WatchGuard Cloud : gérer ses Firebox à distance (ou en local)

La réponse courte : un pare-feu WatchGuard Firebox peut être géré dans WatchGuard Cloud, la console en ligne de WatchGuard, ou géré localement avec Fireware Web UI, WatchGuard System Manager (WSM) ou la ligne de commande. Dans le premier cas, toute la configuration vit dans le cloud. Dans le second, on continue de configurer le boîtier comme avant, et on l’ajoute à WatchGuard Cloud pour la supervision, les journaux et les rapports. Pour une PME ou un réseau d’agences, nous recommandons la gestion cloud dans la majorité des nouveaux déploiements ; la gestion locale reste justifiée quand on a besoin d’une fonction que le cloud ne propose pas.

Le choix du modèle et de la licence est traité dans notre guide WatchGuard Firebox pour PME. Ce guide-ci porte sur l’administration au quotidien : ce que chaque mode permet, ce qu’il ne permet pas, et comment passer de l’un à l’autre. Les éléments cités proviennent de la documentation de WatchGuard. Nous administrons des Firebox dans les deux modes en tant que partenaire WatchGuard au Maroc.

Les trois outils d’administration

• WatchGuard Cloud : la console en ligne, sans serveur à installer. Elle réunit les Firebox, la MFA AuthPoint, la protection des postes, les points d’accès WiFi et ThreatSync. Elle est multi-locataire, ce qui permet à un prestataire de gérer plusieurs entreprises séparément.
• Fireware Web UI : l’interface web intégrée à chaque Firebox. Simple et toujours disponible, mais limitée à un boîtier à la fois.
• WatchGuard System Manager (WSM) : l’application Windows historique, avec Policy Manager pour les règles et le Management Server pour gérer plusieurs Firebox et des modèles. WatchGuard continue de développer le Management Server ; en revanche, les anciens serveurs de journaux, de rapports et de quarantaine de WSM ont été retirés à partir de la version 12.9. Pour des journaux et rapports sur site, WatchGuard oriente vers Dimension, une machine virtuelle pour VMware ou Hyper-V.

Ce que les deux modes partagent

Qu’il soit géré dans le cloud ou en local, un Firebox ajouté à WatchGuard Cloud bénéficie de la même supervision : état du boîtier, journaux, rapports, mises à jour du firmware, actions système et données envoyées à ThreatSync, la couche XDR qui corrèle pare-feu et postes. L’envoi vers un serveur syslog, Dimension, SNMP ou NetFlow reste possible dans les deux modes. Ce qui change, c’est l’endroit où l’on modifie la configuration.

Gestion cloud ou gestion locale : le comparatif

Fonction	WatchGuard Cloud	WSM	Fireware Web UI
Configuration de plusieurs Firebox par modèles	Oui	Oui	Non
Planification et déploiement différé des changements	Oui	Non	Non
Retour à une configuration déployée précédemment	Oui	Non	Non
Gestion des sauvegardes du Firebox	Non	Oui	Oui
FireCluster actif/passif	Oui	Oui	Non
FireCluster actif/actif	Non prévu	Oui	Non
SD-WAN	Oui	Oui	Oui
Mobile VPN with IKEv2 et SSL	Oui	Oui	Oui
Mobile VPN with IPSec et L2TP	Non prévu	Oui	Oui
Basculement BOVPN entre Firebox gérés dans le cloud	Oui	Non	Non
Proxy explicite, quotas	Non	Oui	Oui
Mode drop-in, contrôleur WiFi intégré au Firebox	Non prévu	Oui	Oui

Source : comparatif « Firebox Feature Comparison — Locally-Managed and Cloud-Managed » de WatchGuard. La liste évolue à chaque version : avant toute décision, nous vérifions la ligne qui vous concerne sur la page à jour.

Autres différences structurelles en gestion cloud : pas de zone de sécurité « Optional », actions de proxy non personnalisables, une seule configuration d’exceptions partagée par toutes les règles, et des VPN site à site basés sur des interfaces virtuelles (routés), en plus des VPN basés sur des règles. Certaines fonctions, comme l’inspection entrante ou la répartition de charge entre serveurs, sont annoncées comme prévues mais pas encore disponibles.

Ce que la gestion cloud apporte vraiment

• Le multi-sites sans serveur : un siège et ses agences se configurent depuis la même console, avec des modèles appliqués à plusieurs boîtiers. C’est la grande différence avec Fireware Web UI.
• Des changements planifiés : on prépare une modification, puis on la déploie à l’heure choisie, par exemple hors des heures de production.
• Le retour arrière : on peut revenir à une configuration déployée précédemment.
• Le basculement des VPN site à site entre Firebox gérés dans le cloud.
• L’intégration naturelle avec AuthPoint, la protection des postes et ThreatSync, dans la même console.

Pour des agences reliées entre elles, le sujet rejoint celui du SD-WAN, que nous comparons côté Fortinet dans SD-WAN FortiGate multi-sites et entre constructeurs dans FortiGate ou WatchGuard pour une PME.

Quand garder la gestion locale

La gestion locale reste le bon choix si vous utilisez une fonction absente du cloud : Mobile VPN with IPSec avec des profils par groupe, proxy explicite, quotas, mode drop-in, FireCluster actif/actif ou contrôleur WiFi intégré au Firebox. Elle convient aussi à une équipe qui a déjà ses habitudes et ses modèles dans WSM. Dans ce cas, nous ajoutons quand même le Firebox à WatchGuard Cloud pour la visibilité et les rapports : on garde la configuration locale, et on gagne la supervision centralisée.

