{"id":2734,"date":"2026-07-09T15:00:00","date_gmt":"2026-07-09T13:00:00","guid":{"rendered":"https:\/\/nausicamedia.fr\/blog\/?p=2734"},"modified":"2026-07-08T18:52:10","modified_gmt":"2026-07-08T16:52:10","slug":"ce-qui-protege-vraiment-un-reseau-unifi-ce-nest-pas-seulement-le-firewall","status":"publish","type":"post","link":"https:\/\/nausicamedia.fr\/blog\/ce-qui-protege-vraiment-un-reseau-unifi-ce-nest-pas-seulement-le-firewall\/","title":{"rendered":"Ce qui prot\u00e8ge vraiment un r\u00e9seau UniFi, ce n\u2019est pas seulement le firewall !"},"content":{"rendered":"\n<p class=\"wp-block-paragraph\">Quand un r\u00e9seau commence \u00e0 \u00eatre menac\u00e9, le r\u00e9flexe est presque toujours le m\u00eame : on regarde le mat\u00e9riel. Est-ce qu\u2019il faut un nouveau gateway ? Un firewall plus muscl\u00e9 ? Une baie plus propre ? Un lien Internet en plus ?<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Bien s\u00fbr que l\u2019infrastructure compte. Mais ce r\u00e9flexe cache parfois le vrai sujet : un r\u00e9seau tombe rarement dans le chaos uniquement parce qu\u2019il manque de puissance. Il tombe surtout dans le chaos quand il manque de visibilit\u00e9, de routine et de discipline d\u2019exploitation.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Les annonces r\u00e9centes autour d\u2019UniFi racontent exactement cela. D\u2019un c\u00f4t\u00e9, Ubiquiti pousse davantage d\u2019orchestration, de visibilit\u00e9 et de capacit\u00e9s r\u00e9seau avanc\u00e9es dans UniFi Network 10.5. De l\u2019autre, le Security Advisory Bulletin 064 rappelle brutalement qu\u2019un bon mat\u00e9riel mal maintenu reste un risque tr\u00e8s concret.<\/p>\n\n\n\n<figure class=\"wp-block-embed is-type-video is-provider-youtube wp-block-embed-youtube wp-embed-aspect-16-9 wp-has-aspect-ratio\"><div class=\"wp-block-embed__wrapper\">\n<iframe loading=\"lazy\" title=\"Introducing: UniFi Network 10.5\" width=\"1290\" height=\"726\" src=\"https:\/\/www.youtube.com\/embed\/bDusZUPGjWI?feature=oembed\" frameborder=\"0\" allow=\"accelerometer; autoplay; clipboard-write; encrypted-media; gyroscope; picture-in-picture; web-share\" referrerpolicy=\"strict-origin-when-cross-origin\" allowfullscreen><\/iframe>\n<\/div><\/figure>\n\n\n\n<h2 class=\"wp-block-heading\">Contexte : o\u00f9 est le vrai probl\u00e8me ?<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Dans beaucoup de PME, d\u2019\u00e9coles ou de r\u00e9seaux multi-sites, l\u2019infrastructure UniFi s\u2019est install\u00e9e pour de bonnes raisons : simplicit\u00e9, rapport qualit\u00e9\/prix, coh\u00e9rence de l\u2019\u00e9cosyst\u00e8me, administration centralis\u00e9e. Jusque-l\u00e0, rien \u00e0 redire.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Le probl\u00e8me appara\u00eet ensuite. Lentement.<\/p>\n\n\n\n<ul class=\"wp-block-list\">\n<li>Les sites ne sont plus exactement au m\u00eame niveau de mise \u00e0 jour.<\/li>\n\n\n\n<li>Les r\u00e8gles r\u00e9seau ne sont pas document\u00e9es et \u00ab\u00a0vivent\u00a0\u00bb dans plusieurs t\u00eates d&rsquo;administrateurs syst\u00e8me.<\/li>\n\n\n\n<li>L\u2019IPv6 arrive \u00ab plus ou moins \u00bb selon les acc\u00e8s op\u00e9rateurs.<\/li>\n\n\n\n<li>Les incidents WAN se traitent au fil de l\u2019eau.<\/li>\n\n\n\n<li>Les fen\u00eatres de maintenance ne sont ni planifi\u00e9es, ni document\u00e9es.