<metaname="description"content="UFW, ou pare - feu simple , est une interface pour gérer les règles de pare-feu dans Arch Linux, Debian ou Ubuntu. UFW est utilisé via la ligne de commande (...">
<divclass="col-main cell cell--auto"><!-- start custom main top snippet --><divid="results-container"class="search-result js-search-result"></div><!-- end custom main top snippet -->
</details><p><em>UFW, ou pare - feu simple , est une interface pour gérer les règles de pare-feu dans Arch Linux, Debian ou Ubuntu. UFW est utilisé via la ligne de commande (bien qu’il dispose d’interfaces graphiques disponibles), et vise à rendre la configuration du pare-feu simple.</em></p>
<h2id="configurer-un-pare-feu-avec-ufw">Configurer un pare-feu avec UFW</h2>
<p>Debian démarrera automatiquement l’unité systemd d’UFW et lui permettra de démarrer au redémarrage, mais Arch ne le fera pas. Ce n’est pas la même chose que de dire à UFW d’activer les règles de pare-feu , car l’activation d’UFW avec systemd ou upstart indique uniquement au système init d’activer le démon UFW.</p>
<p>Par défaut, les jeux de règles d’UFW sont vides, de sorte qu’il n’applique aucune règle de pare-feu, même lorsque le démon est en cours d’exécution.</p>
<h3id="définir-les-règles-par-défaut">Définir les règles par défaut</h3>
<p>La plupart des systèmes n’ont besoin que d’un petit nombre de ports ouverts pour les connexions entrantes, et tous les ports restants fermés. Pour commencer avec une base simple de règles, la ufw defaultcommande peut être utilisée pour définir la réponse par défaut aux connexions entrantes et sortantes. Pour refuser toutes les connexions entrantes et autoriser toutes les connexions sortantes, exécutez:</p>
<p><codeclass="language-plaintext highlighter-rouge">ufw default</code> permet également l’utilisation du paramètre <codeclass="language-plaintext highlighter-rouge">reject</code></p>
<blockquote>
<p>Mise en garde<br/>
La configuration d’une règle de rejet ou de refus par défaut peut vous bloquer sauf si des règles d’autorisation explicites sont en place. Assurez-vous que vous avez configuré les règles d’autorisation pour SSH et d’autres services critiques conformément à la section ci-dessous avant d’appliquer les règles de refus ou de rejet par défaut.</p>
</blockquote>
<h3id="ajout-de-règle">Ajout de règle</h3>
<p>Les règles peuvent être ajoutées de deux manières: en indiquant le <u>numéro de port</u> ou en utilisant le <u>nom du service</u> .</p>
<h3id="règles-de-base">Règles de base</h3>
<h4id="refuser-le-trafic-sur-un-certain-port">refuser le trafic sur un certain port</h4>
<p>De même, pour refuser le trafic sur un certain port (dans cet exemple, 111), vous n’auriez qu’à exécuter:</p>
<h4id="autoriser-les-paquets-basés-sur-tcp-ou-udp">Autoriser les paquets basés sur TCP ou UDP</h4>
<p>Pour affiner davantage vos règles, vous pouvez également autoriser les paquets basés sur TCP ou UDP. Les éléments suivants autoriseront les paquets TCP sur le port 80:</p>
<h4id="autoriser-les-connexions-à-partir-dune-adresse-ip">Autoriser les connexions à partir d’une adresse IP</h4>
<p>En plus d’autoriser ou de refuser basé uniquement sur le port, UFW vous permet également d’autoriser/bloquer par les adresses IP, les sous-réseaux et une combinaison adresse IP/sous-réseau/port.</p>
