Introduction
Votre fournisseur d’accès vous a donné une box. Vous pensez être protégé. Vous ne l’êtes pas.
Le firmware de la box n’a pas été mis à jour depuis 2 ans. Elle utilise l’identifiant et le mot de passe d’usine. Elle n’a pas d’IDS/IPS (système de détection et de prévention d’intrusion). Vos caméras connectées et thermostats sont sur le même réseau que le logiciel de comptabilité et la base de données clients.
Dans cet article, nous vous montrons comment mettre en place une protection réseau professionnelle pour une fraction du coût – avec les mêmes fonctionnalités que celles que les grandes entreprises paient des milliers d’euros. Voir notre configuration firewall/VPN avec le N1121.
Qu’est-ce qu’un firewall ?
Un firewall (pare-feu) est un appareil qui inspecte chaque paquet de données entrant ou sortant de votre réseau, et décide ce qui passe et ce qui est bloqué. Imaginez un agent de sécurité à l’entrée du bâtiment – il contrôle chaque visiteur et ne laisse passer que les personnes autorisées.
Comment fonctionne le firewall
Filtrage de paquets
Blocage du trafic indésirable par adresse IP et par port. Basique, mais efficace comme première ligne de défense.
Stateful Inspection
Suivi de l’état des connexions. Blocage des paquets invalides qui n’appartiennent à aucune session légitime.
Couche applicative
Deep Packet Inspection – blocage des malwares, filtrage DNS et contrôle des applications.
Important : Votre box possède un firewall NAT élémentaire – c’est comme fermer la porte d’entrée en laissant les fenêtres ouvertes. Un vrai firewall en fait 100× plus.
Pourquoi la box de l’opérateur ne suffit pas ?
Box opérateur
- ×NAT uniquement – aucune inspection réelle du trafic
- ×Pas d’IDS/IPS (détection et prévention des attaques)
- ×Pas de serveur VPN pour l’accès à distance
- ×Firmware en retard de 6–12 mois sur les vulnérabilités
- ×Ni journaux, ni alertes
- ×L’opérateur a un accès distant à l’appareil
Firewall dédié
- Stateful Inspection de chaque paquet
- IDS Snort/Suricata pour détecter les attaques
- Serveur VPN (OpenVPN, WireGuard, IPsec)
- Vous contrôlez les mises à jour et la configuration
- Journaux complets et supervision en temps réel
- Votre matériel – vous seul y avez accès
Télétravail
Tunnel VPN sécurisé pour les collaborateurs en télétravail. Accès aux ressources de l’entreprise sans risque.
Segmentation IoT
Caméras et thermostats dans un VLAN isolé – sans accès au réseau de l’entreprise.
Blocage des publicités
Au niveau du réseau, Pi-hole via pfBlockerNG – aucune publicité sur tout le réseau.
Réseau invités
Internet pour les visiteurs sans accès aux ressources et fichiers internes.
VPN pour le télétravail
VPN (Virtual Private Network) crée un tunnel chiffré entre votre appareil et le réseau du bureau/de la maison. Imaginez un couloir privé à travers Internet – personne ne peut écouter ce qui y passe.
Comment fonctionne la connexion VPN
OpenVPN
- Protocole mûr et éprouvé
- Large choix de clients (Windows, macOS, iOS, Android)
- 200–400 Mbit/s avec accélération matérielle AES-NI
- Configuration facile avec l’assistant pfSense
Tailscale
- Basé sur WireGuard, sans redirection de ports
- Fonctionne derrière un NAT sans configuration
- Réseau maillé – tous les appareils se connectent directement
- Gratuit pour un usage personnel (jusqu’à 100 appareils)
Pourquoi Tailscale ? Contrairement aux solutions VPN traditionnelles, Tailscale ne nécessite pas d’ouvrir de ports sur la box. Les appareils se trouvent automatiquement et se connectent directement. Idéal pour qui veut un VPN sans configuration technique.
Scénarios typiques : Accès au NAS depuis la maison, VPN site à site entre deux bureaux, protection sur les Wi-Fi publics des hôtels et aéroports. Avec le N1121 et l’accélération AES-NI, tout cela fonctionne avec une latence minimale.
Segmentation réseau pour l’IoT
VLAN (Virtual LAN) permet de créer des réseaux virtuels au sein d’une infrastructure physique. Chaque VLAN est isolé – les appareils d’une zone ne voient pas ceux d’une autre, sauf autorisation explicite.
Architecture réseau avec segmentation VLAN
Les lignes rouges indiquent le trafic bloqué entre les zones
Zone de confiance (VLAN 10)
Ordinateurs, téléphones, imprimantes – accès complet à Internet et aux ressources internes. C’est là que se trouvent vos postes de travail et serveurs.
Zone IoT (VLAN 20)
Caméras, capteurs, objets connectés – Internet limité, sans accès à la zone de confiance. Si la caméra est compromise, elle n’a aucun chemin vers le logiciel de comptabilité.
Zone invités (VLAN 30)
Wi-Fi pour les visiteurs – Internet uniquement. Aucune visibilité sur les fichiers internes, les imprimantes ou les appareils.
Pourquoi c’est important : La segmentation signifie qu’une caméra compromise ne peut pas atteindre le serveur de comptabilité. Chaque zone est un mur – une intrusion dans l’une n’affecte pas les autres.
N1121 : votre forteresse réseau
3× 2.5G LAN
WAN + LAN + OPT/DMZ – trois zones physiques. Pas besoin d’un switch administrable pour une segmentation de base.
Intel AES-NI
Chiffrement matériel pour un VPN rapide. OpenVPN à plus de 200 Mbit/s, WireGuard à plus de 800 Mbit/s sans surcharger le processeur.
<15W sans ventilateur
Toujours allumé, silencieux. Il consomme moins qu’une ampoule LED. On l’oublie.
TPM 2.0
Secure boot et disque chiffré. Si quelqu’un vole l’appareil, les données restent protégées.
pfSense ou OPNsense ? Les deux fonctionnent parfaitement sur le N1121. pfSense a une communauté plus large et plus de documentation. OPNsense propose une interface plus moderne et des mises à jour plus fréquentes. Le choix est une affaire de préférence – les deux sont gratuits, open source et de niveau entreprise.
Comparaison des coûts
| Fortinet FortiGate 40F | Cisco Meraki MX64 | N1121 + pfSense | |
|---|---|---|---|
| Utilisateurs VPN | Inclus | Inclus | Illimités |
| IDS/IPS | Inclus | Inclus | Suricata (gratuit) |
N1121 – paramètres clés
3× 2.5G
ports LAN
AES-NI
chiffrement matériel
<15W
consommation sans ventilateur
Conclusion
La sécurité réseau de niveau entreprise n’est plus une question de budget. Avec le N1121 et pfSense/OPNsense, vous obtenez les mêmes fonctionnalités que Fortinet et Cisco – stateful firewall, IDS/IPS, VPN, segmentation VLAN – sans licences annuelles.
Pour un petit bureau, un réseau domestique ou comme firewall complémentaire dans une infrastructure plus grande – le N1121 est le gardien silencieux qui fonctionne 24/7 sans que vous remarquiez sa présence.
Configurations recommandées
Mini PC pour firewall, VPN et sécurité réseau.