<\/li>\n<\/ul>\n\n\n\n<p class=\"wp-block-paragraph\">Et pendant ce temps, l\u2019\u00e9quipe croit encore que son risque principal est mat\u00e9riel. C\u2019est confortable, l\u00e0 aussi. Acheter rassure. Documenter, tester et patcher r\u00e9guli\u00e8rement rassure beaucoup moins. Pourtant, c\u2019est souvent l\u00e0 que la stabilit\u00e9 se joue.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\">Ce qu&rsquo;Ubiquiti change concr\u00e8tement<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Les nouveaut\u00e9s publi\u00e9es par Ubiquiti mettent en avant une \u00e9volution int\u00e9ressante : UniFi ne cherche plus seulement \u00e0 \u00eatre facile \u00e0 d\u00e9ployer. La plateforme cherche \u00e0 devenir plus exploitable, avec plus de visibilit\u00e9 et plus de contr\u00f4le.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Parmi les points marquants de&nbsp;<strong>UniFi Network 10.5<\/strong>, on retrouve notamment :<\/p>\n\n\n\n<ul class=\"wp-block-list\">\n<li>une orchestration&nbsp;<strong>multi-sites<\/strong>&nbsp;plus lisible ;<\/li>\n\n\n\n<li>des \u00e9volutions autour de l\u2019<strong>eBGP<\/strong>&nbsp;;<\/li>\n\n\n\n<li>une meilleure prise en compte du&nbsp;<strong>double stack IPv6<\/strong>&nbsp;;<\/li>\n\n\n\n<li>une logique plus mature pour piloter un r\u00e9seau qui n\u2019est plus juste \u00ab un seul b\u00e2timent avec un seul acc\u00e8s Internet \u00bb (<a href=\"https:\/\/ui.com\/whats-new\" target=\"_blank\" rel=\"noreferrer noopener\">UI What\u2019s New<\/a>).<\/li>\n<\/ul>\n\n\n\n<p class=\"wp-block-paragraph\">Autrement dit : Ubiquiti fournit davantage d\u2019outils pour administrer un r\u00e9seau r\u00e9el. Pas un r\u00e9seau de d\u00e9mo. Un r\u00e9seau avec des d\u00e9pendances op\u00e9rateur, des sites distants, des usages diff\u00e9rents et des incidents intermittents.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Mais l\u2019autre signal de la p\u00e9riode est au moins aussi important. Dans le&nbsp;<strong>Security Advisory Bulletin 064<\/strong>, Ubiquiti d\u00e9taille plusieurs vuln\u00e9rabilit\u00e9s affectant des \u00e9quipements UniFi OS et recommande de monter vers des versions corrig\u00e9es, notamment&nbsp;<strong>5.1.12 ou ult\u00e9rieures<\/strong>&nbsp;selon les appareils (<a href=\"https:\/\/community.ui.com\/releases\/Security-Advisory-Bulletin-064-064\/84811c09-4cf4-42ab-bd61-cc994445963b\" rel=\"noreferrer noopener\" target=\"_blank\">Security Advisory Bulletin 064<\/a>,&nbsp;<a href=\"https:\/\/www.ui.com\/download\/releases\/unifi-os-server\" rel=\"noreferrer noopener\" target=\"_blank\">UniFi OS releases<\/a>).<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Voil\u00e0 le vrai contraste.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">D\u2019un c\u00f4t\u00e9, la plateforme devient plus puissante. Un dashboard moderne n\u2019annule pas une version vuln\u00e9rable. Une belle topologie n\u2019efface pas une routine de mise \u00e0 jour absente.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\">Comment l\u2019utiliser dans un cas r\u00e9el<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Prenons un r\u00e9seau de PME r\u00e9parti sur trois sites : si\u00e8ge, entrep\u00f4t, agence commerciale. Tout fonctionne \u00ab globalement bien \u00bb. Jusqu\u2019au jour o\u00f9 un incident VPN se combine avec une mise \u00e0 jour repouss\u00e9e, une configuration non document\u00e9e et un acc\u00e8s op\u00e9rateur qui se comporte diff\u00e9remment selon les sites.