Comment configurer un pare-feu avec UFW sur Debian 9

introduction

UFW, ou Uncomplicated Firewall, est une interface vers + iptables + qui est conçue pour simplifier le processus de configuration d’un pare-feu. Bien que + iptables + soit un outil solide et flexible, il peut être difficile pour les débutants d’apprendre à l’utiliser pour configurer correctement un pare-feu. Si vous souhaitez commencer à sécuriser votre réseau et que vous ne savez pas quel outil utiliser, UFW peut être le bon choix pour vous.

Ce tutoriel vous montrera comment configurer un pare-feu avec UFW sur Debian 9.

Conditions préalables

Pour suivre ce didacticiel, vous aurez besoin d’un serveur Debian 9 avec un utilisateur sudo non-root, que vous pouvez configurer en suivant les étapes 1 à 3 de la page https://www.digitalocean.com/community/tutorials/serveur-initial -setup-with-debian-9 [Tutoriel sur la configuration initiale du serveur avec Debian 9].

Étape 1 - Installation de UFW

Debian n’installe pas UFW par défaut. Si vous avez suivi l’intégralité du Initial Tutoriel d’installation du serveur, vous aurez déjà installé et activé UFW. Sinon, installez-le maintenant en utilisant + apt +:

sudo apt install ufw

Nous allons configurer UFW et l’activer dans les étapes suivantes.

Étape 2 - Utilisation d’IPv6 avec UFW (facultatif)

Ce tutoriel est conçu pour IPv4, mais fonctionnera pour IPv6 aussi longtemps que vous l’activez. Si IPv6 est activé sur votre serveur Debian, assurez-vous que UFW est configuré pour prendre en charge IPv6 afin qu’il gère les règles de pare-feu pour IPv6 en plus d’IPv4. Pour ce faire, ouvrez la configuration UFW avec + nano + ou votre éditeur préféré.

sudo nano /etc/default/ufw

Ensuite, assurez-vous que la valeur de + IPV6 + est + yes +. Ça devrait ressembler à ça:

extrait de / etc / default / ufw

IPV6=

Enregistrez et fermez le fichier. Désormais, lorsque UFW est activé, il sera configuré pour écrire les règles de pare-feu IPv4 et IPv6. Cependant, avant d’activer UFW, nous voudrons nous assurer que votre pare-feu est configuré pour vous permettre de vous connecter via SSH. Commençons par définir les stratégies par défaut.

Étape 3 - Configuration des stratégies par défaut

Si vous démarrez tout juste avec votre pare-feu, les premières règles à définir sont vos stratégies par défaut. Ces règles contrôlent la gestion du trafic qui ne correspond explicitement à aucune autre règle. Par défaut, UFW est configuré pour refuser toutes les connexions entrantes et autoriser toutes les connexions sortantes. Cela signifie que toute personne essayant d’atteindre votre serveur ne pourra pas se connecter, tandis que toute application du serveur pourra atteindre le monde extérieur.

Réglez vos règles UFW sur les valeurs par défaut afin que nous puissions être sûrs de pouvoir suivre ce tutoriel. Pour définir les valeurs par défaut utilisées par UFW, utilisez ces commandes:

sudo ufw default deny incoming
sudo ufw default allow outgoing

Ces commandes définissent les valeurs par défaut pour refuser l’accès et autoriser les connexions sortantes. Ces valeurs par défaut du pare-feu pourraient suffire à un ordinateur personnel, mais les serveurs doivent généralement répondre aux demandes entrantes d’utilisateurs externes. Nous examinerons cela ensuite.

Étape 4 - Autoriser les connexions SSH

Si nous activions maintenant notre pare-feu UFW, il refuserait toutes les connexions entrantes. Cela signifie que nous devrons créer des règles qui autorisent explicitement les connexions entrantes légitimes - connexions SSH ou HTTP, par exemple - si nous voulons que notre serveur réponde à ces types de demandes. Si vous utilisez un serveur cloud, vous souhaiterez probablement autoriser les connexions SSH entrantes afin de pouvoir vous connecter et gérer votre serveur.

Pour configurer votre serveur pour autoriser les connexions SSH entrantes, vous pouvez utiliser cette commande:

sudo ufw allow ssh

Cela créera des règles de pare-feu qui autoriseront toutes les connexions sur le port + 22 +, qui est le port que le démon SSH écoute par défaut. UFW sait ce que signifie le port + allow ssh + car il est répertorié en tant que service dans le fichier + / etc / services +.

Cependant, nous pouvons réellement écrire la règle équivalente en spécifiant le port au lieu du nom du service. Par exemple, cette commande fonctionne de la même manière que celle ci-dessus:

sudo ufw allow 22

Si vous avez configuré votre démon SSH pour utiliser un autre port, vous devrez spécifier le port approprié. Par exemple, si votre serveur SSH écoute sur le port + 2222 +, vous pouvez utiliser cette commande pour autoriser les connexions sur ce port:

sudo ufw allow

Maintenant que votre pare-feu est configuré pour autoriser les connexions SSH entrantes, nous pouvons l’activer.

