Segmentation réseau

Séparer les couches publique, applicative et données en sous-réseaux avec des règles strictes entre eux. Un serveur web compromis ne doit pas pouvoir atteindre directement la base.

Où on le retrouve dans les vrais systèmes

  • Réseau privé

    Seuls les load balancers vont dans les sous-réseaux publics ; bases et serveurs applicatifs restent privés. Les groupes de sécurité n'autorisent ensuite que le trafic utile à chaque couche.

    En production : AWS VPC, Azure Virtual Network, Google VPC

  • Accès d'administration sécurisé

    Au lieu d'ouvrir SSH ou les ports de base sur Internet, les ingénieurs passent par un bastion ou un proxy fondé sur l'identité, avec des identifiants éphémères et l'enregistrement des sessions.

    En production : AWS Systems Manager Session Manager, Teleport, Google IAP, Azure Bastion, Tailscale

  • Endpoint privé

    Le trafic vers le stockage, les files ou les API partenaires reste sur la dorsale du fournisseur au lieu de traverser Internet par une passerelle NAT : plus sûr, et souvent bien moins cher au gigaoctet.

    En production : AWS PrivateLink, Azure Private Link, Google Private Service Connect, VPC gateway endpoints

Regarde-le casser, puis répare-le

Construis une architecture, envoie-lui une journée de trafic et de pannes, et comprends pourquoi elle tient ou cède. Gratuit pour commencer.

Ouvrir le parcours Ouvrir le bac à sable