WatchGuard Firebox pour PME : gammes T et M, Total Security Suite et gestion cloud

WatchGuard est notre second pare-feu de référence, aux côtés de Fortinet. Nous sommes partenaire WatchGuard et nous le recommandons aux PME qui veulent une sécurité complète avec une administration accessible, sans ingénieur réseau en interne. Encore faut-il choisir le bon modèle, la bonne licence, et configurer le boîtier pour qu’il protège réellement. Voici la gamme, nos critères de choix, les réglages que nous appliquons et les erreurs que nous rencontrons le plus souvent.

Les gammes en deux mots

• Firebox T, de bureau : la nouvelle génération comprend le T115-W, le T125, le T145 et le T185. Les T115-W, T125-W et T145-W intègrent le Wi-Fi 7 ; le T185 apporte deux ports PoE+ pour alimenter un point d’accès ou un petit équipement. Compacts et discrets, ils représentent la majorité de nos déploiements en PME et en agence.
• Firebox M, rackables : M295, M395 et modèles supérieurs pour les sièges plus importants, avec davantage de ports 2,5 GbE et des ports fibre SFP+.
• FireboxV et Firebox Cloud : versions virtuelles pour les hyperviseurs et pour les clouds publics comme Azure ou AWS, utiles pour protéger une infrastructure virtualisée, comme celles que nous décrivons dans Proxmox et Ceph en haute disponibilité. Vérifiez la compatibilité exacte de votre hyperviseur avant de choisir cette option.

Les repères ci-dessous sont ceux publiés par WatchGuard sur son comparateur officiel : ce sont des valeurs maximales, votre débit réel sera plus faible.

Modèle	Repère WatchGuard	UTM (analyse complète)	HTTPS (analyse complète)	Interfaces	Notre usage
Firebox T115-W	5 utilisateurs	280 Mbit/s	140 Mbit/s	3 x 1 GbE, Wi-Fi 7	Indépendants, micro-bureaux
Firebox T125 / T125-W	25 utilisateurs	510 Mbit/s	270 Mbit/s	1 x 2,5 GbE, 4 x 1 GbE	Agences, cabinets, boutiques
Firebox T145 / T145-W	50 utilisateurs	710 Mbit/s	380 Mbit/s	1 x 2,5 GbE, 4 x 1 GbE, 1 x SFP/SFP+	Le choix le plus fréquent en PME
Firebox T185	100 utilisateurs	1,83 Gbit/s	1 Gbit/s	4 x 1 GbE, 4 x 2,5 GbE (dont 2 PoE+), 1 x SFP/SFP+	Grandes agences, PME chargées
Firebox M295	100 utilisateurs	1,85 Gbit/s	1,12 Gbit/s	4 x 2,5 GbE, 4 x 1 GbE, 2 x SFP+	Sièges qui portent les VPN des agences
Firebox M395	250 utilisateurs	3 Gbit/s	1,9 Gbit/s	12 x 2,5 GbE, 2 x SFP, 2 x SFP+	Sièges multi-sites importants
FireboxV / Firebox Cloud	Selon l’instance	Selon l’instance	Selon l’instance	Virtuelles	Protection de serveurs virtualisés

La génération précédente (T25, T45, T85, M290, M390) reste très présente dans le parc installé. Pour la remplacer, comparez les débits publiés plutôt que les numéros de modèle : le détail, modèle par modèle, figure dans notre guide Firebox T125, T145, T185 ou M295 : quel modèle choisir.

Comment dimensionner un Firebox

Comme chez Fortinet, le chiffre à retenir n’est pas le débit pare-feu de la fiche technique, mais le débit UTM, mesuré avec toutes les protections actives, et le débit HTTPS, mesuré avec l’inspection du trafic chiffré. Ce sont eux qu’il faut comparer à vos besoins. Cinq critères font monter ou descendre d’un modèle.

1. Le nombre d’utilisateurs et d’appareils, avec 30 % de marge pour la croissance. Téléphones IP, caméras et imprimantes passent eux aussi par le pare-feu.
2. Le télétravail : chaque tunnel VPN consomme de la capacité, et un siège qui porte les tunnels de ses agences se dimensionne en conséquence.
3. Les liens internet : le débit UTM doit couvrir la somme des liens actifs, fibre principale et secours compris. Le choix de la fibre se fait avant celui du pare-feu, comme nous l’expliquons dans fibre entreprise au Maroc.
4. La segmentation : quand postes, serveurs et WiFi invité sont séparés, le trafic interne traverse le Firebox et s’ajoute au trafic internet.
5. Les ports : fibres SFP+, ports 2,5 GbE, secours 4G, commutateurs, points d’accès à alimenter en PoE.

Basic ou Total Security Suite

Le boîtier se vend avec un abonnement pluriannuel. Le niveau d’entrée, Standard Support, ne couvre que le pare-feu, le VPN, le SD-WAN et l’Access Portal : aucun service de sécurité.

