Que faut-il vérifier avant de renouveler un firewall sans reproduire les fragilités de l’existant ?

Dans beaucoup de PME, le renouvellement d’un firewall arrive dans l’urgence : matériel en fin de vie, changement d’opérateur, ajout d’un nouveau site ou incident de sécurité qui pousse à agir vite. Le réflexe est alors de remplacer l’équipement à l’identique, de migrer la configuration et de remettre le réseau en route au plus vite. Sur le papier, cela semble simple. Sur le terrain, c’est souvent là que les problèmes recommencent ⚠️

On retrouve des règles accumulées depuis des années, des accès ouverts pour d’anciens prestataires, des VPN dont plus personne ne sait vraiment à quoi ils servent, ou des flux métiers critiques mélangés à des usages bureautiques classiques. Résultat : le nouveau firewall hérite des mêmes lenteurs, des mêmes angles morts et parfois des mêmes risques de sécurité que l’ancien.

Un renouvellement de firewall doit donc être traité comme un sujet d’architecture et de continuité de service, pas comme un simple achat matériel. Avant de choisir un modèle ou de planifier une migration, il y a plusieurs vérifications indispensables à faire pour éviter de déplacer les fragilités au lieu de les corriger.

Commencer par auditer l’existant, pas par choisir le matériel

Le premier risque, c’est de lancer un renouvellement en partant du catalogue constructeur au lieu de partir des usages réels. Un firewall en production filtre, route, interconnecte, protège, priorise parfois certains flux et sert souvent de point d’entrée pour des accès distants. S’il est remplacé sans audit, vous prenez le risque de conserver une configuration devenue incohérente avec votre activité.

Dans les faits, on voit souvent des règles ouvertes pour des applications abandonnées, des NAT créés pour des serveurs qui n’existent plus, ou des exceptions temporaires jamais refermées. Ces éléments passent inaperçus jusqu’au jour où une migration bloque un service, dégrade les performances ou expose inutilement un système.

Avant tout remplacement, il faut donc identifier clairement ce que fait réellement le firewall actuel : quels flux il autorise, quels sites ou équipements il relie, quels services métiers en dépendent, et quelles sont les zones de doute. C’est ce travail de lecture de l’existant qui permet de distinguer ce qu’il faut conserver, corriger ou supprimer 🔍 Pour cadrer cette étape, un audit IT et réseau préalable permet souvent d’éviter des erreurs de reprise coûteuses.

Un firewall neuf avec une configuration ancienne reste souvent un ancien problème dans un boîtier plus récent.

Nettoyer les règles, les accès et les interconnexions oubliées

La base d’un bon renouvellement, c’est un nettoyage sérieux des règles. Dans beaucoup d’environnements, les règles s’empilent avec le temps : ouverture d’un port pour un nouvel outil, accès temporaire pour un intégrateur, interconnexion entre deux sites, ajout d’une maintenance distante. Quelques années plus tard, personne ne sait plus vraiment si tout cela est encore utile.

Le problème n’est pas uniquement la sécurité. Une base de règles trop chargée ou mal structurée complique aussi l’exploitation quotidienne. En cas d’incident, vos équipes perdent un temps considérable à comprendre pourquoi un flux passe, pourquoi un autre est bloqué, ou pourquoi un prestataire se connecte encore à un environnement qu’il ne gère plus. Ce coût caché est très concret : retards, interventions inutiles et erreurs de diagnostic 😐

• les règles obsolètes ou sans propriétaire identifié ;
• les ouvertures Internet publiées sans nécessité actuelle ;
• les accès distants prestataires encore actifs ;
• les flux inter-sites ou inter-VLAN non documentés ;
• les objets, alias et groupes devenus incohérents avec l’infrastructure réelle.

Ce travail est particulièrement important dans les entreprises multi-sites ou les environnements industriels. Un tunnel mis en place pour un parc isolé, un routeur 4G/5G de secours, une SIM M2M associée à un équipement terrain ou une connexion VPN vers un automate peuvent créer des dépendances très spécifiques. Si elles sont mal reprises lors du renouvellement, vous pouvez générer des coupures discrètes mais critiques pour l’exploitation. Dans ce contexte, il est utile de revoir aussi l’interconnexion multi-sites pour fiabiliser les échanges entre sites et liens de secours.

Vérifier les usages réels : VPN, segmentation, télémaintenance et multi-sites

Remplacer un firewall sans revalider les usages réseau, c’est souvent reconduire une architecture devenue inadaptée. Le télétravail, les outils cloud, les sites secondaires, les ateliers connectés ou les équipements techniques distants ont profondément changé les besoins sur les dernières années. Un firewall qui convenait il y a cinq ans peut aujourd’hui être sous-dimensionné ou mal positionné.

Il faut notamment revoir les VPN site-à-site et les accès nomades. Certains tunnels servent à des échanges critiques entre agences, d’autres ne transportent presque plus rien. Certains accès distants ne sont actifs qu’en maintenance, mais doivent rester fiables à toute heure. C’est aussi le moment de vérifier si l’authentification est suffisante, si les droits sont bien segmentés et si les accès prestataires sont réellement maîtrisés. Les recommandations de l’ANSSI peuvent d’ailleurs servir de référence utile pour structurer cette revue.