Étape 5 - Activer UFW

Pour activer UFW, utilisez cette commande:

sudo ufw enable

Vous recevrez un avertissement indiquant que la commande peut perturber les connexions SSH existantes. Nous avons déjà mis en place une règle de pare-feu qui autorise les connexions SSH. Il devrait donc être correct de continuer. Répondez à l’invite avec + y + et appuyez sur + ENTER.

Le pare-feu est maintenant actif. Exécutez la commande + sudo ufw status verbose + pour voir les règles définies. La suite de ce didacticiel explique comment utiliser UFW de manière plus détaillée, comme autoriser ou refuser différents types de connexions.

Étape 6 - Autoriser d’autres connexions

À ce stade, vous devez autoriser toutes les autres connexions auxquelles votre serveur doit répondre. Les connexions que vous devez autoriser dépendent de vos besoins spécifiques. Heureusement, vous savez déjà comment écrire des règles autorisant les connexions basées sur un nom de service ou un port; nous l’avons déjà fait pour SSH sur le port + 22 +. Vous pouvez également le faire pour:

HTTP sur le port 80, utilisé par les serveurs Web non chiffrés, utilisez + sudo ufw allow http + ou + sudo ufw allow 80 + `
HTTPS sur le port 443, qui est ce que les serveurs Web cryptés utilisent, en utilisant + sudo ufw allow https + ou + sudo ufw allow 443 + `

Il existe plusieurs autres moyens d’autoriser d’autres connexions, en plus de spécifier un port ou un service connu.

Gammes de ports spécifiques

Vous pouvez spécifier des plages de ports avec UFW. Certaines applications utilisent plusieurs ports, au lieu d’un seul.

Par exemple, pour autoriser les connexions X11, qui utilisent les ports + 6000 + --` + 6007 + `, utilisez ces commandes:

sudo ufw allow :/tcp
sudo ufw allow :/udp

Lorsque vous spécifiez des plages de ports avec UFW, vous devez spécifier le protocole (+ tcp + ou + udp +) auquel les règles doivent s’appliquer. Nous n’avons pas mentionné cela auparavant car ne pas spécifier le protocole autorise automatiquement les deux protocoles, ce qui est OK dans la plupart des cas.

Adresses IP spécifiques

Lorsque vous travaillez avec UFW, vous pouvez également spécifier des adresses IP. Par exemple, si vous souhaitez autoriser les connexions à partir d’une adresse IP spécifique, telle qu’une adresse IP professionnelle ou personnelle de «+ 203.0.113.4 », vous devez spécifier « de +», l’adresse IP suivante:

sudo ufw allow from

Vous pouvez également spécifier un port spécifique auquel l’adresse IP est autorisée à se connecter en ajoutant + à n’importe quel port + suivi du numéro de port. Par exemple, si vous souhaitez autoriser la connexion du + 203.0.113.4 + au port + 22 + (SSH), utilisez la commande suivante:

sudo ufw allow from  to any port

Sous-réseaux

Si vous souhaitez autoriser un sous-réseau d’adresses IP, vous pouvez utiliser une notation CIDR pour spécifier un masque de réseau. Par exemple, si vous souhaitez autoriser toutes les adresses IP allant de "+ 203.0.113.1 " à " 203.0.113.254 +", vous pouvez utiliser cette commande:

sudo ufw allow from /

De même, vous pouvez également spécifier le port de destination auquel le sous-réseau + 203.0.113.0 / 24 + est autorisé à se connecter. Encore une fois, nous allons utiliser le port + 22 + (SSH) comme exemple:

sudo ufw allow from / to any port 22

Connexions à une interface réseau spécifique

Si vous souhaitez créer une règle de pare-feu qui ne s’applique qu’à une interface réseau spécifique, vous pouvez le faire en spécifiant «Autoriser le» suivi du nom de l’interface réseau.

Vous voudrez peut-être consulter vos interfaces réseau avant de continuer. Pour ce faire, utilisez cette commande:

ip addr

Output Excerpt2: : <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast state
. . .
3: : <BROADCAST,MULTICAST> mtu 1500 qdisc noop state DOWN group default
. . .

La sortie en surbrillance indique les noms d’interface réseau. Ils sont généralement nommés quelque chose comme + eth0 + ou + enp3s2 +.

Donc, si votre serveur a une interface réseau publique appelée + eth0 +, vous pouvez lui permettre le trafic HTTP (port + 80 +) avec cette commande:

sudo ufw allow in on  to any port

Cela permettrait à votre serveur de recevoir des requêtes HTTP à partir d’Internet public.

Ou, si vous souhaitez que votre serveur de base de données MySQL (port + 3306 +) écoute les connexions sur l’interface de réseau privé + eth1 +, vous pouvez par exemple utiliser cette commande:

sudo ufw allow in on  to any port

Cela permettrait aux autres serveurs de votre réseau privé de se connecter à votre base de données MySQL.

