Comprendre les pare-feu (UFW/firewalld)

Imaginez que votre serveur est une maison. Un pare-feu agit comme un agent de sécurité à la porte, qui décide qui peut entrer et sortir. C’est un élément essentiel de la sécurité d’un serveur.

Les pare-feu empêchent les accès non autorisés et protègent votre serveur contre les attaques malveillantes en contrôlant le trafic réseau.

Les pare-feu utilisent un ensemble de règles pour examiner le trafic réseau entrant et sortant. Ces règles s’appuient sur les éléments suivants :

• Adresse IP source ou de destination : l’origine ou la destination du trafic.
• Numéros de port : des « portes » spécifiques pour les services (par exemple, le port 22 pour SSH et le port 80 pour HTTP).
• Protocoles : comme TCP ou UDP.

Ils autorisent ou refusent le trafic correspondant à ces règles.

Sur les systèmes fondés sur Debian, comme Ubuntu, l’outil de pare-feu le plus courant est UFW, qui signifie « pare-feu simplifié ».

UFW est conçu pour être facile à utiliser. Les débutants peuvent ainsi gérer simplement les règles du pare-feu sans devoir manipuler directement des commandes `iptables` complexes.

Par défaut, UFW est configuré pour assurer la sécurité :

• Refuser les connexions entrantes : toutes les connexions entrantes sont bloquées, sauf si elles sont explicitement autorisées.
• Autoriser les connexions sortantes : votre serveur peut établir des connexions vers l’extérieur.

Vous devez donc ouvrir explicitement les ports des services que vous souhaitez rendre accessibles depuis Internet, comme un serveur Web ou SSH.

Avant d’activer UFW, il est essentiel d’autoriser l’accès SSH, sinon vous risquez de vous retrouver bloqué hors de votre serveur ! Après avoir autorisé SSH, vous pouvez activer UFW.

Essayez d’exécuter ces commandes :

UFW peut autoriser le trafic des services courants à partir de leur nom (s’il est défini dans /etc/services) ou de leur numéro de port. Autorisons HTTP (trafic Web) et SSH :

Vous devez parfois ouvrir un port spécifique qui ne correspond pas à un service standard nommé, comme le port 8080 pour une application personnalisée. Vous pouvez également préciser le protocole : TCP ou UDP.

Voici comment autoriser le trafic TCP sur le port 8080 :

Sur les systèmes fondés sur Red Hat, comme CentOS et Fedora, l’outil de gestion du pare-feu est firewalld. Il s’agit d’un service de pare-feu dynamique : vous pouvez modifier les règles sans redémarrer l’ensemble du service de pare-feu.

firewalld utilise le concept de « zones » pour gérer les règles, ce qui offre une approche plus flexible de la sécurité.

firewalld organise les règles du pare-feu en zones. Chaque zone possède un ensemble de règles par défaut et peut être associée à des interfaces réseau.

Les zones courantes sont notamment :

• public : pour les réseaux non fiables (par défaut pour les interfaces externes).
• home/internal : pour les réseaux fiables.
• trusted : toutes les connexions réseau sont acceptées.

Vous pouvez ainsi appliquer différents niveaux de sécurité selon le niveau de confiance accordé au réseau.

Pour autoriser des services avec firewalld, vous indiquez le service et la zone, puis utilisez l’option --permanent pour que la règle soit conservée après un redémarrage. Vous devez ensuite recharger firewalld.

Ouvrons SSH et HTTP dans la zone public :

Vous avez découvert UFW et firewalld. Lesquelles des affirmations suivantes concernant ces outils de pare-feu sont TRUE ?

Excellent travail ! Vous avez découvert le rôle essentiel des pare-feu dans la sécurité des serveurs. Vous comprenez maintenant :

• ce que sont les pare-feu et pourquoi ils sont indispensables ;
• comment fonctionne UFW sur Ubuntu/Debian, notamment son activation et l’autorisation de services ;
• comment fonctionne firewalld sur CentOS/RHEL, notamment son concept de zones et l’ajout de services.

La maîtrise de ces outils est essentielle pour contrôler l’accès au réseau et préserver la sécurité de votre serveur. Nous allons maintenant apprendre à gérer des ports précis et leurs enjeux de sécurité !