d’accès réseau en moins de deux jours, avec des résultats mesurables.
Contexte : une croissance non accompagnée
Notre client, une PME spécialisée dans le conseil en ingénierie, avait doublé ses effectifs en 18 mois. Le réseau d’origine, conçu pour 15 postes, était devenu un maillage complexe de switches non segmentés, de points d’accès Wi-Fi ouverts et de serveurs partagés sans restriction. L’absence de contrôle d’accès réseau (NAC) permettait à n’importe quel employé, stagiaire ou visiteur de se connecter à n’importe quelle ressource, y compris les données sensibles des clients.
Le déclencheur a été un incident : un employé a accidentellement propagé un ransomware via une clé USB infectée, paralysant le serveur de fichiers pendant six heures. L’audit post-incident a révélé que le poste infecté avait accès à l’intégralité du réseau, sans aucune restriction de flux. La direction a alors mandaté Chatelain-Info pour déployer une solution de contrôle d’accès réseau capable de segmenter les utilisateurs, les appareils et les applications.
Les défis spécifiques
Hétérogénéité des équipements
Le parc comprenait des postes fixes sous Windows 10, des laptops macOS, des smartphones Android et iOS, ainsi que des imprimantes réseau et des serveurs Linux. Aucune solution unique ne pouvait gérer tous ces profils sans une couche d’orchestration centralisée.
Absence de politique de sécurité
Il n’existait aucun annuaire centralisé des utilisateurs ni de classification des données. Chaque service (RH, comptabilité, technique) partageait le même VLAN, ce qui rendait le contrôle d’accès réseau impossible sans une refonte complète de l’architecture.
Contrainte de temps
Le client exigeait une mise en œuvre en moins de 72 heures pour limiter l’impact sur la productivité. Une solution traditionnelle de NAC (basée sur des agents ou des certificats) aurait nécessité des semaines de déploiement.
La solution déployée : un NAC basé sur les profils et les ports
Chatelain-Info a opté pour une approche pragmatique : un contrôle d’accès réseau fondé sur la segmentation dynamique des ports et l’authentification 802.1X, combiné à un système de profils utilisateurs stockés dans un Active Directory local. L’objectif était de créer trois zones logiques :
- Zone interne : pour les employés permanents, avec accès complet aux ressources métier.
- Zone visiteurs : accès Internet uniquement, via un SSID dédié.
- Zone isolée : pour les postes non conformes (OS obsolète, antivirus manquant), avec accès restreint au seul serveur de mise à jour.
Phase 1 : Audit et cartographie (4 heures)
Nous avons commencé par inventorier tous les équipements connectés, en identifiant leur adresse MAC, leur type et leur rôle. Cette cartographie a révélé 12 imprimantes non sécurisées et 5 points d’accès Wi-Fi sans mot de passe. Ces éléments ont été immédiatement isolés.
Phase 2 : Déploiement de l’infrastructure NAC (12 heures)
Nous avons installé un serveur RADIUS (FreeRADIUS) sur une machine dédiée, configuré pour interroger l’Active Directory. Les switches ont été reconfigurés pour exiger l’authentification 802.1X sur tous les ports. Pour les appareils ne supportant pas 802.1X (imprimantes, caméras IP), nous avons utilisé des profils MAC bypass, mais en les limitant à des VLAN spécifiques.
Phase 3 : Segmentation et règles de flux (8 heures)
Chaque utilisateur a été affecté à un groupe de sécurité dans l’AD. Les règles de pare-feu interne ont été réécrites pour interdire tout trafic entre les VLANs, sauf autorisation explicite. Par exemple, le VLAN comptabilité ne peut communiquer qu’avec le serveur ERP, tandis que le VLAN technique a accès aux serveurs de développement.
Phase 4 : Tests et validation (24 heures)
Nous avons simulé plusieurs scénarios : connexion d’un employé légitime, tentative d’accès d’un visiteur, branchement d’un poste infecté. Chaque test a confirmé que le contrôle d’accès réseau fonctionnait Replika Omega De Ville Klockor comme prévu. Le temps total de déploiement a été de 48 heures, soit 24 heures de moins que le délai imparti.
Résultats concrets
Réduction des risques
Trois mois après le déploiement, aucun incident de sécurité lié à un accès non autorisé n’a été signalé. Le nombre de tentatives de connexion bloquées (appareils inconnus, mots de passe erronés) s’élève à 47 par semaine en moyenne, contre 0 auparavant Pas Cher Hublot Montres (car aucune détection n’existait).
Gain de productivité
Le service informatique, qui consacrait auparavant 10 heures par semaine à la gestion manuelle des accès (création de comptes, désactivation, dépannage), a vu ce temps réduit à 1 heure. L’automatisation des profils via l’AD a éliminé les erreurs humaines.
Conformité réglementaire
Le client a pu démontrer à son assureur et à ses clients (dont deux grands comptes industriels) qu’il disposait d’un contrôle d’accès réseau conforme aux exigences de la norme ISO 27001. Cela a facilité le renouvellement de contrats représentant 40 % de son chiffre d’affaires.
Enseignements pour les PME
Ce cas illustre que le contrôle d’accès réseau n’est pas réservé aux grandes entreprises. Avec une approche structurée et des outils open source (FreeRADIUS, pfSense), une PME peut sécuriser son réseau en quelques jours, sans investissement matériel lourd. Les clés du succès sont :
- Une cartographie préalable rigoureuse des équipements.
- L’intégration avec l’annuaire existant (Active Directory, LDAP).
- Une segmentation progressive, en commençant par les zones les plus critiques.
- Des tests exhaustifs avant la mise en production.
Depuis cette intervention, Chatelain-Info a déployé des solutions similaires chez cinq autres clients, avec un taux de satisfaction de 100 % et un délai moyen de 72 heures. Le contrôle d’accès réseau est désormais un pilier de notre offre de services, car il répond à un besoin fondamental : savoir qui accède à quoi, quand et comment.