• Basic Security Suite : les protections essentielles, dont la prévention d’intrusion, l’antivirus de passerelle, le filtrage web WebBlocker, l’anti-spam spamBlocker et le contrôle applicatif, avec 45 jours de journaux dans WatchGuard Cloud. Peut suffire à un petit site sans données sensibles.
• Total Security Suite : tout ce qui précède, plus APT Blocker pour l’analyse des fichiers inconnus, DNSWatch pour le filtrage DNS, IntelligentAV, ThreatSync XDR pour corréler les alertes, EDR Core sur les postes, 365 jours de journaux et le support Gold 24x7. C’est ce que nous installons dans la grande majorité des cas : face aux ransomwares, ce sont précisément ces couches qui font la différence.

Suite	Pour qui	Notre avis
Aucun abonnement ou Standard Support seul	Personne	À éviter : le Firebox route, mais ne filtre pas les menaces
Basic Security Suite	Petit site, pas de données sensibles	Acceptable, à réévaluer en cas de croissance
Total Security Suite	La plupart des PME	Le choix par défaut

Sur plusieurs années, l’abonnement pèse lourd dans le coût total : comparez les devis sur la durée complète, matériel et licences, et notez la date de renouvellement. Un Firebox dont l’abonnement a expiré continue de faire passer le trafic, mais ne se met plus à jour.

Ce que WatchGuard fait particulièrement bien

• WatchGuard Cloud : administration, journaux et rapports de tous les sites dans une console unique, sans serveur à installer. Idéal pour un réseau d’agences.
• AuthPoint : la MFA de WatchGuard, intégrée au VPN, au bureau à distance et aux applications cloud, avec une application mobile simple. Nous en parlons dans notre guide MFA.
• Rapports lisibles : les tableaux de bord parlent à un dirigeant, pas seulement à un ingénieur.
• Points d’accès WiFi gérés depuis la même console, avec les mêmes règles de sécurité.

Les réglages que nous appliquons sur chaque Firebox

Un Firebox bien choisi ne protège que s’il est bien configuré. Nos réglages de base :

• Administration restreinte aux réseaux internes, comptes nominatifs, MFA.
• Fireware à jour sur une version stable, avec une fenêtre de maintenance planifiée.
• Inspection du contenu HTTPS sur les règles sortantes, avec le certificat déployé sur les postes et des exceptions documentées.
• Services de sécurité activés sur chaque règle vers internet, pas seulement sur la première.
• Segmentation en réseaux distincts : postes, serveurs, téléphonie, caméras, WiFi invité.
• Géolocalisation pour bloquer en entrée les pays sans lien avec votre activité.
• VPN avec AuthPoint, accès limité aux ressources utiles.
• Journaux envoyés dans WatchGuard Cloud, sauvegarde de la configuration après chaque changement.

La logique est la même que sur un FortiGate : nous la détaillons point par point dans les 10 réglages de sécurité d’un FortiGate.

Les erreurs que nous corrigeons le plus

1. Un modèle choisi sur le débit pare-feu, saturé dès que l’inspection HTTPS est activée.
2. L’inspection HTTPS désactivée « parce que ça pose problème », ce qui rend l’antivirus et APT Blocker aveugles sur la majorité du trafic.
3. Un abonnement expiré depuis des mois sans que personne ne le remarque.
4. AuthPoint acheté mais jamais déployé sur le VPN.
5. Un réseau à plat, où un poste infecté voit directement les serveurs et les sauvegardes.
6. Aucun rapport consulté : les alertes s’accumulent dans la console sans être lues.

Checklist avant de commander

• Nombre d’utilisateurs, d’appareils et de télétravailleurs, marge de 30 % comprise.
• Débit UTM du modèle comparé à la somme de vos liens internet.
• Trafic interne entre réseaux segmentés pris en compte.
• Ports nécessaires listés, dont le PoE.
• Suite de sécurité choisie, durée d’abonnement et date de renouvellement notées.
• AuthPoint prévu pour le VPN et les accès distants.
• Plan de migration des règles existantes et fenêtre de bascule définie.

Firebox ou FortiGate

Nous proposons les deux, et le choix dépend du contexte, comme nous le détaillons dans FortiGate ou WatchGuard pour une PME. En résumé : FortiGate, que nous déployons en tant que partenaire Fortinet, pour les réseaux complexes, multi-sites et le SD-WAN avancé ; Firebox pour les PME qui veulent une console claire, la MFA intégrée et une administration déléguée simple.

Comment nous procédons

1. Audit du réseau et du trafic existant, offert.
2. Choix du modèle avec 30 % de marge de croissance, Total Security Suite le plus souvent.
3. Configuration : segmentation, inspection HTTPS, filtrage DNS, géolocalisation, VPN avec AuthPoint.
4. Bascule en dehors des heures de production pour éviter toute coupure.
5. Raccordement à WatchGuard Cloud et à notre supervision 24/7, avec prise en charge des alertes critiques en moins de 15 minutes.
6. Rapport mensuel intégré à votre contrat d’infogérance.

Ce déploiement fait partie de notre offre de cybersécurité pour les entreprises, complétée si besoin par un EDR sur les postes. Vous trouverez des exemples anonymisés dans nos réalisations. Pour choisir votre Firebox à partir de votre trafic réel, contactez-nous : nous vous répondons sous 24 h ouvrées.