Comment configurer un pare-feu avec UFW sur Ubuntu 16.04

Vous pouvez spécifier des plages de ports avec UFW. Certaines applications utilisent plusieurs ports, au lieu d'un seul.

Par exemple, pour autoriser les connexions X11, qui utilisent les ports6000 -6007, utilisez ces commandes:

Lorsque vous spécifiez des plages de ports avec UFW, vous devez spécifier le protocole (tcp ouudp) auquel les règles doivent s'appliquer. Nous n’avons pas mentionné cela auparavant car ne pas spécifier le protocole permet simplement les deux protocoles, ce qui est OK dans la plupart des cas.

Lorsque vous travaillez avec UFW, vous pouvez également spécifier des adresses IP. Par exemple, si vous souhaitez autoriser les connexions à partir d'une adresse IP spécifique, telle qu'une adresse IP professionnelle ou personnelle de15.15.15.51, vous devez spécifierfrom, puis l'adresse IP:

Vous pouvez également spécifier un port spécifique auquel l'adresse IP est autorisée à se connecter en ajoutantto any port suivi du numéro de port. Par exemple, si vous souhaitez autoriser15.15.15.51 à se connecter au port22 (SSH), utilisez cette commande:

Si vous souhaitez autoriser un sous-réseau d'adresses IP, vous pouvez utiliser une notation CIDR pour spécifier un masque de réseau. Par exemple, si vous souhaitez autoriser toutes les adresses IP allant de15.15.15.1 à15.15.15.254, vous pouvez utiliser cette commande:

De même, vous pouvez également spécifier le port de destination auquel le sous-réseau15.15.15.0/24 est autorisé à se connecter. Encore une fois, nous utiliserons le port22 (SSH) comme exemple:

Si vous souhaitez créer une règle de pare-feu qui ne s'applique qu'à une interface réseau spécifique, vous pouvez le faire en spécifiant «Autoriser le» suivi du nom de l'interface réseau.

Vous voudrez peut-être consulter vos interfaces réseau avant de continuer. Pour ce faire, utilisez cette commande:

La sortie en surbrillance indique les noms d'interface réseau. Ils sont généralement nommés quelque chose commeeth0 oueth1.

Donc, si votre serveur a une interface réseau publique appeléeeth0, vous pouvez y autoriser le trafic HTTP (port80) avec cette commande:

Cela permettrait à votre serveur de recevoir des requêtes HTTP de l'Internet public.

Ou, si vous voulez que votre serveur de base de données MySQL (port3306) écoute les connexions sur l'interface de réseau privéeth1, par exemple, vous pouvez utiliser cette commande:

Cela permettrait aux autres serveurs de votre réseau privé de se connecter à votre base de données MySQL.

[[step-6 -—- denying-connections]] == Étape 6 - Refuser les connexions

Si vous n'avez pas modifié la stratégie par défaut pour les connexions entrantes, UFW est configuré pour refuser toutes les connexions entrantes. En règle générale, cela simplifie le processus de création d'une stratégie de pare-feu sécurisée en vous obligeant à créer des règles autorisant explicitement des ports et des adresses IP spécifiques.

Cependant, vous voudrez parfois refuser des connexions spécifiques en fonction de l'adresse IP source ou du sous-réseau, peut-être parce que vous savez que votre serveur est attaqué à partir de là. De plus, si vous voulez changer votre politique entrante par défaut enallow (ce qui n'est pas recommandé dans l'intérêt de la sécurité), vous devrez créer des règlesdeny pour tous les services ou adresses IP que vous ne faites pas. t voulez autoriser les connexions pour.

Pour écrire les règlesdeny, vous pouvez utiliser les commandes décrites ci-dessus, en remplaçantallow pardeny.

Par exemple, pour refuser des connexions HTTP, vous pouvez utiliser cette commande:

Ou si vous souhaitez refuser toutes les connexions de15.15.15.51, vous pouvez utiliser cette commande:

Voyons maintenant comment supprimer des règles.

[[step-7 -—- deleting-rules]] == Étape 7 - Suppression de règles

Savoir supprimer les règles de pare-feu est tout aussi important que savoir les créer. Il existe deux manières différentes de spécifier les règles à supprimer: par numéro de règle ou par règle réelle (similaire à la manière dont les règles ont été spécifiées lors de leur création). Nous allons commencer par la méthodedelete by rule number car elle est plus facile, par rapport à l’écriture des règles à supprimer, si vous êtes nouveau dans UFW.

Si vous utilisez le numéro de règle pour supprimer des règles de pare-feu, la première chose à faire est d'obtenir une liste de vos règles de pare-feu. La commande de statut UFW dispose d'une option permettant d'afficher des numéros à côté de chaque règle, comme illustré ici:

Si nous décidons de supprimer la règle 2, celle autorisant les connexions au port 80 (HTTP), nous pouvons la spécifier dans une commande de suppression UFW comme celle-ci:

Cela afficherait une invite de confirmation, puis supprimerait la règle 2, qui autorise les connexions HTTP. Notez que si vous avez activé IPv6, vous voudriez également supprimer la règle IPv6 correspondante.

L'alternative aux numéros de règle consiste à spécifier la règle à supprimer. Par exemple, si vous souhaitez supprimer la règleallow http, vous pouvez l'écrire comme ceci:

Vous pouvez également spécifier la règle parallow 80, au lieu de par nom de service:

Cette méthode supprimera les règles IPv4 et IPv6, si elles existent.

[[step-8 -—- checking-ufw-status-and-rules]] == Étape 8 - Vérification du statut et des règles UFW

A tout moment, vous pouvez vérifier le statut de UFW avec cette commande:

Si UFW est désactivé, ce qui est le cas par défaut, vous verrez quelque chose comme ceci:

Si UFW est actif, ce qui devrait être le cas si vous avez suivi l'étape 3, le résultat indiquera qu'il est actif et qu'il répertoriera toutes les règles définies. Par exemple, si le pare-feu est configuré pour autoriser les connexions SSH (port22) de n'importe où, la sortie peut ressembler à ceci:

Utilisez la commandestatus si vous souhaitez vérifier comment UFW a configuré le pare-feu.

[[step-9 -—- disabling-or-resetting-ufw-optional]] == Étape 9 - Désactivation ou réinitialisation de UFW (facultatif)

Si vous décidez de ne pas utiliser UFW, vous pouvez le désactiver avec cette commande:

Toutes les règles que vous avez créées avec UFW ne seront plus actives. Vous pouvez toujours exécutersudo ufw enable si vous devez l'activer ultérieurement.

Si vous avez déjà configuré des règles UFW mais que vous décidez de recommencer, vous pouvez utiliser la commande reset:

Cela désactivera UFW et supprimera toutes les règles précédemment définies. N'oubliez pas que les stratégies par défaut ne seront pas modifiées, si vous les avez modifiées à un moment quelconque. Cela devrait vous donner un nouveau départ avec UFW.