Quel mode pour quelle entreprise

Votre situation	Notre recommandation
Nouveau Firebox, un seul site, pas d’équipe réseau interne	Gestion cloud
Siège et plusieurs agences à relier et à administrer ensemble	Gestion cloud, avec modèles
Firebox existant en IPSec avec profils par groupe, ou proxy explicite	Gestion locale, ajoutée au cloud pour la supervision
Haute disponibilité en FireCluster actif/actif	Gestion locale avec WSM
Équipe interne déjà formée à WSM, avec ses propres modèles	Gestion locale, puis réévaluation à chaque renouvellement
Besoin de journaux sur site, hors cloud	Gestion locale avec Dimension, ou en complément du cloud

Ce tableau reflète notre pratique, pas une règle du constructeur. La bonne réponse dépend surtout des fonctions réellement utilisées sur vos boîtiers, et c’est pourquoi notre audit commence toujours par leur inventaire. Un point rassurant : le choix n’est pas définitif. Un Firebox géré localement peut passer au cloud plus tard, et l’inverse reste possible.

Licences et conservation des journaux

Pour être ajouté à WatchGuard Cloud, un Firebox doit avoir une licence active : Total Security Suite, Prime Security Suite, Basic Security Suite ou Standard Support. La durée de conservation des données dépend de cette licence.

Licence	Journaux (Log Manager, Log Search)	Rapports
Standard Support	Aucun envoi de journaux	Aucun
Basic Security Suite	45 jours	1 jour
Prime Security Suite	90 jours	7 jours
Total Security Suite	365 jours	30 jours

Source : page « About Firebox WatchGuard Cloud Licenses » de WatchGuard. Une licence Data Retention, propre à chaque modèle de Firebox, ajoute des jours à ces durées. Pour un dirigeant, cela compte : sans journaux conservés, il est impossible de reconstituer un incident après coup. Avec Standard Support, il n’y a ni journaux ni rapports dans le cloud. Si l’abonnement Basic ou Total d’un Firebox géré dans le cloud expire, un délai de grâce de sept jours s’ouvre, pendant lequel les journaux continuent d’arriver.

Les rapports peuvent être programmés pour une diffusion régulière. Nous les intégrons au compte rendu mensuel décrit dans supervision informatique : les indicateurs à suivre.

Passer un Firebox existant en gestion cloud

C’est le point que l’on sous-estime le plus : la configuration locale n’est pas convertie. WatchGuard indique qu’on ne peut pas transformer la configuration d’un Firebox géré localement lors du passage initial au cloud. Il faut en créer une nouvelle, à partir de zéro ou en copiant celle d’un autre Firebox du même compte déjà géré dans le cloud, avec la même licence. Après le passage, on peut importer certains éléments du fichier local : réseaux, alias, routes et serveurs syslog.

La démarche recommandée par WatchGuard, que nous suivons :

1. Sauvegarder le fichier de configuration local à jour.
2. Mettre à jour Fireware vers une version récente.
3. Ajouter d’abord le Firebox au cloud en supervision, puis lancer le rapport d’utilisation des règles (Policy Usage Report) pour repérer les règles inutiles.
4. Lancer le passage à la gestion cloud et construire la nouvelle configuration. Tant que la première configuration cloud n’est pas déployée, le Firebox continue de tourner avec l’ancienne.
5. Planifier le déploiement à une heure creuse, puis tester chaque flux : internet, VPN, téléphonie, applications.

Si besoin, on peut revenir en arrière en retirant le Firebox de la gestion cloud depuis les paramètres de l’appareil : il redevient géré localement avec la dernière configuration déployée. Attention à ne pas confondre avec la suppression complète de l’appareil du compte.

Les erreurs que nous corrigeons

1. Un passage au cloud sans inventaire des fonctions utilisées, qui découvre trop tard qu’un VPN IPSec ou un proxy explicite n’y est pas disponible.
2. Des règles recopiées une à une sans nettoyage, au lieu de profiter du passage pour supprimer l’inutile.
3. Un Firebox en Standard Support dont on croit les journaux conservés dans le cloud.
4. Des modifications faites directement sur le boîtier pendant qu’on prépare la configuration cloud, puis perdues.
5. Des rapports programmés que personne ne lit.
6. Des comptes d’administration partagés dans WatchGuard Cloud, sans MFA ni rôle défini par personne.

Checklist avant de choisir le mode de gestion

• Liste des fonctions utilisées : types de VPN, proxy, quotas, FireCluster, WiFi.
• Nombre de sites et de Firebox à administrer.
• Licence de chaque Firebox et durée de conservation des journaux nécessaire.
• Version de Fireware de chaque boîtier.
• Sauvegarde de la configuration locale et rapport d’utilisation des règles.
• Fenêtre de bascule et plan de retour arrière.
• Comptes d’administration nominatifs, avec MFA.

Comment nous procédons

Nous commençons par un audit initial offert de vos Firebox : modèles, licences, versions, fonctions utilisées. Nous recommandons ensuite le mode de gestion, préparons la nouvelle configuration en nettoyant les règles, puis planifions la bascule hors des heures de production, site par site. Les comptes d’administration sont nominatifs et protégés par AuthPoint, les journaux sont conservés selon votre licence, et les Firebox sont supervisés 24/7, avec une prise en charge des incidents critiques en moins de 15 minutes.

Ce service fait partie de notre offre infrastructure réseau et WiFi et de notre offre de cybersécurité au Maroc. Pour l’accès des télétravailleurs, lisez VPN WatchGuard : Mobile VPN IKEv2, SSL et télétravail. Demandez votre audit initial offert : nous vous répondons sous 24 h ouvrées.