L'Echo des Gnous #142 Face B

Diffusée le 11 décembre 2016

Présents : Sébastien et Thomas

Sujet

Le pare-feu

Qu'est-ce-que c'est ?

• Un outil qui permet de filtrer les connexions entrantes et sortantes de votre réseau, et notamment vos ports.
• Indispensable car vous permet de contrôler ce qui rentre et sort de votre machine, et d'autoriser ainsi le strict nécessaire.

Les ports : késaco ?

• Un port = une utilisation précise (le plus connu : le port 80 = Internet).
• La liste des principaux ports logiciels : https://fr.wikipedia.org/wiki/Liste_de_ports_logiciels
• Chaque réseau englobe tous les ports… Et par défaut, ils sont tous ouverts !
• Donc, si le routeur de votre FAI n'a en amont pas de politique de filtrage, tout rentre dans l'ordi.

Le pare-feu, sur le routeur ou l'ordi ?

• Tout dépend du nombre d'objets connectés. Dans une entreprise, on filtre sur les routeurs car le parc de machines peut être énorme, et qu'on a les compétences humaines et matérielles (pas les routeurs des FAI de base) pour le faire.
• on peut le faire sur sa box en se connectant en root sur l'IP locale du routeur (en général 192.168.0.1)

Si on le fait sur l'ordi ? (GNU/Linux bien sûr)

Quels logiciels ?

• iptables : pour les plus expérimentés
• ufw : celui que l'on va recommander pour les débutants.
• Tout se configure en root en ligne de commande dans le terminal (même si une interface graphique existe pour ufw)

Paramétrer le pare-feu (ufw)

• installation classique dans les gestionnaire de paquet (aptitude install ufw, pacman -S ufw, dnf install ufw…)
• Le lien vers le tuto bien fait d'Ubuntu ici : https://doc.ubuntu-fr.org/ufw
• Par défaut : ON FERME TOUS LES PORTS

Liste des ports utiles (à ouvrir en entrée et en sortie)

• 53 : DNS (transformation d'une IPv4 en adresse textuelle ex : 70.145.221.12 ⇒ www.monserveur.fr)
• 67 et 68 : DHCP (adressage automatique d'une IP par machine sur le serveur).
• 80 : http : Internet
• 443 : https : Internet en mode chiffré.
• 110 : pop (e-mail entrants via POP)
• 25 : smtp (e-mail sortants)
• 123 : ntp (pour avoir l'heure synchronisée avec un serveur de temps)
• 143 : imap (e-mail entrants via IMAP)
• 465 : smtp (e-mails sortants, en mode sécurisé)
• 993 : imap (e-mails entrants, en mode sécurisé)
• 21 : ftp (transferts de fichiers client ⇒ serveur)
• 631 : imprimantes réseau

Cette liste est non exhaustive, à vous de l'adapter selon vos besoins.

Playlist