Activer, désactiver, configurer le pare-feu dans Ubuntu 24.04 [Guide du débutant]

Ce guide du débutant vous montre comment activer, désactiver et configurer le pare-feu dans Ubuntu à l'aide d'UFW.

Le pare-feu est un système de sécurité réseau qui surveille le trafic réseau entrant et sortant et décide d'autoriser ou de bloquer un trafic spécifique en fonction de règles de sécurité prédéfinies.

Le noyau Linux possède le sous-système Netfilter, qui est implémenté en tant que filtre de paquets et pare-feu. Iptables (et nftables, le successeur d'iptables) est l'outil de ligne de commande au niveau utilisateur pour configurer le pare-feu en ajoutant/supprimant des règles netfilter.

Iptables (et nftables) est beaucoup plus flexible mais très difficile pour les débutants. UFW (Uncomplicated Firewall), le frontal convivial pour iptables, est dont je vais parler ci-dessous.

Image parPete Linforth de Pixabay

Activer le pare-feu dans Ubuntu

UFW est généralement préinstallé sur Ubuntu Desktop et Server, bien qu'il ne soit PAS activé par défaut.

Juste au cas où, vous pouvez ouvrir le terminal (Ctrl+Alt+T) et exécuter la commande pour l'installer :

sudo apt install ufw

Comme mentionné, le pare-feu n'est généralement pas activé par défaut. Pour vérifier son état, utilisez la commande :

sudo ufw status

Il vous montrera soit « Statut : actif » ou « Statut : actif » ainsi que les règles ajoutées par l'utilisateur.

REMARQUE : Il prend en charge l'ajout de règles avant l'activation d'ufw. Pour le serveur distant, exécutez d'abord sudo ufw allow ssh pour ajouter ssh à la liste blanche, sinon vous perdrez la connexion SSH. Si un port SSH autre que celui par défaut est utilisé, par exemple le port 1234, utilisez plutôt la commande sudo ufw allow 1234/tcp.

Pour activer le pare-feu, exécutez simplement la commande :

sudo ufw enable

Il devrait afficher « Le pare-feu est actif et activé au démarrage du système » si la commande est exécutée avec succès.

Configurer le pare-feu à l'aide d'UFW

1. Vérifiez le statut et les règles ajoutées

Comme mentionné ci-dessus, vous pouvez vérifier l'état du pare-feu en exécutant la commande ci-dessous :

sudo ufw status

Il vous montrera si le pare-feu est activé ou non. Si oui, il affiche également toutes les règles ajoutées par l'utilisateur.

Cependant, pour vérifier les règles ajoutées par l'utilisateur même lorsque le pare-feu est désactivé, cette commande peut être utile :

sudo ufw show added

2. Configurer la stratégie par défaut d'UFW

La politique de pare-feu par défaut autorise tout trafic sortant, ce qui signifie que depuis le PC/serveur Ubuntu, vous pouvez accéder à n'importe quel site Web, utiliser les commandes apt, wget, etc. pour installer/télécharger quelque chose dans votre système.

Cependant, les entrants sont désactivés par défaut. Vous devez ajouter vos propres règles pour permettre aux systèmes extérieurs de se connecter à votre machine. Tous les routages et transferts sont également désactivés, ce qui constitue une bonne valeur par défaut si vous n'utilisez pas votre appareil comme routeur.

Pour vérifier la stratégie par défaut, utilisez la commande :

sudo ufw status verbose

Si vous souhaitez modifier la politique par défaut, par exemple refuser les messages sortants, utilisez la commande :

sudo ufw default deny outgoing

Après cela, si vous souhaitez accéder aux systèmes extérieurs, vous pouvez soit réautoriser tout le trafic sortant via :

sudo ufw default allow outgoing

Ou ajoutez manuellement des règles sortantes pour certains ports. Par exemple, ajoutez des règles de pare-feu ci-dessous pour autoriser l'utilisation de la commande apt pour installer quelque chose :

sudo ufw allow out 53/udp

sudo ufw allow out 80/tcp

Une fois terminé, vous pouvez supprimer les règles, afin que tous les messages sortants soient à nouveau refusés :

sudo ufw delete allow out 53/udp

sudo ufw delete allow out 80/tcp

3. Ajouter des règles UFW

Comme les commandes mentionnées ci-dessus, vous pouvez utiliser la commande ufw allow pour autoriser le trafic entrant (et/ou sortant) vers un port spécifique, et utiliser la commande ufw deny pour refuser le trafic.

