Gestion et sécurité des ports

Imaginez un serveur comme un immeuble d’appartements. Chaque appartement possède un numéro, et les visiteurs doivent savoir quel numéro rejoindre. En réseau, ces « numéros d’appartement » s’appellent des ports.

Les ports réseau sont des points d’accès à la communication. Ils aident votre serveur à diriger le trafic réseau entrant vers le service ou l’application approprié. Chaque port reçoit un numéro unique compris entre 0 et 65535.

De nombreux services utilisent des numéros de port standard et bien connus. Les connaître vous aide à identifier les services et à configurer les pare-feu.

• Port 22 : utilisé par SSH (Secure Shell) pour l’accès à distance.
• Port 80 : utilisé par HTTP (protocole de transfert hypertexte) pour le trafic Web standard.
• Port 443 : utilisé par HTTPS (HTTP sécurisé) pour le trafic Web chiffré.
• Port 53 : utilisé par DNS (système de noms de domaine) pour la résolution des noms.

Ce ne sont que quelques exemples : des milliers de ports existent pour diverses applications.

Avant d’ouvrir de nouveaux ports, il est utile de savoir lesquels sont déjà actifs sur votre serveur. La commande ss (statistiques des sockets) est un outil moderne permettant d’inspecter les sockets réseau.

Les options -ltn affichent numériquement les sockets TCP en écoute, sans résoudre les noms d’hôte.

UFW (pare-feu simplifié) est un outil populaire de gestion des pare-feu sur Ubuntu et les autres systèmes fondés sur Debian. Il simplifie la configuration des règles iptables.

Pour autoriser ou refuser le trafic, vous indiquez le numéro de port et le protocole (TCP ou UDP). Pensez à recharger ou à activer UFW après toute modification.

Sur les systèmes CentOS, RHEL et Fedora, firewalld est l’outil de gestion du pare-feu installé par défaut. Il utilise des « zones » pour gérer différentes interfaces réseau.

Vous ajoutez les règles à une zone, généralement la zone public pour les services accessibles depuis Internet, puis vous rechargez firewalld pour appliquer les changements.

La redirection de port est une technique qui redirige le trafic réseau d’un port vers un autre. Elle peut s’effectuer sur la même machine ou d’une machine à une autre.

Elle sert souvent à permettre à des appareils externes d’accéder à des services sur un réseau privé, ou à faire transiter du trafic de manière sécurisée par un serveur intermédiaire.

La redirection de port locale avec SSH est un type courant de redirection. Elle crée un tunnel sécurisé depuis votre machine locale vers un serveur distant, puis de ce serveur distant vers un autre hôte et port cible (qui peut même être le serveur distant lui-même).

Elle est utile pour accéder à des services sur un réseau privé distant qui ne sont pas directement exposés à Internet, comme une base de données ou une application Web interne.

Voici comment utiliser la redirection de port locale SSH. Cette commande redirige le trafic du port 8080 de votre machine locale vers le port 80 de localhost (le serveur distant lui-même), via la connexion SSH vers your_server_ip.

Une fois la connexion établie, vous pouvez accéder au serveur Web distant (sur le port 80) en ouvrant http://localhost:8080 sur votre machine locale.

La gestion des ports est essentielle à la sécurité d’un serveur. Voici les principales pratiques à suivre :

• Principe du moindre privilège : ouvrez uniquement les ports absolument nécessaires au fonctionnement de vos services.
• Audits réguliers : vérifiez régulièrement les règles de votre pare-feu et les ports actifs en écoute afin de vous assurer qu’aucun port non autorisé n’est ouvert.
• Mots de passe et clés robustes : pour les services comme SSH, utilisez toujours une authentification robuste.
• Limitation du débit : envisagez de limiter les tentatives de connexion vers les ports critiques (comme SSH) afin de prévenir les attaques par force brute.

Lesquelles des pratiques suivantes sont considérées comme de bonnes pratiques de sécurité lors de la gestion des ports d’un serveur ?

Dans cette leçon, nous avons étudié les ports réseau, qui sont essentiels pour diriger le trafic vers les services d’un serveur. Nous avons découvert les numéros de port courants et appris à vérifier les ports en écoute avec ss.

Vous savez maintenant gérer les règles de pare-feu avec UFW et firewalld, et vous comprenez le concept de redirection de port locale SSH. Nous avons également couvert les bonnes pratiques de sécurité des ports pour protéger votre serveur.