# Configurer les routes réseau Zero Trust

Canonical: https://www.nsecsoft.com/fr/docs/ping64-zero-trust/zero-trust/network-resources/network-routes/

Language: fr-FR

Updated: 2026-11-15T04:12:17.212713Z

Dans Ping64, une route réseau fournit à des terminaux sélectionnés un chemin vers un réseau ou domaine cible via un nœud de routage Zero Trust. La cible, le nœud, les terminaux recevant la route et la politique d'accès sont à définir séparément. L'enregistrement ne prouve ni la réception par les terminaux, ni le transfert par le nœud, ni l'autorisation ou l'accessibilité du service cible.

## Préparation

-   Vérifiez les droits d'administration des groupes d'accès, politiques et routes Zero Trust. Préparez un nœud de routage connecté à Zero Trust et capable de joindre le réseau cible. Pour un groupe de nœuds de routage, vérifiez la connexion, l'accès à la cible et les conditions de transfert des candidats.
-   Identifiez le réseau ou domaine, les terminaux, protocoles métier et ports. Vérifiez le pare-feu cible, le transfert de la passerelle et le chemin de retour ; commencez avec des terminaux de test contrôlés.
-   Une route de domaine exige aussi que le terminal puisse résoudre le domaine. DNS et route sont configurés séparément ; voir [Configurer les groupes de serveurs DNS](https://www.nsecsoft.com/fr/docs/ping64-zero-trust/zero-trust/dns/dns-nameservers/).
-   Examinez les routes, groupes et politiques existants et l'impact du changement. Périmètre de distribution, politique d'accès et pare-feu cible ont des rôles distincts et ne se remplacent pas.

## Préparer les groupes et la politique d'accès

-   [Politiques d’accès](https://www.nsecsoft.com/fr/docs/ping64-zero-trust/zero-trust/access-control/access-policy/)

1.  Dans les groupes d’accès Zero Trust, vérifiez d’abord les nœuds pilotes membres d’un groupe source existant et le groupe cible de stratégie disponible pour la route, ainsi que leurs usages et références. Réutilisez les groupes adaptés sans ajouter de nouveau les membres. Seulement si nécessaire, une personne habilitée crée un groupe ou ajoute les nœuds pilotes sous **Endpoints** dans les détails du groupe source. Avant de modifier un groupe existant, évaluez les effets sur les autres configurations et activités.
2.  Dans **Zero Trust > Access Control > Policies**, vérifiez d’abord l’état, le groupe ou nœud source, le groupe cible, l’action, la direction, le protocole et les ports d’une stratégie existante applicable. Vérifiez que son groupe cible correspond au groupe cible de stratégie prévu pour la route. Réutilisez une stratégie adaptée ; si nécessaire seulement, un administrateur autorisé évalue les effets et la crée ou la modifie selon la [stratégie d’accès](https://www.nsecsoft.com/fr/docs/ping64-zero-trust/zero-trust/access-control/access-policy/).
3.  En cas de modification, enregistrez la stratégie et vérifiez à nouveau ces paramètres ; sans modification, inutile d’enregistrer à nouveau. Un champ de port TCP ou UDP vide signifie tous les ports. Ne mélangez pas ports individuels et plages dans une même stratégie, ni `*` avec d’autres ports. Après configuration de la route, testez séparément les terminaux devant être autorisés et ceux ne devant pas l’être, et vérifiez les autres stratégies applicables. L’enregistrement seul ne prouve pas l’accès.

**Important :** « Effective Scope » détermine les terminaux recevant la route ; « Policy Target Groups » associe la route aux politiques d'accès. **Si Policy Target Groups est vide, une règle d'autorisation par défaut est générée ; une sélection vide ne signifie pas un refus par défaut.** Pour restreindre l'accès, sélectionnez le groupe cible dans la route et vérifiez qu'une politique activée utilise le même groupe et les sources prévues. Testez l'accès réel ; les noms de groupes ne prouvent pas les droits.

Effective Scope détermine les terminaux recevant la route, mais ne limite pas les sources de cette autorisation par défaut à ces terminaux. La règle par défaut ne restreint pas le trafic transféré correspondant par source, protocole ou port. L’accès réel dépend aussi de la connexion, des autres contrôles et du réseau cible. Ne vous fiez pas au seul périmètre de distribution pour isoler l’accès : choisissez les groupes cibles de politique et testez séparément les autres chemins.

**Vérifier après une modification :** passer de `TCP` ou `UDP` à `ALL` ou `ICMP` efface les ports et plages saisis. Revenir à `TCP` ou `UDP` ne les restaure pas automatiquement ; un champ vide signifie tous les ports. Changer le type de source ou de destination efface également la sélection du côté concerné. Choisir une ressource réseau comme destination remet le sens de la source vers la destination ; ne supposez pas que l’ancien réglage bidirectionnel sera restauré en revenant à un autre type. Avant d’enregistrer, sélectionnez à nouveau les objets et vérifiez protocole, ports et sens pour éviter une modification ou extension involontaire de l’accès.