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\">Avant<\/h3>\n\n\n\n<ul class=\"wp-block-list\">\n<li>chaque site \u00e9volue un peu \u00e0 sa mani\u00e8re ;<\/li>\n\n\n\n<li>les versions ne sont pas revues de mani\u00e8re globale dans une routine commune ;<\/li>\n\n\n\n<li>l\u2019IPv6 n\u2019est pas vraiment suivi ;<\/li>\n\n\n\n<li>on n\u2019a pas de vue synth\u00e9tique sur les \u00e9carts (il manque une vue qui rassemble les diff\u00e9rents sites) ;<\/li>\n\n\n\n<li>les changements r\u00e9seau sont m\u00e9moris\u00e9s (dans la t\u00eate d&rsquo;un sysadmin), pas capitalis\u00e9s (personne ne les inscrits dans une documentation commune).<\/li>\n<\/ul>\n\n\n\n<h3 class=\"wp-block-heading\">Apr\u00e8s<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">L\u2019objectif n\u2019est pas de transformer l\u2019\u00e9quipe en centre d\u2019exploitation r\u00e9seau d\u2019un grand groupe. L\u2019objectif est plus modeste. Et plus puissant : rendre le r\u00e9seau pr\u00e9visible.<\/p>\n\n\n\n<ol class=\"wp-block-list\">\n<li><strong>Faire un inventaire des versions r\u00e9elles<\/strong>\n<ul class=\"wp-block-list\">\n<li>gateways ;<\/li>\n\n\n\n<li>contr\u00f4leurs ;<\/li>\n\n\n\n<li>switchs ;<\/li>\n\n\n\n<li>appliances UniFi OS.<\/li>\n<\/ul>\n<\/li>\n\n\n\n<li><strong>Traiter la dette de patching avant tout projet annexe<\/strong>\n<ul class=\"wp-block-list\">\n<li>v\u00e9rifier l\u2019exposition aux vuln\u00e9rabilit\u00e9s signal\u00e9es par le Bulletin 064 ;<\/li>\n\n\n\n<li>d\u00e9finir une cible minimale de version ;<\/li>\n\n\n\n<li>planifier la mont\u00e9e par vagues plut\u00f4t qu\u2019en r\u00e9action.<\/li>\n<\/ul>\n<\/li>\n\n\n\n<li><strong>Utiliser la logique multi-sites pour comparer au lieu de supposer<\/strong>\n<ul class=\"wp-block-list\">\n<li>versions ;<\/li>\n\n\n\n<li>politiques ;<\/li>\n\n\n\n<li>comportements WAN ;<\/li>\n\n\n\n<li>\u00e9carts de configuration.<\/li>\n<\/ul>\n<\/li>\n\n\n\n<li><strong>Cr\u00e9er une routine d\u2019observation r\u00e9seau<\/strong>\n<ul class=\"wp-block-list\">\n<li>\u00e9tat WAN ;<\/li>\n\n\n\n<li>\u00e9v\u00e9nements r\u00e9currents ;<\/li>\n\n\n\n<li>pr\u00e9sence et qualit\u00e9 de l\u2019IPv6 ;<\/li>\n\n\n\n<li>incidents intermittents.<\/li>\n<\/ul>\n<\/li>\n\n\n\n<li><strong>Documenter les changements comme des d\u00e9cisions d\u2019exploitation<\/strong>\n<ul class=\"wp-block-list\">\n<li>qui a modifi\u00e9 quoi ;<\/li>\n\n\n\n<li>pourquoi ;<\/li>\n\n\n\n<li>sur quel p\u00e9rim\u00e8tre ;<\/li>\n\n\n\n<li>avec quel plan de retour arri\u00e8re.<\/li>\n<\/ul>\n<\/li>\n\n\n\n<li><strong>Tester sur un p\u00e9rim\u00e8tre limit\u00e9 avant g\u00e9n\u00e9ralisation<\/strong>\n<ul class=\"wp-block-list\">\n<li>un site pilote ;<\/li>\n\n\n\n<li>une fen\u00eatre de maintenance claire ;<\/li>\n\n\n\n<li>une validation des services critiques apr\u00e8s changement.<\/li>\n<\/ul>\n<\/li>\n<\/ol>\n\n\n\n<p class=\"wp-block-paragraph\">Ce que change Ubiquiti ici, ce n\u2019est pas seulement la liste de fonctionnalit\u00e9s. C\u2019est la possibilit\u00e9 de sortir d\u2019une administration \u00ab au feeling \u00bb.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\">Limites et points de vigilance<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Il faut rester lucide.<\/p>\n\n\n\n<ul class=\"wp-block-list\">\n<li>Toutes les nouveaut\u00e9s d\u2019UniFi 10.5 ne sont pas utiles \u00e0 tous les contextes.<\/li>\n\n\n\n<li>Les fonctions avanc\u00e9es comme l\u2019eBGP ne servent pas de la m\u00eame fa\u00e7on \u00e0 une petite structure et \u00e0 un r\u00e9seau plus distribu\u00e9.