Attends, je crois qu'il y méprise

Tu crois que je suis un chercheur n'ayant aucun contact avec le monde réel ?
Tu crois que je travaille dans une boite avec deux pelés et trois tondus ?

Quel est la différence d'un point de vue sécu entre:
-Une ip publique firewallée ou tu ouvre l'accès qu'à certaines IPs précises
-Une IP privée/management sur laquelle tu devras faire un routage pour autoriser les même IPs a superviser / accéder au service??

+1, c'est tout pareil. Mais j'entends pareil de mes devs, comme quoi...

Les opérateurs avec moins de 10 000 IPv4 annoncées :

Opérateur BGP	Milliers d’IPv4 annoncées	IPv6 annoncées	AS N°1	AS N°2	Fédération ou Association	Type d’offre proposées
Appliwawe	3,3	Oui	AS200780			Offres pro et hébergement

nous c'est Appliwave ^^

Quel est la différence d'un point de vue sécu entre:
-Une ip publique firewallée ou tu ouvre l'accès qu'à certaines IPs précises
-Une IP privée/management sur laquelle tu devras faire un routage pour autoriser les même IPs a superviser / accéder au service??

Pour le 2eme cas, par  'routage' tu entend NAT ou proxy ? c'est pas clair.

oui "en théorie" sur le cas simple d'une seule machine les 2 cas sont a peu pres equivalents.

mais tu mets ou le firewall ? y'en a combien ?

le problème c'est souvent le scaling et les 'frontières' de sécu. Par exemple tu ne veux pas forcement que celui qui a la main sur le firewall en bordure soit open bar sur le backend, seul le front-end voit le back-end via d'autres interfaces que celles qui portent les IP publics (un bon front-end en sécu a donc au moins 2 cartes réseaux). ou alors t'as 2 firewall. etc (y'a plein de cas possibles et pas une solution).

bref la sécu c'est pas que les flux réseaux et comment et par ou ils passent/passent pas mais c'est aussi les hommes, surtout les hommes.

Mais la j'ai l'impression qu'on se répète et qu'on dévie du sujet.

l'idéal c'est pour moi : un firewall en tête de plateforme (genre sur le transit) comme ça tu te protège de l'extérieur.

+ un firewall sur chaque serveur (type iptables)qui ouvre les ports qui vont bien avec les ressources qui vont bien
genre les front 443 et 80 pour tous
backend avec les ports applicatif juste ouvert pour les ips spécifiques de chaque front.

encore une fois pour moi le principal point faible dans une infra c'est les serveurs front et le code qui est dessus (testé et validé quasiment au quotidien)
une fois que le code est cassé tu peux avoir mis toutes les protection que tu veux c'est mort.