Inspection des connexions réseau avec `ss`

1. ss : Le successeur moderne de netstat

Avant d'entrer dans les commandes, il est important de savoir que ss (qui signifie Socket Statistics) est l'outil moderne pour inspecter les sockets réseau sous Linux. Il remplace la commande netstat, plus ancienne et plus lente. Dans un environnement professionnel, on attendra de vous que vous maîtrisiez ss.

2. Comprendre les états d'une connexion

Pour utiliser ss efficacement, il faut comprendre les deux états principaux d'une connexion réseau du point de vue d'un serveur :

• LISTEN (en écoute) : Un service sur le serveur a ouvert un port et attend passivement que des clients tentent de s'y connecter. C'est comme un magasin dont la porte est ouverte et la caissière attend les clients. Un serveur web est en LISTEN sur le port 80 (HTTP) ou 443 (HTTPS).
• ESTABLISHED (établie) : Une connexion active est en cours entre un client et le serveur. Un "dialogue" a lieu. C'est votre session SSH actuelle, ou un visiteur qui télécharge une page de votre site web. Le client est entré dans le magasin et discute avec la caissière.

Votre rôle en tant qu'administrateur sera souvent de vérifier :

1. Que le service que vous voulez rendre disponible est bien en état LISTEN sur le bon port.
2. Qui est en état ESTABLISHED avec votre serveur, pour surveiller l'activité ou diagnostiquer un problème.

3. Les commandes ss essentielles : une visite guidée

La meilleure façon d'apprendre ss est de le voir en action. Nous allons utiliser une vidéo très claire qui démontre les options les plus importantes.

a) Lister les ports en écoute (LISTEN)

C'est souvent la première chose que l'on vérifie. Mon service SSH est-il bien démarré et en écoute ?

ss -l (pour listening)

Cette commande affiche tous les sockets en état d'écoute. Pour être plus précis, on combine souvent les options :

• -t pour filtrer sur les connexions TCP.
• -u pour filtrer sur les connexions UDP.
• -n pour afficher les numéros de port en format numérique (ex: 22) au lieu de leur nom de service (ex: ssh). C'est plus rapide et souvent plus clair.
• -p pour afficher le processus qui utilise le socket. C'est extrêmement utile !

La combinaison la plus courante est donc ss -tlnp : "Affiche tous les ports TCP en écoute (listening), avec les numéros de port (numeric) et les noms des processus associés".

Action :

1. Ouvrez un terminal sur votre machine virtuelle Ubuntu.
2. Tapez la commande ss -tlnp et analysez le résultat.

Dans votre sortie, vous devriez voir une ligne pour sshd, qui est le service SSH. Vous voyez qu'il est en LISTEN sur le port 22. Cela confirme que votre serveur est prêt à accepter des connexions SSH.

b) Afficher les connexions établies (ESTABLISHED)

Maintenant, voyons qui est activement connecté à notre serveur.

ss -t

Sans l'option -l, ss -t affiche par défaut les connexions TCP établies. Votre propre connexion SSH devrait apparaître ici !

Action :

1. Dans votre terminal, tapez ss -tnp.
2. Repérez la ligne correspondant à votre session.
   • Local Address:Port sera l'adresse IP de votre serveur avec le port 22.
   • Peer Address:Port sera l'adresse IP de votre machine physique (le client) avec un port aléatoire.
   • La colonne Process montrera sshd.

c) Identifier le processus derrière une connexion

L'option -p est votre meilleure alliée pour la sécurité et le dépannage. Imaginez que vous voyez une connexion sur un port inconnu. Comment savoir quel programme l'a ouverte ?

4. ss dans une méthodologie de dépannage

Revenons à notre scénario : la connexion SSH vers un serveur ne fonctionne pas, mais le ping passe.

La démarche est la suivante :

1. Le ping vers 192.168.1.100 fonctionne. La connectivité réseau est OK.
2. La commande ssh user@192.168.1.100 échoue avec "Connection refused".
3. Hypothèse : Le service SSH (sshd) n'est pas démarré sur le serveur ou n'écoute pas sur le port 22.
4. Vérification (sur le serveur 192.168.1.100) :

   ss -tlnp | grep :22
   

   • Si la commande ne retourne rien : Le service sshd n'est pas en cours d'exécution ou n'a pas réussi à ouvrir le port 22. Vous devriez vérifier son statut avec systemctl status sshd.
   • Si la commande retourne 127.0.0.1:22 : Le service écoute, mais uniquement sur l'interface locale. Il n'accepte pas de connexions de l'extérieur. Il faudrait corriger sa configuration.
   • Si la commande retourne 0.0.0.0:22 ou :::22 : Le service écoute correctement sur toutes les interfaces. L'échec de connexion est probablement dû à un pare-feu qui bloque le port 22.

Cette méthode vous permet d'isoler rapidement et précisément la cause du problème.

Conclusion

Vous avez maintenant ajouté un outil de diagnostic réseau puissant à votre arsenal. Après avoir vérifié la connectivité globale avec ping et traceroute, ss vous permet de zoomer sur les services et les connexions au niveau du système d'exploitation.

Points clés à retenir :

• ss est l'outil moderne pour inspecter les sockets réseau, remplaçant netstat.
• Les états les plus importants à surveiller sont LISTEN (le service attend) et ESTABLISHED (une connexion est active).
• La commande ss -tlnp est un réflexe à développer : elle vous donne un aperçu rapide de tous les services TCP qui écoutent sur votre serveur.
• L'option -p est essentielle pour identifier quel processus est à l'origine d'une connexion.
• Dans une démarche de dépannage, ss permet de confirmer si un service est bien démarré et configuré pour accepter les connexions avant de suspecter un problème de pare-feu.

Dans la prochaine leçon, nous prendrons encore un peu de recul. Nous avons vu comment les paquets voyagent (traceroute) et comment les services les attendent (ss). Il est temps de nous intéresser aux équipements physiques qui constituent le réseau : nous apprendrons à distinguer les rôles d'un commutateur (switch) et d'un routeur.