**Intersection du périmètre de distribution et de la source de la politique :** lorsqu’une route utilise un groupe cible de politique, vérifiez à la fois que le terminal appartient au périmètre de distribution et qu’il satisfait à la source et aux contrôles de sécurité de la politique concernée. Une seule condition remplie ne prouve pas que cette politique autorise l’accès par la route. Par exemple, la route est distribuée aux « terminaux pilotes », la source de la politique est le groupe « développement » et sa cible est le groupe choisi sur la route. Un terminal doit appartenir aux deux premiers groupes pour pouvoir entrer dans le périmètre de cette politique ; il doit aussi réussir les contrôles applicables et respecter le protocole et les ports. Un terminal appartenant à un seul des deux groupes ne doit pas être considéré comme correspondant à cette politique. Ces noms sont des exemples, pas des valeurs par défaut ; d’autres politiques, connexions et chemins réseau peuvent influer sur le résultat et doivent être testés séparément.

## Créer une route

1.  Dans Zero Trust, ouvrez les routes et choisissez « Create Route ». Saisissez le nom réseau et la description nécessaire. Le nom comprend de 1 à 40 lettres, chiffres, traits de soulignement ou traits d'union, commence et se termine par une lettre ou un chiffre et ne peut pas finir par `-v6`.
2.  Choisissez la cible : pour une route réseau, saisissez un CIDR IPv4 tel que `10.20.30.0/24` ; pour une adresse IPv4 unique, utilisez `/32`. Pour une route de domaine, saisissez un ou plusieurs domaines valides sans doublon. Un domaine doit contenir au moins un point ; le caractère générique `*.example.com`, le schéma, le port et le chemin ne sont pas acceptés. La détection des doublons ignore la casse. Dans l’interface anglaise, cet onglet est « Route Settings ».
3.  Sélectionnez soit un nœud de routage, soit un groupe d'accès de nœuds de routage, jamais les deux. Vérifiez la connexion à Zero Trust, l'accès à la cible et les conditions de transfert des candidats.
4.  Dans « Effective Scope », sélectionnez au moins un groupe d'accès recevant la route et vérifiez ses nœuds. Dans le contrôle d'accès, sélectionnez le groupe cible de politique préparé, puis revérifiez la source et la destination de la politique. L’onglet est « Access Control ».
5.  Dans les paramètres avancés, vérifiez l'application automatique, la conservation des routes et le masquage d'adresse. Enregistrez, vérifiez cible, nœud, périmètre et état dans la liste, puis attendez la réception de la configuration avant de tester l'accès. L’onglet « Advanced Settings » contient « Auto Apply », « Keep Route » et « Masquerade ».

Exemple : cible `10.20.30.0/24`, nœud capable de joindre ce réseau, groupe pilote dans le périmètre, et groupe cible avec politique limitée aux protocoles et ports nécessaires. Il s'agit d'un exemple, pas de valeurs par défaut ; l'accès dépend aussi des connexions, politiques, du service et du réseau.

**Plusieurs nœuds de routage et tests de panne :** avec un groupe d’accès de nœuds de routage, vérifiez séparément que chaque candidat peut transférer le trafic et atteindre le service cible. Le choix du chemin par le poste dépend notamment de la connexion du nœud et des conditions de routage. Un nœud en ligne ne prouve pas que son chemin vers le service fonctionne et ne garantit pas une bascule automatique si ce service est indisponible. Selon la procédure de maintenance approuvée, testez séparément en environnement pilote la perte de connexion du nœud et le cas où il reste en ligne sans atteindre la cible. Vérifiez le chemin de secours, les sessions métier existantes et le rétablissement ; ne promettez ni bascule sans interruption ni délai fixe.

**Routes de domaine et adresses partagées :** Une route de domaine fournit un chemin d’accès ; ce n’est pas une liste d’autorisation qui limite strictement l’accès par nom de domaine. Sur certains chemins des terminaux, les routes sont établies d’après les adresses IP obtenues pour le domaine configuré. Par exemple, si `app.example.com` et `reports.example.com` correspondent à la même adresse, une connexion utilisant l’autre nom ou directement l’adresse peut également emprunter cette route. Le résultat dépend du terminal, du DNS, des autres routes et des contrôles réseau ; cet exemple ne garantit pas l’accès au service cible. Configurez les politiques d’accès, l’authentification du service cible et les pare-feu selon les besoins. Dans un environnement pilote autorisé, testez séparément le domaine configuré, les autres domaines partageant l’adresse et l’accès direct par IP, puis vérifiez la résolution effectuée par l’application utilisée.

## Configurer un nœud de sortie

Un nœud de sortie fournit la route IPv4 par défaut `0.0.0.0/0`, contrairement à une route limitée à certains réseaux ou domaines. Évaluez le trafic métier, la capacité, la sécurité et les routes existantes avant activation. La création ne prouve pas que tout le trafic emprunte la sortie.