<p>Pour autoriser les connexions à partir d’une <strong>adresse IP</strong>:</p>
<divclass="language-plaintext highlighter-rouge"><divclass="highlight"><preclass="highlight"><code>sudo ufw allow from 198.51.100.0
</code></pre></div></div>
<h4id="autoriser-les-connexions-à-partir-dune-adresse-ip-et-port">Autoriser les connexions à partir d’une adresse IP et Port</h4>
<p>Pour autoriser une combinaison <strong>adresse IP/port spécifique</strong>:</p>
<divclass="language-plaintext highlighter-rouge"><divclass="highlight"><preclass="highlight"><code>sudo ufw allow from 198.51.100.0 to any port 22 proto tcp
</code></pre></div></div>
<p><codeclass="language-plaintext highlighter-rouge">proto tcp</code> peut être supprimé ou basculé en <codeclass="language-plaintext highlighter-rouge">proto udp</code> suivant vos besoins, et toutes les instances <codeclass="language-plaintext highlighter-rouge">allow</code> peuvent être modifiées en <codeclass="language-plaintext highlighter-rouge">deny</code> en fonction des besoins.</p>
<h4id="autoriser-les-connexions-à-partir-dun-sous-réseau-spécifique">Autoriser les connexions à partir d’un sous-réseau spécifique</h4>
<p>Pour autoriser les connexions à partir d’un <strong>sous-réseau spécifique</strong>:</p>
<divclass="language-plaintext highlighter-rouge"><divclass="highlight"><preclass="highlight"><code>sudo ufw allow from 198.51.100.0/24
</code></pre></div></div>
<h4id="bloquer-une-adresse-ip">Bloquer une adresse IP</h4>
<p>Pour bloquer toutes les connexions réseau qui proviennent d’une adresse IP spécifique, 15.15.15.51 par exemple, exécutez la commande suivante :</p>
<divclass="language-plaintext highlighter-rouge"><divclass="highlight"><preclass="highlight"><code>sudo ufw deny from 15.15.15.51
</code></pre></div></div>
<p>Dans cet exemple, from 15.15.15.51 spécifie une adresse IP source de « 15.15.15.51 ». Si vous le souhaitez, vous pouvez spécifier ici un sous-réseau, tel que 15.15.15.0/24 à la place. L’adresse IP source peut être spécifiée dans toute règle de pare-feu, notamment une règle allow.</p>
<h4id="bloquer-les-connexions-à-une-interface-réseau">Bloquer les connexions à une interface réseau</h4>
<p>Pour bloquer les connexions d’une adresse IP spécifique, par exemple 15.15.15.51 à une interface réseau spécifique, par exemple eth0, utilisez la commande suivante :</p>
<divclass="language-plaintext highlighter-rouge"><divclass="highlight"><preclass="highlight"><code>sudo ufw deny in on eth0 from 15.15.15.51
</code></pre></div></div>
<p>C’est la même chose que dans l’exemple précédent, en ajoutant in on eth0. Vous pouvez spécifier l’interface réseau dans n’importe quelle règle de pare-feu. C’est un excellent moyen de limiter la règle à un réseau spécifique.</p>
<h3id="règle-ssh">Règle SSH</h3>
<h4id="autoriser-ssh">Autoriser SSH</h4>
<p>pour autoriser les connexions entrantes et sortantes sur le port 22 pour SSH, vous pouvez exécuter:</p>
<h4id="autoriser-un-ssh-entrant-avec-une-adresse-ip-ou-un-sous-réseau-spécifique">Autoriser un SSH entrant avec une adresse IP ou un sous-réseau spécifique</h4>
