Installer UFW : Comment configurer un pare-feu de base sur Linux

UFW (Uncomplicated Firewall) simplifie la gestion du pare-feu Linux en fournissant une interface facile à utiliser pour iptables. Ce guide couvre l'installation et la configuration d'UFW sur les distributions basées sur Debian, de la configuration de base aux configurations pratiques de pare-feu pour les ordinateurs de bureau et les serveurs web.

Dans ce tutoriel, vous apprendrez :

• Comment installer UFW sur les distributions basées sur Debian
• Comment configurer les politiques de pare-feu par défaut
• Comment autoriser et refuser le trafic par service, port et IP
• Comment utiliser les profils d'application UFW
• Comment configurer les règles de pare-feu pour les ordinateurs de bureau et les serveurs

Résumé de l'article : Installez UFW avec sudo apt install ufw, puis configurez les politiques par défaut et activez le pare-feu.

sudo apt install ufw

sudo ufw allow ssh

sudo ufw enable

Installer UFW

UFW est disponible dans les dépôts par défaut des distributions basées sur Debian. Installez-le en utilisant le gestionnaire de paquets apt :

$ sudo apt install ufw

Après l'installation, UFW est inactif par défaut. Cela vous permet de configurer vos règles avant d'activer le pare-feu, évitant ainsi les verrouillages accidentels des systèmes distants.

Définir vos paramètres par défaut

Comme avec iptables, il est préférable de commencer par définir votre comportement par défaut. Sur les ordinateurs de bureau, vous voulez généralement refuser le trafic entrant tout en permettant les connexions sortantes.

$ sudo ufw default deny incoming

La syntaxe pour autoriser le trafic est similaire :

$ sudo ufw default allow outgoing

Ces paramètres par défaut garantissent que les connexions entrantes non sollicitées sont bloquées, tout en permettant à votre système d'accéder à Internet et aux services externes.

Utilisation de base

Vous êtes maintenant prêt à commencer à définir des règles et à gérer votre pare-feu. Les commandes UFW sont conçues pour être lisibles et intuitives.

Démarrage et Arrêt

Bien que vous puissiez utiliser systemd pour contrôler UFW, il possède ses propres contrôles qui sont plus faciles. Commencez par activer UFW :

$ sudo ufw enable

Pour arrêter et désactiver UFW au démarrage :

$ sudo ufw disable

Vérifiez si UFW est en cours d'exécution et affichez les règles actives :

$ sudo ufw status

Pour une sortie plus détaillée incluant les numéros de règles :

$ sudo ufw status numbered

Commandes

Autoriser le trafic HTTP entrant en utilisant le nom du service :

$ sudo ufw allow http

Autoriser les connexions SSH :

$ sudo ufw allow ssh

Vous pouvez obtenir le même résultat en utilisant des numéros de port. Cette commande permet le trafic HTTPS entrant sur le port 443 :

$ sudo ufw allow 443

Autoriser le trafic provenant d'une adresse IP spécifique ou d'une plage de réseau. Cet exemple permet tout le trafic depuis le réseau local :

$ sudo ufw allow from 192.168.1.0/24

Pour une plage de ports, spécifiez le protocole (TCP ou UDP) :

$ sudo ufw allow 56881:56889/tcp

Utilisez deny au lieu de allow pour bloquer le trafic :

$ sudo ufw deny from 192.168.1.110

Pour cibler spécifiquement les connexions sortantes, incluez out :

$ sudo ufw allow out ssh

Pour supprimer une règle, utilisez le numéro de règle de ufw status numbered :

$ sudo ufw delete 3

Profils d'application UFW

UFW comprend des profils d'application qui définissent des règles de pare-feu pour les services courants. Ces profils simplifient la configuration en regroupant les paramètres de port et de protocole sous des noms d'application reconnaissables.

Lister les profils d'application disponibles :

$ sudo ufw app list

Afficher les détails d'un profil d'application spécifique :

$ sudo ufw app info OpenSSH

Cela affiche les ports et protocoles utilisés par l'application. Pour permettre à une application de passer à travers le pare-feu :

$ sudo ufw allow OpenSSH

Les profils d'application courants incluent OpenSSH, Apache, Apache Full, Nginx Full, et d'autres selon les logiciels installés. Les profils d'application sont stockés dans /etc/ufw/applications.d/ et vous pouvez créer des profils personnalisés pour vos propres applications.