Par exemple, autorisez les entrées sur le port 80 (tcp et udp) depuis n'importe où, utilisez la commande :

sudo ufw allow 80

Ou, autorisez les entrées sur le port 53 uniquement pour udp, utilisez la commande :

sudo ufw allow 53/udp

Pour être plus précis, vous pouvez savoir d'où le trafic est autorisé vers certains ports de la machine actuelle. Par exemple, la commande ci-dessous configure le pare-feu pour autoriser les adresses IP distantes allant de 192.168.0.0 à 192.168.0.255 sur le port TCP 22 de cet hôte.

sudo ufw allow from 192.168.0.0/24 to any port 22 proto tcp

Le « any » dans la dernière commande désigne toutes les interfaces réseau de l'hôte local. Pour spécifier certaines IP dans cet hôte, 192.168.0.100 par exemple, alors la dernière commande peut être :

sudo ufw allow from 192.168.0.0/24 to 192.168.0.100 port 22 proto tcp

Comme mentionné ci-dessus, vous pouvez également utiliser le nom du service dans la commande UFW pour autoriser (ou refuser) certains trafics. Par exemple:

sudo ufw allow smtp

Cette commande autorisera le port SMTP 25, même lorsque le service n'est pas installé. Cependant, il définit uniquement et toujours le port par défaut du service (par exemple, 22 pour ssh) même lorsqu'un port personnalisé est utilisé.

4. Supprimer les règles de pare-fichiers UFW

Pour supprimer les règles ufw, ajoutez simplement l'opération delete entre ufw et allow (ou deny) dans les dernières commandes que vous exécutez.

• Tout d’abord, répertoriez les règles ajoutées via la commande :

  sudo ufw show added

• Ensuite, supprimez une règle. Par exemple, annulez allow 53/udp :

  sudo ufw delete allow 53/udp

Si ufw est en statut activé, vous pouvez lister toutes les règles ajoutées avec les numéros de ligne, puis les supprimer via le numéro souhaité :

• Tout d’abord, affichez le statut ufw ainsi que les règles ajoutées avec des chiffres :

  sudo ufw status numbered

• Ensuite, supprimez la première règle via :

  sudo ufw delete 1

5. Désactivez IPv6

Les règles de pare-feu ufw s'appliquent par défaut à IPv6 et IPv4.

Si vous souhaitez exclure IPv6 de toutes les règles de pare-feu, modifiez le fichier /etc/default/ufw via la commande :

sudo nano /etc/default/ufw

Ensuite, remplacez IPV6=yes par IPV6=no. Enfin, appuyez sur Ctrl+S puis Ctrl+X pour quitter. Exécutez également sudo ufw reload pour appliquer les modifications.

Ou spécifiez l'adresse IPv4 dans vos règles. Par exemple:

ufw allow to 0.0.0.0/0 port 80 proto tcp

Cette règle autorisera le trafic de n'importe où vers le port 80/tcp sur cet hôte via toutes les interfaces ipv4.

Désactiver le pare-feu

Pour désactiver le pare-feu, exécutez simplement :

sudo ufw disable

Il affichera « Pare-feu arrêté et désactivé au démarrage du système ». Cependant, toutes les règles ajoutées par l'utilisateur sont toujours là, même si elles ne fonctionnent PAS.

Au choix, vous pouvez réinitialiser ufw via la commande :

sudo ufw reset

Ce qui désactivera le pare-feu (s'il est activé), puis réinitialisera toutes les règles aux valeurs par défaut installées.