<p>Pour autoriser les connexions SSH entrantes à partir d’une adresse IP ou d’un sous-réseau spécifique, vous devez spécifier la source. Par exemple, si vous souhaitez autoriser l’intégralité du sous-réseau 15.15.15.0/24, vous devez exécuter la commande suivante :</p>
<divclass="language-plaintext highlighter-rouge"><divclass="highlight"><preclass="highlight"><code>sudo ufw allow from 15.15.15.0/24 to any port 22
</code></pre></div></div>
<h3id="règle-rsync">Règle rsync</h3>
<p>Si vous utilisez un serveur cloud, vous voudrez probablement autoriser les connexions SSH entrantes (port 22) afin de pouvoir vous connecter à votre serveur et le gérer. Cette section vous montre de quelle manière configurer votre pare-feu avec plusieurs règles liées au SSH.</p>
<h4id="autoriser-un-rsync-entrant-avec-une-adresse-ip-ou-un-sous-réseau-spécifique">Autoriser un Rsync entrant avec une adresse IP ou un sous-réseau spécifique</h4>
<p>Vous pouvez utiliser Rsync, qui fonctionne sur le port 873, pour transférer des fichiers d’un ordinateur à un autre.</p>
<p>Pour autoriser les connexions rsync entrantes à partir d’une adresse IP ou d’un sous-réseau spécifique, vous devez spécifier l’adresse IP source et le port de destination. Par exemple, si vous souhaitez autoriser que l’intégralité du sous-réseau 15.15.15.0/24 soit en mesure de rsync sur votre serveur, exécutez la commande suivante :</p>
<divclass="language-plaintext highlighter-rouge"><divclass="highlight"><preclass="highlight"><code>sudo ufw allow from 15.15.15.0/24 to any port 873
</code></pre></div></div>
<h3id="règle-mysql">Règle MySQL</h3>
<h4id="autoriser-mysql-avec-une-adresse-ip-ou-un-sous-réseau-spécifique">Autoriser MySQL avec une adresse IP ou un sous-réseau spécifique</h4>
<p>Pour autoriser les connexions MySQL entrantes à partir d’une adresse IP ou d’un sous-réseau spécifique, vous devez spécifier la source. Par exemple, si vous souhaitez autoriser l’intégralité du sous-réseau 15.15.15.0/24, vous devez exécuter la commande suivante :</p>
<divclass="language-plaintext highlighter-rouge"><divclass="highlight"><preclass="highlight"><code>sudo ufw allow from 15.15.15.0/24 to any port 3306
</code></pre></div></div>
<p>Autoriser MySQL sur l’interface réseau spécifique</p>
<p>Disons que vous disposez par exemple d’une interface réseau privée eth1, vous devez utiliser la commande suivante pour autoriser les connexions MySQL sur une interface réseau spécifique :</p>
<divclass="language-plaintext highlighter-rouge"><divclass="highlight"><preclass="highlight"><code>sudo ufw allow in on eth1 to any port 3306
</code></pre></div></div>
<h3id="règle-postgresql">Règle PostgreSQL</h3>
<h4id="postgresql-avec-une--ip-ou-un-sous-réseau-spécifique">PostgreSQL avec une IP ou un sous-réseau spécifique</h4>
<p>Pour autoriser les connexions PostgreSQL entrantes à partir d’une adresse IP ou d’un sous-réseau spécifique, vous devez spécifier la source. Par exemple, si vous souhaitez autoriser l’intégralité du sous-réseau 15.15.15.0/24, vous devez exécuter la commande suivante :</p>
<divclass="language-plaintext highlighter-rouge"><divclass="highlight"><preclass="highlight"><code>sudo ufw allow from 15.15.15.0/24 to any port 5432
</code></pre></div></div>
<p>La deuxième commande qui autorise le trafic sortant des connexions PostgreSQL established, n’est nécessaire que si la politique OUTPUT n’est pas défini sur ACCEPT.