1.  Suivez la préparation des groupes et de la politique ci-dessus pour configurer le groupe source et les protocoles et ports nécessaires aux terminaux pilotes. Préparez un nœud pouvant rejoindre le réseau Zero Trust, transférer le trafic et atteindre les destinations ; vérifiez pare-feu et retour.
2.  Dans **Zero Trust > Routes**, choisissez **Create Exit Node**, renseignez le nom et la description, sélectionnez un nœud ou groupe de nœuds et au moins un groupe d’accès pilote comme périmètre.
3.  Dans le contrôle d’accès, choisissez le groupe cible utilisé par la politique. **Un champ vide crée une règle d’autorisation par défaut sur le nœud de routage, pas un refus par défaut.** Vérifiez **Auto Apply** et les autres paramètres, enregistrez, puis contrôlez l’état, le nœud et le périmètre.
4.  Attendez la réception sur les terminaux, testez séparément les accès autorisés et interdits attendus et confirmez le chemin réel à la sortie et à destination. Avec plusieurs sorties automatiques et sans choix explicite du terminal, ne supposez pas qu’une sortie sera choisie selon l’ordre de la liste ; vérifiez l’état du terminal selon les procédures internes.

Une sortie IPv4 ne signifie ni distribution automatique d’une route IPv6 par défaut ni passage de tout le trafic IPv6 par cette sortie. Les routes plus spécifiques, paramètres du terminal, applications et conditions réseau influencent le chemin. Configurez et testez séparément les restrictions des autres chemins ; ne vous fiez pas seulement à l’interrupteur du nœud.

## Paramètres avancés

-   **Application automatique :** activée initialement à la création. Cet interrupteur ne contrôle pas la distribution de la route par le serveur aux terminaux de son périmètre. Les routes réseau et de domaine ordinaires peuvent rester sélectionnées lorsqu’il est désactivé si le terminal ne les a pas explicitement exclues. La sélection d’une route par défaut dépend aussi des choix du terminal et des autres routes par défaut. Ne considérez pas cet interrupteur comme une restriction d’accès ou un retrait de route. Pour retirer une route, désactivez-la ou modifiez son périmètre, puis vérifiez le résultat avec la politique d’accès, les autres chemins et l’état réel du terminal.
-   **Conserver la route :** après changement de résolution du domaine, conserve les routes vers les adresses IP qui ne sont plus renvoyées. Évaluez le risque d'accès persistant aux anciennes adresses. Désactivée initialement.
-   **Masquage d'adresse :** utilise l'adresse du nœud pour le trafic transféré et peut réduire le besoin de routes de retour supplémentaires sur le réseau cible. La source visible à destination peut changer. Activé initialement ; le transfert, le pare-feu et le retour réel restent à vérifier.

## Tester les correspondances et modifier l’ordre

1.  Dans **Zero Trust > Routes**, choisissez **Test Routes**, saisissez une adresse IPv4, un CIDR IPv4 ou un domaine exact, puis lancez le test. `10.20.30.15` et `app.example.com` sont des exemples, pas des valeurs par défaut.
2.  Examinez les routes, cibles, nœuds, priorités et raisons de correspondance. Le test porte sur les routes activées chargées par la page : une adresse doit appartenir au réseau et un CIDR être entièrement couvert. Les domaines sont comparés exactement, sans résolution préalable en IP ni correspondance automatique d’un sous-domaine avec son domaine parent. La catégorie de la liste ne limite pas le test.
3.  L’ordre indique une correspondance de configuration ; il ne vérifie ni le périmètre du terminal, ni la politique d’accès, le DNS, la disponibilité du nœud ou la connectivité métier. L’absence de résultat ne prouve pas l’absence d’autres chemins réseau. Poursuivez les vérifications réelles ci-dessous.
4.  Pour modifier l’ordre, utilisez un compte autorisé à écrire, passez à **All**, faites glisser une ligne et attendez l’enregistrement. Plusieurs priorités peuvent être modifiées. En cas d’échec, rechargez la liste et contrôlez chaque route sans supposer que toutes les modifications ont été annulées. L’ordre configuré ne garantit pas le chemin réel ; vérifiez le périmètre, le nœud et le réseau du terminal.

## Vérifier, modifier et dépanner

1.  Vérifiez que la route est active, que cible, périmètre et nœud sont corrects, ainsi que la connexion et la réception de configuration des terminaux et nœuds.
2.  Vérifiez d'abord l'accès au service depuis le nœud. Pour une route de domaine, vérifiez aussi la résolution sur le terminal et l'écoute du service sur le protocole et le port nécessaires.
3.  Testez l'accès métier depuis un terminal autorisé et la restriction depuis un terminal non autorisé. En cas d'écart, vérifiez si le groupe cible est vide, les sources et destinations, protocoles, ports et autres politiques applicables.
4.  Si le nœud atteint la cible mais pas le terminal, vérifiez distribution de route, transfert du nœud, pare-feu cible et retour. En cas de masquage, vérifiez aussi ce réglage et la source visible à destination.
5.  Avant modification, désactivation ou suppression, consignez la configuration et évaluez les dépendances métier. Après modification dans la liste, revérifiez la distribution et les accès autorisés et refusés. L'enregistrement ne prouve ni connectivité ni isolation.