Résumé

  • L’avis actuel de Broadcom prévoit le retrait des anciennes adresses de la zone de localisation de Paris le 29 septembre.
  • Le fournisseur signale un risque de blocage chez Microsoft lié à la géolocalisation des nouvelles adresses, distinct de la connectivité au service.

Un accès internet peut rester opérationnel alors qu’une application refuse soudain la connexion. Le transfert de la zone de localisation parisienne de Cloud Secure Web Gateway vers un point de présence de calcul à Douvres, au Royaume-Uni, donne un exemple concret de cette dépendance entre fournisseurs.

L’avis de Broadcom indique une opération en cours. La mise à jour du 17 août a remplacé le calendrier initial par un déplacement fixé au 1er septembre et un retrait des anciennes adresses au 29 septembre. Il s’agit des échéances annoncées, pas d’une confirmation que tous les clients ont déjà basculé. Avis de Broadcom.

Trois lectures différentes du lieu

Une zone de localisation permet à Cloud SWG de demander du contenu avec une adresse censée correspondre au pays de l’utilisateur. Cette fonction ne désigne pas nécessairement le lieu du calcul. Elle ne détermine pas non plus la manière dont un autre service situe cette adresse.

Le 28 août, Broadcom a signalé que des clients appliquant Microsoft Conditional Access via le nouveau point de présence pourraient ne plus accéder aux services Microsoft. Le fournisseur attribue ce problème à une géolocalisation incorrecte des nouvelles adresses Cloud SWG par Microsoft. L’avis ne fournit ni nombre de clients touchés vérifié indépendamment, ni durée d’incident établie.

La documentation de Microsoft décrit le mécanisme général : l’emplacement peut être déterminé par l’adresse IP publique ou par le GPS d’Authenticator. Pour une détermination par IP, une table mise à jour périodiquement associe l’adresse à un pays ou une région. L’adresse privée du poste sur le réseau interne n’est pas celle que voit le service public. Documentation de Microsoft sur les conditions réseau.

Le fournisseur de passerelle, la plateforme d’identité et l’entreprise cliente interviennent donc dans des décisions différentes. Une route disponible ne suffit pas à prouver que la règle d’accès donnera le résultat attendu.

La redirection ne reprend pas toute l’administration

Broadcom distingue les modes de connexion. Certains agents et les flux utilisant son nom d’hôte proxy standard sont redirigés automatiquement. Les tunnels IPsec et les configurations visant une adresse ou un point de présence précis demandent un traitement distinct. L’avis distingue également les règles permettant de joindre la passerelle et celles par lesquelles une application tierce accepte ses adresses de sortie.

Cette dernière liste ne doit pas devenir, par simple copier-coller, une liste de réseaux d’entreprise de confiance. Microsoft met en garde contre l’ajout d’adresses de sortie non dédiées ou impossibles à énumérer aux emplacements nommés de confiance. Cet avertissement général ne dit pas que toutes les adresses de Broadcom sont partagées. Il rappelle que permettre une connexion et lui accorder une confiance particulière ne sont pas la même chose. Documentation de Microsoft sur l’évaluation continue des accès.

Pour l’acheteur d’un service de sécurité géré, la limite est claire : l’automatisation du routage ne règle pas toutes les hypothèses de sa politique d’identité. Aucun coût de migration mesuré, changement de prix ou engagement de résidence des données ne peut être déduit de cet avis.