Configuration d'un bureau

Cet exemple fournit un point de départ pour une configuration de pare-feu de bureau de base. Ajustez les règles en fonction de vos besoins spécifiques.

Commencez par définir les paramètres par défaut :

$ sudo ufw default deny incoming
$ sudo ufw default allow outgoing

Autoriser le trafic HTTP et HTTPS pour la navigation web :

$ sudo ufw allow http
$ sudo ufw allow https

Activer l'accès SSH :

$ sudo ufw allow ssh

Autoriser NTP pour la synchronisation de l'heure système :

$ sudo ufw allow ntp

À moins que vous n'utilisiez une IP statique, autorisez le DHCP sur les ports 67 et 68 :

$ sudo ufw allow 67:68/udp

Autoriser le trafic DNS pour la résolution des noms de domaine :

$ sudo ufw allow 53

Pour les clients torrent comme Deluge :

$ sudo ufw allow 56881:56889/tcp

Steam nécessite plusieurs ports :

$ sudo ufw allow 27000:27036/udp
$ sudo ufw allow 27036:27037/tcp
$ sudo ufw allow 4380/udp

Configurer un serveur web

Les serveurs web nécessitent une configuration plus restrictive pour minimiser la surface d'attaque tout en garantissant que le trafic légitime circule sans entrave.

Pour les serveurs, refuser tout le trafic par défaut. Désactivez le pare-feu avant d'effectuer ces modifications afin d'éviter de perdre l'accès SSH :

$ sudo ufw default deny incoming
$ sudo ufw default deny outgoing
$ sudo ufw default deny forward

Autoriser le trafic web entrant et sortant :

$ sudo ufw allow http
$ sudo ufw allow out http
$ sudo ufw allow https
$ sudo ufw allow out https

Autoriser SSH pour l'administration à distance :

$ sudo ufw allow ssh
$ sudo ufw allow out ssh

Activer NTP pour la synchronisation de l'heure :

$ sudo ufw allow ntp
$ sudo ufw allow out ntp

Autoriser DNS pour les mises à jour des packages et la résolution de domaine :

$ sudo ufw allow 53
$ sudo ufw allow out 53

Conclusion

UFW offre une approche simple pour la gestion du pare-feu sur les systèmes Linux. Malgré sa simplicité, UFW est prêt pour la production car il fonctionne comme une interface pour iptables, offrant la même sécurité robuste. Les exemples de ce guide couvrent des configurations courantes de bureaux et de serveurs, mais vous devriez personnaliser les règles en fonction de vos besoins spécifiques et de la configuration de votre réseau. Pour une documentation complète, référez-vous à la page de manuel officielle d'UFW.

Questions Fréquemment Posées

1. Comment vérifier si UFW bloque une connexion spécifique ? Utilisez sudo ufw status verbose pour voir toutes les règles actives et leurs politiques. Vous pouvez également consulter les journaux d'UFW à /var/log/ufw.log pour les tentatives de connexion bloquées. Activez la journalisation avec sudo ufw logging on si elle n'est pas déjà activée.
2. Puis-je réinitialiser UFW à son état par défaut ? Oui, exécutez sudo ufw reset pour supprimer toutes les règles et désactiver le pare-feu. Cela ramène UFW à son état initial après l'installation, ce qui est utile si vous avez fait des erreurs de configuration et souhaitez repartir de zéro.
3. Quelle est la différence entre ufw allow et ufw limit ? La commande allow permet tout le trafic correspondant, tandis que limit ajoute une limitation de débit pour prévenir les attaques par force brute. Par exemple, sudo ufw limit ssh permet les connexions SSH mais bloque une adresse IP qui tente plus de 6 connexions en 30 secondes.
4. UFW persiste-t-il après le redémarrage ? Oui, une fois activé avec sudo ufw enable, UFW démarre automatiquement au démarrage et charge vos règles sauvegardées. Les règles sont stockées dans /etc/ufw/ et persistent après les redémarrages sans configuration supplémentaire.