TD2 – Sécurisation réseau AWS (VPC, Subnets, Security Groups)

• Comprendre les bases du réseau AWS (VPC, subnets, routing)
• Identifier les mauvaises pratiques réseau
• Sécuriser une infrastructure existante
• Implémenter une segmentation réseau simple
• Industrialiser avec Terraform

Vous intervenez dans la même startup.

Une première infrastructure a été déployée rapidement via Terraform et Ansible.

Objectif initial : mettre en ligne une application web.

Résultat :

• tout fonctionne
• mais aucune règle de sécurité réseau n’a été pensée

Un audit révèle :

• exposition publique excessive
• absence de segmentation réseau
• règles de sécurité trop permissives

Reconcevoir le réseau pour :

• isoler les composants
• limiter les flux
• respecter les bonnes pratiques AWS

• Ne pas casser l’accès à l’application web
• Appliquer le principe du moindre accès réseau
• Utiliser Terraform uniquement
• Architecture simple et compréhensible

Fichier : `network/main.tf`

provider "aws" {
  region = "eu-west-3"
}

resource "aws_vpc" "main" {
  cidr_block = "10.0.0.0/16"
}

resource "aws_subnet" "public" {
  vpc_id     = aws_vpc.main.id
  cidr_block = "10.0.1.0/24"
}

resource "aws_instance" "web" {
  ami           = "ami-123456"
  instance_type = "t2.micro"
  subnet_id     = aws_subnet.public.id
}

resource "aws_security_group" "web_sg" {
  name   = "web-sg"
  vpc_id = aws_vpc.main.id

  ingress {
    from_port   = 0
    to_port     = 0
    protocol    = "-1"
    cidr_blocks = ["0.0.0.0/0"]
  }

  egress {
    from_port   = 0
    to_port     = 0
    protocol    = "-1"
    cidr_blocks = ["0.0.0.0/0"]
  }
}

Fichier : `commandes/terraform.txt`

terraform init
terraform plan
terraform apply
terraform destroy

Le code actuel autorise :

• tous les ports
• tous les protocoles
• depuis n’importe où

Après sécurisation :

• votre application web ne répond plus

Objectif :

• Le serveur web doit être accessible depuis Internet (HTTP)
• Le backend doit être inaccessible depuis Internet
• Le backend doit être accessible uniquement depuis le serveur web