<\/li>\n\n\n\n<li>Une mont\u00e9e de version n\u2019est jamais un acte purement administratif : il faut du test, un calendrier, un minimum de communication.<\/li>\n\n\n\n<li>La visibilit\u00e9 multi-sites n\u2019a de valeur que si quelqu\u2019un la regarde vraiment et agit sur les \u00e9carts observ\u00e9s.<\/li>\n<\/ul>\n\n\n\n<p class=\"wp-block-paragraph\">Et surtout :&nbsp;<strong>la s\u00e9curit\u00e9 ne se d\u00e9l\u00e8gue pas au mat\u00e9riel<\/strong>.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">C\u2019est peut-\u00eatre la phrase la plus utile de la semaine. Une appliance peut \u00eatre excellente. Si personne ne suit les versions, les bulletins de s\u00e9curit\u00e9 et les d\u00e9pendances d\u2019exploitation, elle devient juste une excellente appliance vuln\u00e9rable.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\">\u00c9largir : ce que cela change dans l\u2019organisation<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Un r\u00e9seau bien tenu, ce n\u2019est pas seulement un r\u00e9seau qui fonctionne. C\u2019est un r\u00e9seau que l\u2019on comprend.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Cela change beaucoup de choses pour l\u2019\u00e9quipe IT :<\/p>\n\n\n\n<ul class=\"wp-block-list\">\n<li>on passe d\u2019une culture du d\u00e9pannage \u00e0 une culture de la routine ;<\/li>\n\n\n\n<li>on remplace les interventions h\u00e9ro\u00efques par des fen\u00eatres de maintenance assum\u00e9es ;<\/li>\n\n\n\n<li>on transforme les connaissances tacites en documentation utile ;<\/li>\n\n\n\n<li>on r\u00e9duit la fragilit\u00e9 cr\u00e9\u00e9e par les \u00e9carts entre sites.<\/li>\n<\/ul>\n\n\n\n<p class=\"wp-block-paragraph\">Et l\u00e0, une question m\u00e9rite d\u2019\u00eatre pos\u00e9e franchement :&nbsp;<strong>quand avez-vous regard\u00e9 pour la derni\u00e8re fois votre r\u00e9seau UniFi comme un syst\u00e8me vivant, et non comme une suite d\u2019\u00e9quipements ?<\/strong><\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Parce que c\u2019est cela, le fond du sujet. L\u2019outil \u00e9volue. Les fonctionnalit\u00e9s progressent. Les appliances montent en gamme. Tr\u00e8s bien.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Mais la vraie maturit\u00e9 commence le jour o\u00f9 l\u2019on traite les versions, la visibilit\u00e9, les patchs et la documentation comme des \u00e9l\u00e9ments de s\u00e9curit\u00e9 \u00e0 part enti\u00e8re.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\">Conclusion<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Le probl\u00e8me de d\u00e9part semblait mat\u00e9riel. En r\u00e9alit\u00e9, il est souvent m\u00e9thodologique.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Les nouveaut\u00e9s d\u2019UniFi 10.5 renforcent la visibilit\u00e9 et la capacit\u00e9 d\u2019orchestration des r\u00e9seaux r\u00e9els (<a href=\"https:\/\/ui.com\/whats-new\" rel=\"noreferrer noopener\" target=\"_blank\">UI What\u2019s New<\/a>). Dans le m\u00eame temps, le Bulletin 064 rappelle qu\u2019un r\u00e9seau UniFi mal patch\u00e9 reste expos\u00e9, m\u00eame s\u2019il est bien dimensionn\u00e9 (<a href=\"https:\/\/community.ui.com\/releases\/Security-Advisory-Bulletin-064-064\/84811c09-4cf4-42ab-bd61-cc994445963b\" rel=\"noreferrer noopener\" target=\"_blank\">Security Advisory Bulletin 064<\/a>).