Autoriser PostgreSQL sur une interface réseau spécifique</p>
<p>Disons que vous disposez par exemple d’une interface réseau privée eth1, vous devez utiliser la commande suivante pour autoriser les connexions PostgreSQL sur une interface réseau spécifique :</p>
<divclass="language-plaintext highlighter-rouge"><divclass="highlight"><preclass="highlight"><code>sudo ufw allow in on eth1 to any port 5432
</code></pre></div></div>
<p>La deuxième commande qui autorise le trafic sortant des connexions PostgreSQL established, n’est nécessaire que si la politique OUTPUT n’est pas défini sur ACCEPT.</p>
<h3id="règles-http-https">Règles HTTP HTTPS</h3>
<p>Les serveurs Web, comme Apache et Nginx, écoutent généralement les requêtes des connexions HTTP et HTTPS sur le port 80 et 443, respectivement. Si votre politique pour le trafic entrant est configurée sur drop ou deny par défaut, il vous faudra créer des règles qui permettront à votre serveur de répondre à ces requêtes.</p>
<h4id="autoriser-tous-les-http-entrants">Autoriser tous les HTTP entrants</h4>
<p>Pour autoriser toutes les connexions HTTP entrantes (port 80), exécutez la commande suivante :</p>
<h4id="autoriser-tout-le-trafic-http-et-https-entrant">Autoriser tout le trafic HTTP et HTTPS entrant</h4>
<p>Si vous souhaitez autoriser le trafic à la fois HTTP et HTTPS, vous pouvez créer une règle unique qui autorise les deux ports. Pour autoriser toutes les connexions HTTP et HTTPS entrantes (port 443), exécutez la commande suivante :</p>
<divclass="language-plaintext highlighter-rouge"><divclass="highlight"><preclass="highlight"><code>sudo ufw allow proto tcp from any to any port 80,443
</code></pre></div></div>
<blockquote>
<p>Notez que vous devez indiquer le protocole en utilisant proto tcp lorsque vous spécifiez plusieurs ports.</p>
</blockquote>
<h3id="règles-mail">Règles Mail</h3>
<p>Les serveurs de courrier électronique, comme Sendmail et Postfix, écoutent sur une variété de ports en fonction des protocoles utilisés pour livrer les courriels. Si vous utilisez un serveur de messagerie, vous devez déterminer les protocoles que vous utilisez et autoriser les types de trafic applicables. Nous allons également vous montrer de quelle manière créer une règle pour bloquer les courriels SMTP sortants.</p>
<h4id="bloquer-un-courriel-smtp-sortant">Bloquer un courriel SMTP sortant</h4>
<p>Si votre serveur ne doit pas envoyer de courriel sortant, il vous faudra bloquer ce type de trafic. Pour bloquer les courriels SMTP sortants, qui utilise le port 25, exécutez la commande suivante :</p>
<divclass="language-plaintext highlighter-rouge"><divclass="highlight"><preclass="highlight"><code>sudo ufw deny out 25
</code></pre></div></div>
<p>Vous configurez votre pare-feu de sorte qu’il drop tout le trafic sortant sur le port 25. Si vous devez rejeter un autre service en fonction de son numéro de port, vous pouvez l’utiliser à la place du port 25, vous devez simplement le remplacer.</p>
<h4id="autoriser-tous-les-smtp-entrants">Autoriser tous les SMTP entrants</h4>
<p>Pour permettre à votre serveur de répondre aux connexions SMTP, port 25, exécutez la commande suivante :</p>
New profiles: skip To Action From -- ------ ---- 22/tcp
ALLOW Anywhere 22/tcp (v6)
ALLOW Anywhere (v6)
</code></pre></div></div>
<p>Utilisez <codeclass="language-plaintext highlighter-rouge">status numbered</code> pour obtenir l’ordre et le numéro d’identification de toutes les règles actives. <br/>
Ceci est utile lorsque vous souhaitez insérer une nouvelle règle numérotée ou supprimer une règle existante en fonction de son numéro.</p>
