Une règle de filtrage par adresse IP précise quels échanges réseau un ordinateur Windows peut recevoir ou émettre. Bien définie, elle ouvre uniquement l’accès nécessaire à une application, un service ou un outil de supervision.
Dans le Pare-feu Microsoft Defender, cette configuration repose notamment sur les adresses locales et distantes, les ports, les protocoles et les profils réseau. Ces paramètres forment une base concrète pour renforcer le contrôle d’accès sans désactiver le pare-feu.
À retenir :
- Filtrage IP adapté aux besoins réels des applications
- Adresses distantes limitées aux sources légitimes
- Profils réseau associés aux règles pertinentes
- Journaux utiles au diagnostic et aux vérifications
Comprendre les règles de filtrage par adresse IP
Le contrôle dépend des paramètres choisis pour chaque règle, mais aussi du profil réseau actif sur l’ordinateur. Selon Microsoft Learn, les règles peuvent cibler des applications, des ports, des protocoles et des adresses spécifiques.
Adresses locales, distantes et protocoles
Dans une règle entrante, l’adresse distante désigne généralement la source du trafic, tandis que l’adresse locale identifie l’interface ciblée. Une équipe peut ainsi autoriser un serveur de supervision à contacter une machine précise, plutôt que d’ouvrir le service à tout le réseau.
Le protocole et le port complètent ce filtrage IP : TCP ou UDP pour de nombreux services, ICMP pour certaines opérations de diagnostic. Pour autoriser le ping, par exemple, il faut créer une règle entrante adaptée à ICMPv4 et sélectionner les requêtes d’écho nécessaires.
Paramètres courants d’une règle :
- Adresse IP locale ou plage d’adresses ciblée
- Adresse IP distante ou sous-réseau autorisé
- Protocole concerné et ports utilisés
- Profil réseau et action d’autorisation ou de blocage
Profils domaine, privé et public
Le même service peut être nécessaire au bureau, mais risqué sur un réseau public. Les profils domaine, privé et public permettent d’appliquer les règles selon le contexte, au lieu d’adopter une politique identique partout.
Selon Microsoft Learn, les autorisations explicites peuvent être affectées par des règles de blocage qui se chevauchent. Une règle de blocage explicite prévaut sur une règle d’autorisation conflictuelle ; il faut donc vérifier les règles existantes avant d’ajouter une exception.
| Profil | Contexte courant | Précaution de filtrage |
|---|---|---|
| Domaine | Réseau d’entreprise | Limiter les accès aux besoins professionnels |
| Privé | Réseau domestique ou de confiance | Restreindre les sources au réseau utile |
| Public | Lieu partagé ou réseau inconnu | Éviter les ouvertures entrantes non nécessaires |
| Tous profils | Règles appliquées selon leur portée | Contrôler les conflits et les exceptions actives |
Créer une règle de pare-feu Windows ciblée
Une fois le besoin établi, la création doit traduire précisément le service attendu et les machines autorisées. Selon Microsoft Learn, préparer les règles avant le premier lancement d’une application peut éviter des blocages et des interventions improvisées.
Définir l’action et les limites d’accès
Dans Pare-feu Windows Defender avec fonctions avancées de sécurité, choisissez les règles de trafic entrant ou sortant, puis lancez l’assistant de nouvelle règle. Une règle personnalisée permet de préciser le programme, le protocole, les adresses locales et distantes, l’action ainsi que les profils concernés.
Pour un serveur web interne utilisant 8080/TCP, l’administrateur peut autoriser le port uniquement depuis le sous-réseau de l’entreprise. Il nomme ensuite la règle clairement et décrit son usage, afin qu’un collègue puisse comprendre rapidement pourquoi l’accès existe.
Vérifications avant l’activation :
- Confirmer le besoin métier et l’application concernée
- Identifier le protocole, le port et la direction du trafic
- Limiter les adresses distantes aux équipements légitimes
- Associer la règle aux profils réellement utilisés
Choisir une gestion locale ou centralisée
Sur un poste isolé, la console locale suffit souvent pour créer ou modifier une règle. Dans une organisation, une stratégie de groupe ou Microsoft Intune permet de distribuer les paramètres de façon cohérente, tandis que PowerShell convient à l’automatisation avec New-NetFirewallRule.
La liste blanche correspond ici aux sources expressément autorisées ; une liste noire bloque des adresses ou des plages identifiées. Ces approches doivent rester documentées et cohérentes : les blocages explicites peuvent contrarier une autorisation plus large, même si celle-ci semble correctement configurée.
| Besoin | Paramètre à examiner | Exemple de portée |
|---|---|---|
| Autoriser un ping entrant | ICMPv4 et requête d’écho | Adresse du serveur de supervision |
| Publier un service interne | TCP et port applicatif | Sous-réseau professionnel requis |
| Restreindre une application | Programme et profils actifs | Profil privé uniquement, si pertinent |
| Déployer une règle d’entreprise | Stratégie de groupe ou Intune | Appareils appartenant au périmètre défini |
Renforcer la sécurité réseau et vérifier les règles
Une règle bien ciblée réduit les accès inutiles, mais elle doit aussi rester compréhensible et vérifiable dans le temps. Pour les connexions entrantes, conserver le blocage par défaut et n’ajouter que les exceptions légitimes limite l’exposition du poste.
Documenter les exceptions et les profils
Chaque règle devrait indiquer l’application, le port ou protocole, les adresses autorisées, le profil visé et sa raison d’être. Cette documentation aide lors d’un changement d’infrastructure et évite qu’une ancienne ouverture demeure active sans responsable identifié.
Le trafic sortant est généralement autorisé par défaut dans les déploiements Windows courants ; le bloquer demande un inventaire précis des applications nécessaires. Dans un environnement fortement contrôlé, des règles spécifiques peuvent être déployées centralement, sans pour autant autoriser toutes les connexions entrantes.
Éléments à consigner pour chaque exception :
- Nom compréhensible et application concernée
- Adresses, ports et protocoles concernés
- Profils où l’autorisation s’applique
- Motif opérationnel et responsable de la règle
Consulter les journaux et diagnostiquer un blocage
Les journaux du pare-feu peuvent aider à distinguer une règle manquante d’une adresse source non autorisée. Le fichier par défaut se trouve généralement dans C:WindowsSystem32LogFilesFirewallpfirewall.log ; l’administrateur peut ajuster les options de journalisation selon ses besoins.
En cas d’échec, vérifiez d’abord le profil actif, l’état de la règle et les éventuels blocages concurrents. Ensuite, contrôlez l’adresse IP distante et le protocole réellement employés : ouvrir davantage que nécessaire ne résout pas toujours la cause et affaiblit la sécurité réseau.
Source : Microsoft Learn, « Règles de pare-feu Windows », Microsoft Learn.