<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Le gain concret, pour une \u00e9quipe, n\u2019est donc pas seulement d\u2019avoir plus de puissance. C\u2019est d\u2019avoir plus de m\u00e9thode : une routine de mise \u00e0 jour, une lecture multi-sites, une documentation claire et des arbitrages d\u2019exploitation explicites.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Ce n\u2019est pas spectaculaire. C\u2019est mieux que \u00e7a. C\u2019est ce qui \u00e9vite les incidents stupides.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\">CTA (\u00e0 faire)<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Prendre trente minutes cette semaine pour faire trois choses : lister les versions UniFi OS r\u00e9ellement en production, v\u00e9rifier votre exposition aux correctifs li\u00e9s au Bulletin 064, et noter noir sur blanc votre prochaine fen\u00eatre de maintenance r\u00e9seau.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Rien que \u00e7a peut d\u00e9j\u00e0 changer le niveau de risque.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\">Sources utiles<\/h2>\n\n\n\n<ul class=\"wp-block-list\">\n<li><a href=\"https:\/\/ui.com\/whats-new\" target=\"_blank\" rel=\"noreferrer noopener\">UI What\u2019s New<\/a><\/li>\n\n\n\n<li><a href=\"https:\/\/community.ui.com\/releases\/Security-Advisory-Bulletin-064-064\/84811c09-4cf4-42ab-bd61-cc994445963b\" target=\"_blank\" rel=\"noreferrer noopener\">Security Advisory Bulletin 064<\/a><\/li>\n\n\n\n<li><a href=\"https:\/\/www.ui.com\/download\/releases\/unifi-os-server\" target=\"_blank\" rel=\"noreferrer noopener\">UniFi OS releases<\/a><\/li>\n<\/ul>\n","protected":false},"excerpt":{"rendered":"<p>Quand un r\u00e9seau commence \u00e0 \u00eatre menac\u00e9, le r\u00e9flexe est presque toujours le m\u00eame : on regarde le mat\u00e9riel. Est-ce qu\u2019il faut un nouveau gateway ? Un firewall plus muscl\u00e9 ? Une baie plus propre ? Un lien Internet en plus ? Bien s\u00fbr que l\u2019infrastructure compte. Mais ce r\u00e9flexe cache parfois le vrai sujet [&hellip;]<\/p>\n","protected":false},"author":1,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":"","jetpack_publicize_message":"","jetpack_publicize_feature_enabled":true,"jetpack_social_post_already_shared":true,"jetpack_social_options":{"image_generator_settings":{"template":"highway","default_image_id":0,"font":"","enabled":false},"version":2}},"categories":[6],"tags":[68],"class_list":["post-2734","post","type-post","status-publish","format-standard","hentry","category-ubiquiti","tag-sysadmin"],"blocksy_meta":[],"jetpack_publicize_connections":[],"_links":{"self":[{"href":"https:\/\/nausicamedia.fr\/blog\/wp-json\/wp\/v2\/posts\/2734","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/nausicamedia.fr\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/nausicamedia.fr\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/nausicamedia.fr\/blog\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/nausicamedia.fr\/blog\/wp-json\/wp\/v2\/comments?post=2734"}],"version-history":[{"count":2,"href":"https:\/\/nausicamedia.fr\/blog\/wp-json\/wp\/v2\/posts\/2734\/revisions"}],"predecessor-version":[{"id":2738,"href":"https:\/\/nausicamedia.fr\/blog\/wp-json\/wp\/v2\/posts\/2734\/revisions\/2738"}],"wp:attachment":[{"href":"https:\/\/nausicamedia.fr\/blog\/wp-json\/wp\/v2\/media?parent=2734"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/nausicamedia.fr\/blog\/wp-json\/wp\/v2\/categories?post=2734"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/nausicamedia.fr\/blog\/wp-json\/wp\/v2\/tags?post=2734"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}