La segmentation mérite la même attention. Dans beaucoup de PME, les serveurs, les postes utilisateurs, la VoIP, le Wi-Fi invité, les équipements industriels ou les systèmes de supervision se retrouvent sur des segments trop perméables. Le firewall n’est pas là uniquement pour filtrer Internet ; il doit aussi aider à contenir les mouvements latéraux et à isoler les flux selon leur criticité 🛡️ Une approche plus globale de la sécurité réseau, firewall et VPN permet de remettre ces usages à plat.

Sur des environnements techniques, ce point devient encore plus sensible. Un site isolé, un parc photovoltaïque ou une infrastructure industrielle n’a pas les mêmes contraintes qu’un siège administratif. Latence, secours opérateur, télémétrie, maintenance constructeur, supervision distante : le renouvellement doit tenir compte de ces réalités terrain, sinon le nouveau firewall sera conforme sur le papier mais pénalisant en exploitation.

Le bon dimensionnement d’un firewall ne se juge pas seulement au débit Internet, mais à l’ensemble des flux métiers, VPN, inspections et scénarios de secours qu’il devra réellement supporter.

Ne pas sous-estimer la continuité de service et la performance

Un firewall n’est pas seulement un point de contrôle de sécurité. C’est aussi un maillon central pour la disponibilité du réseau. Si vous le remplacez sans analyser les liens opérateurs, la redondance, les bascules et la charge réelle, vous pouvez créer un nouveau point faible. C’est fréquent lors d’un changement de fibre, d’un passage au SD-WAN ou d’une réorganisation entre plusieurs sites.

Beaucoup d’entreprises pensent être correctement secourues parce qu’elles ont deux accès Internet. En pratique, les deux liens arrivent parfois chez le même opérateur, la bascule n’a jamais été testée, ou certains flux critiques ne repassent pas correctement sur le lien de secours. Le jour de la panne, la navigation revient, mais l’ERP distant, la téléphonie ou la supervision ne suivent pas. Cela donne une impression trompeuse de continuité de service.

Il faut aussi regarder les performances réelles attendues : débit chiffré, nombre de tunnels VPN, inspection de trafic, filtrage web, antivirus réseau, applications cloud, interconnexions multi-sites. Un équipement qui paraît suffisant sur la fiche technique peut devenir un goulot d’étranglement une fois toutes les fonctions de sécurité activées. Les lenteurs qui en résultent sont souvent attribuées à tort à l’opérateur, alors que le problème vient du dimensionnement réel de la plateforme. Pour les environnements critiques, il est également pertinent de rapprocher ce sujet des enjeux de PRA et PCA informatique.

Pour aller plus loin sur les bonnes pratiques de sécurité réseau et de segmentation, le référentiel du NIST Cybersecurity Framework peut aussi constituer un point d’appui intéressant.

S’assurer que la supervision, les licences et la documentation sont au niveau

Un renouvellement de firewall raté ne se voit pas toujours le jour de la migration. Il se révèle souvent plusieurs semaines plus tard, quand un incident survient et que personne n’a la bonne visibilité. Sans journaux correctement configurés, sans alertes, sans sauvegardes de configuration et sans documentation à jour, le nouvel équipement devient aussi opaque que l’ancien.

La question des licences est tout aussi importante. Beaucoup de décisions sont prises sur le prix d’achat du matériel, en oubliant que les fonctions réellement utiles dépendent souvent d’abonnements : filtrage applicatif, protection web, inspection TLS, sandboxing, VPN avancé, haute disponibilité, reporting. Si ces briques ne sont pas anticipées, vous risquez d’acheter un firewall techniquement capable, mais exploité en mode dégradé.

• journalisation centralisée et lisible ;
• alertes sur les incidents critiques et les coupures de tunnels ;
• sauvegardes de configuration testées ;
• schémas réseau et matrice de flux à jour ;
• inventaire clair des dépendances métiers et des accès tiers.

Cette documentation change tout au quotidien. Elle réduit le temps de diagnostic, facilite les interventions en cas de panne et évite qu’un simple changement de règle bloque une application de production. Dans un contexte multi-sites ou industriel, cette visibilité est souvent ce qui fait la différence entre une alerte traitée en quelques minutes et une coupure qui dure plusieurs heures 📉

Traiter le renouvellement comme un projet d’architecture, pas comme un remplacement à l’identique

Le vrai sujet n’est pas seulement de savoir quel firewall acheter. La bonne question est plutôt : que doit faire votre infrastructure réseau aujourd’hui, avec quel niveau de sécurité, de disponibilité et de lisibilité ? Si vous remplacez un équipement sans revoir les flux, les usages, les accès et les dépendances, vous modernisez la façade mais vous gardez les mêmes fragilités derrière.

À l’inverse, un renouvellement bien préparé permet souvent de simplifier l’existant, de supprimer des ouvertures inutiles, d’améliorer les performances et de fiabiliser les accès critiques. C’est particulièrement vrai dans les PME qui ont grandi par ajouts successifs de sites, d’opérateurs, de prestataires ou d’équipements techniques. Le firewall devient alors un point de cohérence de l’architecture, pas juste un boîtier de plus.

Avant tout remplacement, l’enjeu est donc d’auditer ce qui existe, de comprendre ce qui est réellement utilisé, de mesurer les impacts métiers et de préparer la migration sans angle mort. C’est cette approche pragmatique qui évite de reproduire les erreurs passées, sécurise durablement le fonctionnement du réseau et réduit les risques de coupure ou de faille reconduite. ✅