Gérer les pare-feux

Les pare-feux contrôlent quel trafic peut atteindre vos serveurs. Cet article s’adresse à toute personne devant examiner, modifier ou nettoyer les règles de pare-feu chez ses fournisseurs cloud depuis InfraNest.

#Vue d’ensemble

• Gérez les pare-feux de tous les fournisseurs connectés dans un seul éditeur.
• Voyez en un coup d’œil quels serveurs un pare-feu protège et combien de règles il contient.
• Soyez averti des règles à risque — comme un accès distant ouvert à tout internet — avant qu’elles ne causent des problèmes.

#Modifier un pare-feu

1. Allez dans Pare-feux et ouvrez-en un (ou ouvrez l’onglet Firewall d’un serveur).
2. Modifiez les règles entrantes et sortantes — direction, protocole, port, et les plages d’IP source ou cible.

3. Sélectionnez Enregistrer. Chaque pare-feu indique à combien de serveurs il est appliqué.

Depuis un serveur, vous pouvez aussi activer, désactiver, réinitialiser ou modifier le pare-feu qui lui est appliqué.

#Ce qu’affiche la page d’un pare-feu

Ouvrez un pare-feu depuis la liste : vous retrouvez la même mise en page que sur toutes les pages cloud :

• L’en-tête indique son statut, le nombre de règles qu’il contient, le nombre de serveurs auxquels il est appliqué, le fournisseur et la localisation concernés, ainsi que son coût mensuel lorsque nous le connaissons. L’action principale se trouve à côté ; tout le reste est sous Actions.
• Overview commence par tout ce qui nécessite votre attention, puis How each rule is used — chaque règle entrante comparée à ce que l’agent observe en écoute sur les serveurs auxquels elle s’applique (par exemple « 8080 : aucune écoute sur aucun des 3 serveurs »), avec une option pour retirer une règle inutilisée — puis Used by — une ligne pour chaque serveur protégé, les IPs dynamiques qui maintiennent ses règles à jour, et les automatisations qui agissent dessus — et une carte Details avec ses informations, chacune accompagnée du contrôle permettant de la modifier.
• Rules est l’éditeur de règles. Les modifications non enregistrées sont conservées pendant que vous consultez un autre onglet ; Save rules apparaît dans l’en-tête dès que vous modifiez quelque chose.
• Activity liste ce qui a été fait, par qui et quand — le journal d’audit propre à ce pare-feu.

Un pare-feu appliqué à aucun serveur ne protège rien, et la page l’indique en haut avec un bouton pour l’appliquer.

#Retirer toutes les règles

Un pare-feu sans aucune règle est autorisé, et cela signifie exactement ce que cela dit : rien n’entre.

1. Supprimez les règles que vous ne voulez pas et sélectionnez Apply.
2. La confirmation liste chaque règle retirée, et vous avertit d’abord si l’une d’elles est celle qui vous permet d’atteindre le serveur via SSH ou bureau à distance.

Ce n’est pas la même chose que de supprimer le pare-feu. Le pare-feu reste, reste attaché aux serveurs qu’il protège, et cesse simplement de tout autoriser — ce qui est utile si vous verrouillez un serveur le temps de régler un problème.

Chez DigitalOcean, les règles écrites avec des tags plutôt que des adresses IP ne sont pas les nôtres à supprimer, elles restent donc en place. Elles sont listées séparément dans l’éditeur, et le pare-feu continue de les appliquer.

#Renommer un pare-feu

1. Cliquez sur le nom du pare-feu en haut de sa page.
2. Saisissez le nouveau nom.
3. Appuyez sur Entrée.

Le nom change aussi chez votre fournisseur, afin qu’il reste identique partout.

Les pare-feux TransIP ne peuvent pas être renommés — chacun appartient à un seul VPS et porte le nom de ce serveur.

#Protéger un autre serveur avec un pare-feu existant

1. Ouvrez le pare-feu et sélectionnez Attacher dans le panneau Applied to — ou ouvrez le serveur et choisissez Attacher sous Actions.
2. Choisissez le serveur (ou le pare-feu, côté serveur) et confirmez. La protection démarre immédiatement.
3. Pour arrêter de protéger un serveur, sélectionnez le ✕ à côté de celui-ci dans la liste Applied to.

