Pare-feu (firewall) pour PME : Ubiquiti, Fortinet, Sophos ou pfSense, comment choisir ?

La box fournie par votre opérateur fait du NAT et bloque les connexions entrantes non sollicitées. C’est un niveau de protection minimal, suffisant pour un particulier, insuffisant pour une entreprise. Un pare-feu professionnel fait beaucoup plus : inspection du trafic sortant, filtrage par catégorie d’URL, détection des intrusions, journalisation détaillée, segmentation du réseau. Voici comment choisir.

Ce qu’un pare-feu professionnel apporte vraiment

Inspection du trafic sortant. Un pare-feu professionnel peut détecter et bloquer les communications d’un logiciel malveillant qui essaie de contacter un serveur de commande à l’extérieur, même si ce trafic utilise le port 443 (HTTPS standard).

Filtrage par catégorie. Bloquer les sites de jeux d’argent, de torrents, de contenu adulte ou les domaines connus pour distribuer des malwares. Ce filtrage peut être appliqué globalement ou par groupe d’utilisateurs.

Détection d’intrusion (IPS). Analyse des signatures de trafic connues pour détecter les tentatives d’exploitation de vulnérabilités, les scans de ports, les tentatives de brute force.

Segmentation réseau. Créer des zones réseau séparées (serveurs, postes de travail, Wi-Fi invités, caméras IP) et contrôler ce qui peut communiquer avec quoi. C’est ce qu’on appelle le VLAN, souvent géré au niveau du pare-feu ou du switch manageable.

Journaux détaillés. En cas d’incident de sécurité, les logs du pare-feu permettent de retracer précisément ce qui s’est passé.

Les solutions pour PME

Ubiquiti UniFi. C’est la solution que nous déployons le plus souvent chez nos clients. Les passerelles UniFi (Cloud Gateway, UXG ou Dream Machine Pro selon la taille du parc) intègrent le pare-feu, la détection d’intrusion et le VPN sans abonnement de sécurité annuel : le coût est celui du matériel, une fois.

L’intérêt principal est ailleurs. Le même contrôleur gère la passerelle, les switchs et les bornes Wi-Fi. Une règle de segmentation se définit une seule fois et s’applique du port du switch jusqu’au réseau Wi-Fi invité, sans jongler entre trois interfaces d’administration différentes. Pour un parc de 10 à 100 postes, c’est le meilleur équilibre entre couverture fonctionnelle, coût et temps d’administration — et c’est ce qui nous permet de superviser ces réseaux efficacement dans le cadre de notre service réseau et infrastructure.

La contrepartie est réelle : le renseignement sur les menaces et les rapports de sécurité sont moins fouillés que chez Fortinet ou Sophos, et le support constructeur passe par l’échange de matériel plutôt que par un contrat avec engagement de délai. Si votre secteur impose un support constructeur contractualisé, ce n’est pas le bon choix.

Fortinet FortiGate. Leader du marché en PME et ETI. Très bonne couverture fonctionnelle, gamme d’équipements adaptée de 10 à 500+ utilisateurs. Les abonnements de sécurité (filtrage URL, antivirus réseau, IPS) sont payants annuellement. Bonne réputation pour la robustesse et le support.

Sophos XGS. Forte en protection endpoint intégrée au pare-feu (Synchronized Security). Quand un poste détecte un malware, il peut isoler automatiquement ce poste du réseau. Interface intuitive, adaptée aux équipes informatiques non spécialisées.

pfSense / OPNsense. Solutions open source très performantes, déployables sur du matériel standard (Netgate pour pfSense, ou des boîtiers x86 génériques). Gratuites en version communautaire, avec une interface web complète. La contrepartie : elles demandent plus de compétences pour la configuration et le support. Excellent rapport fonctionnalité/coût pour les PME disposant d’un technicien capable de les administrer.

Comment choisir

Pour une TPE ou une PME de 10 à 100 postes qui veut un réseau cohérent, administrable d’un seul endroit et sans abonnement récurrent : Ubiquiti UniFi. C’est notre recommandation par défaut, et de loin ce que nous installons le plus.

Pour une PME sans compétence réseau interne qui a besoin d’un support constructeur contractualisé, ou dont le secteur impose des exigences de conformité élevées : Fortinet ou Sophos.

Pour une PME avec un prestataire informatique compétent et un budget limité sur l’équipement : pfSense ou OPNsense sur un boîtier dédié.

La taille du boîtier doit correspondre au débit de votre connexion internet, pas seulement au nombre d’utilisateurs. Un FortiGate dimensionné pour 50 utilisateurs sur une fibre 1 Gbit/s doit supporter l’inspection SSL sans tomber en dessous de la vitesse de la fibre.

Pour dimensionner et installer un pare-feu adapté à votre réseau, contactez l’équipe Zerobug.