Configuration de base du pare-feu UFW sur Linux

1. Qu'est-ce qu'un pare-feu et pourquoi ufw ?

Un pare-feu est un système de sécurité qui filtre le trafic réseau. Il établit une barrière entre un réseau interne de confiance (votre serveur) et un réseau externe non fiable (Internet), en se basant sur un ensemble de règles de sécurité.

Sur Linux, l'outil de pare-feu historique s'appelle iptables. Il est extrêmement puissant, mais sa syntaxe est complexe et peu intuitive pour les débutants. C'est là qu'intervient UFW, ou Uncomplicated Firewall (Pare-feu non compliqué).

ufw est une interface simplifiée qui permet de gérer les règles du pare-feu Linux de manière beaucoup plus conviviale. En coulisses, les commandes ufw sont traduites en règles iptables, mais vous n'avez pas à vous soucier de cette complexité.

Pour bien comprendre ce qu'est ufw et comment il simplifie la gestion du pare-feu, je vous propose de commencer par une courte vidéo.

2. La configuration de base : une approche sécurisée

La configuration d'un pare-feu suit une philosophie de sécurité essentielle : le principe du moindre privilège, que nous avons déjà abordé. Concrètement, cela signifie : "Tout ce qui n'est pas explicitement autorisé est interdit".

Cela se traduit par deux politiques par défaut :

1. Refuser (deny) tout le trafic entrant (incoming) : Personne ne peut initier une connexion vers votre serveur, sauf si vous avez créé une règle spécifique pour l'autoriser.
2. Autoriser (allow) tout le trafic sortant (outgoing) : Par défaut, votre serveur a le droit de contacter d'autres services sur Internet (par exemple, pour télécharger des mises à jour).

Avant d'activer le pare-feu avec ces politiques, il y a une règle d'or absolue à respecter pour ne pas vous retrouver bloqué à l'extérieur de votre propre serveur.

3. Gestion des règles ufw au quotidien

Maintenant que nous avons posé les bases, voyons comment gérer les règles pour les services courants que vous pourriez héberger, comme un serveur web. Nous allons continuer avec la vidéo de Grafikart, qui montre ces manipulations de manière très concrète.

En résumé, voici les commandes essentielles :

• sudo ufw status : Vérifier si le pare-feu est actif et lister les règles.
• sudo ufw enable / disable : Activer ou désactiver le pare-feu.
• sudo ufw default deny incoming : Définir la politique par défaut pour le trafic entrant.
• sudo ufw allow <port_ou_service> : Autoriser le trafic sur un port (ex: 80/tcp) ou pour un service connu (ex: ssh, http).
• sudo ufw deny <port_ou_service> : Bloquer explicitement le trafic.
• sudo ufw delete <règle> : Supprimer une règle.

4. Exercice pratique

Il est temps de mettre les mains dans le cambouis ! Connectez-vous en SSH à votre machine virtuelle Ubuntu Server et suivez ces étapes pour configurer votre premier pare-feu.

Scénario : Sécuriser un serveur qui hébergera un site web.

1. Vérification

   • Vérifiez que ufw est bien installé. Il l'est normalement sur Ubuntu. Si ce n'est pas le cas, la commande est sudo apt install ufw.
   • Vérifiez son état avec sudo ufw status. Il devrait être inactive.

2. Mise à zéro (bonne pratique)

   • Pour partir sur des bases saines, réinitialisez la configuration.
   • sudo ufw reset
   • Confirmez avec y (yes). Cela désactive le pare-feu et supprime toutes les règles existantes.

3. Définition des politiques

   • Appliquez le principe du moindre privilège.
   • sudo ufw default deny incoming
   • sudo ufw default allow outgoing

4. Autorisation des services essentiels

   • LA RÈGLE D'OR : Autorisez le SSH pour ne pas vous bloquer.
   • sudo ufw allow ssh
   • Autorisez le trafic web standard (HTTP et HTTPS).
   • sudo ufw allow http
   • sudo ufw allow https

5. Activation et vérification

   • Activez le pare-feu.
   • sudo ufw enable
   • Confirmez avec y.
   • Vérifiez que tout est en ordre.
   • sudo ufw status verbose
   • Vous devriez voir que le statut est active et que les ports 22 (SSH), 80 (HTTP) et 443 (HTTPS) sont autorisés (ALLOW) depuis n'importe quelle source (Anywhere).

6. (Bonus) Gérer les règles

   • Affichez les règles avec des numéros : sudo ufw status numbered.
   • Imaginons que vous n'avez plus besoin du port HTTP (80) car votre site est entièrement en HTTPS. Supprimez la règle correspondante en utilisant son numéro (par exemple, sudo ufw delete 3 si la règle pour le port 80 porte le numéro 3).
   • Vérifiez à nouveau le statut pour confirmer la suppression.

Félicitations ! Vous venez de configurer un pare-feu fonctionnel et sécurisé sur votre serveur Linux.

Conclusion

Le contrôle du trafic réseau via un pare-feu est une mesure de sécurité fondamentale. Avec ufw, vous disposez d'un outil puissant mais simple pour protéger votre serveur des accès non désirés.

Voici les points clés à retenir :

• ufw est une interface conviviale pour le pare-feu iptables de Linux.
• La meilleure pratique consiste à refuser par défaut tout le trafic entrant et à n'autoriser que les services nécessaires.
• La règle la plus importante est de toujours autoriser l'accès SSH (sudo ufw allow ssh) avant d'activer le pare-feu pour éviter de perdre l'accès à votre serveur.
• Vous pouvez gérer les règles par port, par service (nom), et même de manière plus avancée (par adresse IP, etc.).

Nous avons maintenant sécurisé le périmètre de notre serveur Linux. Dans la prochaine leçon, nous verrons comment effectuer une tâche similaire dans un autre environnement très répandu en entreprise : nous apprendrons à configurer le pare-feu Windows Defender sur Windows Server. Cela vous permettra de comparer les approches et d'élargir vos compétences d'administrateur.