Vous ne pouvez combiner un pare-feu et un serveur que s’ils appartiennent au même compte fournisseur, donc tout ce que vous pouvez sélectionner fonctionnera.

#Le Firewall Advisor

Lorsque vous examinez un pare-feu, InfraNest signale les expositions à risque — comme SSH ouvert à tout internet, un bureau à distance ouvert au monde entier, ou un port de base de données exposé publiquement — avec une explication et une correction, afin que les règles dangereuses soient repérées avant qu’elles ne causent des problèmes.

TipUne règle de pare-feu peut suivre automatiquement une IP changeante — voir Configurer une IP dynamique.

#Adresses que nous ne pouvons pas identifier

Lorsqu’une IP dynamique maintient une partie d’un pare-feu à jour, nous examinons aussi ce que cette règle autorise par ailleurs — et vous informons de tout ce que nous n’avons pas ajouté nous-mêmes.

Vous verrez l’une de ces deux situations :

• Une adresse que nous maintenions auparavant, nommée, avec la date à laquelle nous avons arrêté. C’est celle qui mérite une action : elle vous appartenait sous une ancienne connexion internet, elle n’est plus maintenue, et les fournisseurs réattribuent les anciennes adresses à d’autres clients.
• Une adresse que nous n’avons pas écrite. Rien ne semble anormal à notre connaissance — il peut s’agir d’un collègue, d’un bureau, ou d’un service de surveillance — nous ne pouvons simplement pas vous dire ce que c’est.

Rien n’est jamais supprimé pour vous. Une entrée d’autorisation que nous n’avons pas écrite n’est pas la nôtre à supprimer, nous vous la montrons donc et vous laissons la décision ; modifiez la règle vous-même si elle doit disparaître.

Indiquez ce que c’est. Utilisez Say what this is pour rédiger une courte note — « bureau de Berlin », « sonde Pingdom ». L’entrée cesse d’être une question, et la prochaine personne qui la consultera (y compris vous-même dans six mois) n’aura pas à le redécouvrir. Effacer la note la marque à nouveau comme inexpliquée.

Vous recevrez un e-mail une seule fois à propos d’une adresse que nous maintenions auparavant, car celle-ci, nous pouvons en être certains. Nous n’envoyons pas d’e-mail pour des adresses que nous ne reconnaissons simplement pas — vous seriez autrement informé de chaque entrée que vous connaissez déjà, dès la première vérification.

Les règles que rien ne suit ne sont pas concernées, et une règle dont votre IP dynamique est la seule adresse reste silencieuse.

#Ce qu’une règle de pare-feu couvre et ne couvre pas

Lorsqu’une règle est ouverte à tout internet, la correction consiste à restreindre sa source aux adresses qui doivent réellement atteindre ce port — votre propre IP, la plage de votre bureau, ou l’adresse du serveur qui l’appelle. Sélectionnez Limit to My IP sur l’avertissement pour le faire en une seule étape.

Un réseau privé n’est pas une source plus restreinte à indiquer dans ce champ. Chez certains fournisseurs — Hetzner notamment — les règles de pare-feu ne couvrent que le trafic qui arrive sur l’adresse publique du serveur. Tout ce qui transite par un réseau privé atteint le serveur sans être vérifié par aucune règle que vous écrivez ici, donc une règle dont la source est une plage privée comme 10.0.0.0/24 ne correspond à rien et ne bloque rien. Lorsque c’est le cas, l’éditeur le signale au-dessus des règles entrantes.

NoteCela ne rend pas un réseau privé non sécurisé — cela signifie simplement qu’autre chose le contrôle. Là, c’est qui est connecté au réseau qui décide de qui peut atteindre le serveur, et vous gérez cela sur le réseau lui-même plutôt qu’avec des règles.

#Astuces

• Utilisez la correction suggérée par le Firewall Advisor comme point de départ, puis restreignez davantage la source si possible.
• Une note sur une adresse non reconnue évite à la prochaine personne (y compris vous-même dans le futur) de devoir à nouveau mener l’enquête.