<divclass="language-plaintext highlighter-rouge"><divclass="highlight"><preclass="highlight"><code>sudo ufw status numbered
Status: active To Action From -- ------ ---- 22/tcp
ALLOW IN Anywhere 22/tcp (v6)
ALLOW IN Anywhere (v6)
</code></pre></div></div>
<p>Il existe deux façons de supprimer des règles UFW:</p>
<ul>
<li>Par numéro de règle</li>
<li>Par spécification</li>
</ul>
<p>La suppression de règles UFW par le numéro de règle est plus facile car il vous suffit de rechercher et de taper le numéro de la règle que vous souhaitez supprimer, pas la règle complète.</p>
<h4id="supprimer-une-règle-ufw-par-numéro">Supprimer une règle UFW par numéro</h4>
<p>Pour supprimer une règle UFW par son numéro, vous devez d’abord répertorier les règles et trouver le numéro de la règle que vous souhaitez supprimer:</p>
<divclass="language-plaintext highlighter-rouge"><divclass="highlight"><preclass="highlight"><code>sudo ufw status numbered
</code></pre></div></div>
<p>La commande vous donnera une liste de toutes les règles de pare-feu et leurs numéros:</p>
<divclass="language-plaintext highlighter-rouge"><divclass="highlight"><preclass="highlight"><code>Status: active
To Action From
-- ------ ----
[ 1] 55036/tcp ALLOW IN Anywhere
[ 2] 80/tcp ALLOW IN Anywhere
[ 3] 443/tcp ALLOW IN Anywhere
[ 4] DNS ALLOW IN Anywhere
[ 5] 51820/udp ALLOW IN Anywhere
[ 6] 55036/tcp (v6) ALLOW IN Anywhere (v6)
[ 7] 80/tcp (v6) ALLOW IN Anywhere (v6)
[ 8] 443/tcp (v6) ALLOW IN Anywhere (v6)
[ 9] DNS (v6) ALLOW IN Anywhere (v6)
[10] 51820/udp (v6) ALLOW IN Anywhere (v6)
</code></pre></div></div>
<p>Une fois que vous connaissez le numéro de règle, utilisez la commande ufw delete suivie du numéro de la règle que vous souhaitez supprimer.</p>
<p>Par exemple, pour supprimer la règle avec le numéro 4, vous devez taper:</p>
<p>Vous serez invité à confirmer que vous souhaitez supprimer la règle:</p>
<divclass="language-plaintext highlighter-rouge"><divclass="highlight"><preclass="highlight"><code>Deleting: allow 51820/udp Proceed with operation (y|n)? y
</code></pre></div></div>
<p>Tapez y, appuyez sur Enter et la règle sera supprimée:</p>
<pclass="warning">Chaque fois que vous supprimez une règle, le numéro de règles change. Pour être sûr, répertoriez toujours les règles avant de supprimer une autre règle.</p>
<h4id="supprimer-une-règle-ufw-par-son-nom">Supprimer une règle UFW par son nom</h4>
<p>La deuxième méthode pour supprimer une règle consiste à utiliser la commande <codeclass="language-plaintext highlighter-rouge">ufw delete</code> suivie de la règle.</p>
<p>Par exemple, si vous avez ajouté une règle qui ouvre le port 2222, à l’aide de la commande suivante:</p>
<h3id="modifier-les-fichiers-de-configuration-dufw">Modifier les fichiers de configuration d’UFW</h3>
<p>Bien que des règles simples puissent être ajoutées via la ligne de commande, il peut y avoir un moment où des règles plus avancées ou spécifiques doivent être ajoutées ou supprimées. Avant d’exécuter les règles entrées via le terminal, UFW exécutera un fichier <codeclass="language-plaintext highlighter-rouge">before.rules</code>, qui permet le bouclage, le ping et DHCP. Pour ajouter pour modifier ces règles, modifiez le fichier <strong>/etc/ufw/before.rules</strong>. Un fichier <codeclass="language-plaintext highlighter-rouge">before6.rules</code> se trouve également dans le même répertoire pour IPv6.</p>
<p>Un <codeclass="language-plaintext highlighter-rouge">after.rule</code> et un <codeclass="language-plaintext highlighter-rouge">after6.rule</code> existent également pour ajouter toutes les règles qui devraient être ajoutées après qu’UFW exécute vos règles ajoutées en ligne de commande.</p>
