Accueil › Serveurs root › Pare-feu avec ufw

Pare-feu avec ufw

N'ouvrir que les ports nécessaires.

La règle SSH doit être définie avant ufw enable. Sinon, vous vous bloquez vous-même.

Installer :
```
sudo apt install -y ufw
```

Définir les règles par défaut :

sudo ufw default deny incoming
sudo ufw default allow outgoing

Autoriser SSH (adapter si vous avez modifié le port SSH) :
```
sudo ufw allow OpenSSH
```
Ajouter uniquement les services nécessaires, par ex. un serveur web :
```
sudo ufw allow 80/tcp
sudo ufw allow 443/tcp
```
Activer et vérifier :
```
sudo ufw enable
sudo ufw status verbose
```

Pourquoi un pare-feu directement sur la VM ?

Deuxième couche de protection : le pare-feu de l'hébergeur ou du réseau peut être mal configuré ou absent. Les règles de la VM s'appliquent quand même.
Surface d'attaque réduite : les services qui écoutent par erreur sur toutes les adresses (par ex. une base de données) ne sont pas joignables de l'extérieur.
Protection contre les scans et la force brute : les ports fermés ne reçoivent aucune réponse. Combiné à fail2ban, seul l'accès nécessaire reste ouvert.

Ports à ne pas bloquer

SSH (port 22 ou port modifié) : à autoriser toujours avant ufw enable. Sinon le serveur n'est plus joignable sans accès console. Si vous avez changé le port, ouvrez exactement ce port, pas le 22.
80 et 443 (HTTP/HTTPS) : pour les sites web et les certificats. Let's Encrypt vérifie les domaines via le port 80 ; si vous bloquez le 80, les certificats ne peuvent plus être renouvelés.
Trafic sortant : ne pas le bloquer, sinon les mises à jour, le DNS (53), le NTP (123) et les connexions HTTPS sortantes ne fonctionnent plus. C'est pourquoi default allow outgoing est défini.
ICMP (ping) : ne pas le bloquer complètement. Sans ICMP pour « fragmentation needed », les paquets plus grands posent des problèmes de connexion.
Ports des jeux : de nombreux jeux utilisent UDP et TCP sur plusieurs ports. Consultez la documentation du jeu avant de bloquer quoi que ce soit, sinon les joueurs perdent la connexion.

La console (IPMI/KVM) ne passe pas par ufw. Elle reste donc accessible même avec une mauvaise règle de pare-feu, voir IPMI et console.

Serveurs de jeu et Docker

Les conteneurs Docker publient souvent des ports en contournant ufw. Si vous utilisez Docker, vérifiez-le séparément. Pour les ports de jeu, n'ouvrez que les ports dont le jeu a réellement besoin.