Étape 7 - Refuser les connexions

Si vous n’avez pas modifié la stratégie par défaut pour les connexions entrantes, UFW est configuré pour refuser toutes les connexions entrantes. En règle générale, cela simplifie le processus de création d’une stratégie de pare-feu sécurisée en vous obligeant à créer des règles autorisant explicitement des ports et des adresses IP spécifiques.

Cependant, vous voudrez parfois refuser des connexions spécifiques en fonction de l’adresse IP source ou du sous-réseau, peut-être parce que vous savez que votre serveur est attaqué à partir de là. De plus, si vous souhaitez modifier votre stratégie entrante par défaut en * allow * (ce qui n’est pas recommandé), vous devez créer des règles * deny * pour tous les services ou adresses IP pour lesquels vous ne souhaitez pas autoriser de connexions.

Pour écrire des règles * deny *, vous pouvez utiliser les commandes décrites ci-dessus, en remplaçant * allow * par * deny *.

Par exemple, pour refuser des connexions HTTP, vous pouvez utiliser cette commande:

sudo ufw deny http

Ou si vous souhaitez refuser toutes les connexions à partir de + 203.0.113.4 +, vous pouvez utiliser cette commande:

sudo ufw deny from

Voyons maintenant comment supprimer des règles.

Étape 8 - Suppression de règles

Savoir supprimer les règles de pare-feu est tout aussi important que savoir les créer. Il existe deux façons différentes de spécifier les règles à supprimer: par le numéro de la règle ou par la règle réelle (similaire à la façon dont les règles ont été spécifiées lors de leur création). Nous commencerons par la méthode * delete by rule number * car elle est plus simple.

Par numéro de règle

Si vous utilisez le numéro de règle pour supprimer des règles de pare-feu, la première chose à faire est d’obtenir une liste de vos règles de pare-feu. La commande de statut UFW dispose d’une option permettant d’afficher des numéros à côté de chaque règle, comme illustré ici:

sudo ufw status numbered

Numbered Output:Status: active

    To                         Action      From
    --                         ------      ----
[ 1] 22                         ALLOW IN    15.15.15.0/24
[ 2] 80                         ALLOW IN    Anywhere

Si nous décidons de supprimer la règle 2, celle autorisant les connexions au port 80 (HTTP), nous pouvons la spécifier dans une commande de suppression UFW comme ceci:

sudo ufw delete

Cela afficherait une invite de confirmation, puis supprimerait la règle 2, qui autorise les connexions HTTP. Notez que si vous avez activé IPv6, vous voudriez également supprimer la règle IPv6 correspondante.

Par règle réelle

L’alternative aux numéros de règle consiste à spécifier la règle à supprimer. Par exemple, si vous souhaitez supprimer la règle + autoriser http +, vous pouvez l’écrire comme suit:

sudo ufw delete

Vous pouvez également spécifier la règle avec + allow 80 +, plutôt que par nom de service:

sudo ufw delete

Cette méthode supprimera les règles IPv4 et IPv6, si elles existent.

Étape 9 - Vérification du statut et des règles UFW

A tout moment, vous pouvez vérifier le statut de UFW avec cette commande:

sudo ufw status verbose

Si UFW est désactivé, ce qui est le cas par défaut, vous verrez quelque chose comme ceci:

OutputStatus: inactive

Si UFW est actif, ce qui devrait être le cas si vous avez suivi l’étape 3, le résultat indiquera qu’il est actif et répertoriera toutes les règles définies. Par exemple, si le pare-feu est configuré pour autoriser les connexions SSH (port + 22 +) de n’importe où, la sortie peut ressembler à ceci:

OutputStatus: active
Logging: on (low)
Default: deny (incoming), allow (outgoing), disabled (routed)
New profiles: skip

To                         Action      From
--                         ------      ----
22/tcp                     ALLOW IN    Anywhere

Utilisez la commande + status + si vous souhaitez vérifier comment UFW a configuré le pare-feu.

Étape 10 - Désactivation ou réinitialisation d’UFW (facultatif)

Si vous décidez de ne pas utiliser UFW, vous pouvez le désactiver avec cette commande:

sudo ufw disable

Toutes les règles que vous avez créées avec UFW ne seront plus actives. Vous pouvez toujours exécuter + sudo ufw enable + si vous devez l’activer ultérieurement.

Si vous avez déjà configuré des règles UFW mais que vous décidez de recommencer, vous pouvez utiliser la commande reset:

sudo ufw reset

Cela désactivera UFW et supprimera toutes les règles précédemment définies. N’oubliez pas que les stratégies par défaut ne seront pas modifiées, si vous les avez modifiées à un moment quelconque. Cela devrait vous donner un nouveau départ avec UFW.

Conclusion

Votre pare-feu est maintenant configuré pour autoriser (au moins) les connexions SSH. Veillez à autoriser toute autre connexion entrante que votre serveur, tout en limitant les connexions inutiles, afin que votre serveur soit fonctionnel et sécurisé.

Pour en savoir plus sur les configurations UFW les plus courantes, consultez le tutoriel FW Essentials: Règles et commandes de pare-feu communes.

TOC