Conteneurs Linux
Isoler des conteneurs avec VLAN et règles réseau
Préparer un réseau de conteneurs qui ne voit pas les LAN internes non nécessaires.
Dessiner les flux avant les règles
Listez qui parle à qui, sur quel port, et pourquoi. Une règle réseau écrite sans cartographie finit souvent trop ouverte.
Séparer administration et exposition publique
Le trafic utilisateur, la supervision et l’administration ne méritent pas le même niveau de confiance. Isolez-les dès la conception.
Bloquer les chemins latéraux
Un conteneur exposé ne doit pas voir tout le LAN par défaut. Bloquez les plages internes inutiles, puis rouvrez seulement les flux nécessaires.
Tester dans les deux sens
Un test depuis le conteneur ne suffit pas. Vérifiez aussi depuis une machine externe et depuis les services internes autorisés.
Préparer les traces de diagnostic
Quand une règle bloque trop, il faut savoir où regarder : pare-feu hôte, pont réseau, route, DNS ou service cible.
Relire après évolution
Un nouveau service ou une nouvelle IP peut rendre les anciennes règles incohérentes. Planifiez une revue réseau régulière.
Nommer les exceptions temporaires
Une ouverture provisoire doit avoir une date de fin et un responsable, sinon elle deviendra permanente par oubli.
Pour terminer
- Flux listés
- LAN bloqués
- Tests sortants faits