Pourquoi segmenter ?
La séparation des appareils d'automatisation des clients de bureau réduit les chemins d'accès inutiles et restreint la portée du dépannage. Un VLAN n'assure pas la sécurité en soi ; combinez-le avec la politique de routage et de pare-feu.
Construire une matrice d'accès
Documentez d'abord les flux requis : du poste de travail de gestion vers l'interface Web, de NetRelay vers le courtier MQTT local et de l'accès du serveur d'applications à l'API HTTP si nécessaire. Refuser par défaut et autoriser uniquement le trafic justifié.
Exposition directe sur Internet
N'exposez pas l'interface de gestion des périphériques avec la redirection de port. Si la gestion à distance est requise, utilisez un VPN authentifié. Lorsqu'un accès DNS, NTP ou de mise à jour externe est nécessaire, limitez les destinations et les ports autant que possible.
Opérations et enregistrements
Suivez l'adresse IP, l'adresse MAC, le port du commutateur, le propriétaire et la version du micrologiciel dans l'inventaire. Surveillez les journaux du pare-feu et les événements de connexion ayant échoué. Gérez les modifications de stratégie avec des étapes de test et de restauration.