<p>Un fichier de configuration supplémentaire se trouve à l’adresse <strong>/etc/default/ufw</strong>. À partir de là, IPv6 peut être désactivé ou activé, des règles par défaut peuvent être définies et UFW peut être défini pour gérer les chaînes de pare-feu intégrées.</p>
<h3id="statut-ufw">Statut UFW</h3>
<p>Vous pouvez vérifier l’état de UFW à tout moment avec la commande: <codeclass="language-plaintext highlighter-rouge">sudo ufw status</code><br/>
Cela affichera une liste de toutes les règles, et si UFW est actif ou non:</p>
<divclass="language-plaintext highlighter-rouge"><divclass="highlight"><preclass="highlight"><code>Status: active
To Action From
-- ------ ----
22 ALLOW Anywhere
80/tcp ALLOW Anywhere
443 ALLOW Anywhere
22 (v6) ALLOW Anywhere (v6)
80/tcp (v6) ALLOW Anywhere (v6)
443 (v6) ALLOW Anywhere (v6)
</code></pre></div></div>
<h3id="activer-le-pare-feu">Activer le pare-feu</h3>
<p>Avec les règles que vous avez choisies en place, vous allez obtenir <strong>Status: inactive</strong><br/>
Pour activer UFW et appliquer vos règles de pare-feu:</p>
<divclass="language-plaintext highlighter-rouge"><divclass="highlight"><preclass="highlight"><code>sudo ufw logging on
</code></pre></div></div>
<p>Pour désactiver la journalisation</p>
<divclass="language-plaintext highlighter-rouge"><divclass="highlight"><preclass="highlight"><code>sudo ufw logging off
</code></pre></div></div>
<p>Niveaux journaux peuvent être réglés en cours d’ exécution <codeclass="language-plaintext highlighter-rouge">sudo ufw logging low|medium|high</code>, soit en sélectionnant low, mediumou highdans la liste. Le réglage par défaut est <codeclass="language-plaintext highlighter-rouge">low</code>.</p>
<p>Une entrée de journal normale ressemblera à ce qui suit et sera située dans <strong>/var/logs/ufw</strong>:</p>
<p>Les valeurs initiales répertorient la date, l’heure et le nom d’hôte de votre serveur.Les autres valeurs importantes incluent:</p>
<ul>
<li><strong>UFW BLOCK</strong>: Cet emplacement est l’endroit où se trouvera la description de l’événement enregistré. Dans ce cas, il a bloqué une connexion.</li>
<li><strong>IN</strong>: si cela contient une valeur, l’événement était alors entrant</li>
<li><strong>OUT</strong>: Si cela contient une valeur, l’événement était sortant</li>
<li><strong>MAC</strong>: une combinaison des adresses MAC de destination et de source</li>
<li><strong>SRC</strong>: l’IP de la source du paquet</li>
<li><strong>DST</strong>: l’IP de la destination du paquet</li>
<li><strong>LEN</strong>: longueur du paquet</li>
<li><strong>TTL</strong>: le paquet TTL, ou le temps de vivre . Combien de temps il rebondira entre les routeurs jusqu’à son expiration, si aucune destination n’est trouvée.</li>
<li><strong>PROTO</strong>: Le protocole du paquet</li>
<li><strong>SPT</strong>: le port source du package</li>
<li><strong>DPT</strong>: port de destination du package</li>
<li><strong>WINDOW</strong>: La taille du paquet que l’expéditeur peut recevoir</li>
<li><strong>SYN URGP</strong>: indiqué si une prise de contact à trois voies est requise. 0signifie que ce n’est pas le cas.</li>
</ul>
<pclass="info">Décommentez la ligne <codeclass="language-plaintext highlighter-rouge">#& stop</code> du fichier <codeclass="language-plaintext highlighter-rouge">/etc/rsyslog.d/20-ufw.conf</code> pour arrêter la journalisation de tout ce qui correspond à la dernière règle, ce qui arrêtera la journalisation des messages UFW générés par le noyau dans le fichier contenant normalement les messages kern.* (par exemple, /var/log/kern.log).</p>
