Définir les paramètres initiaux d’UFW

Un serveur web reçoit des connexions destinées à ses services, mais il peut aussi initier des connexions vers l’extérieur. Si vous préparez une politique restrictive sans examiner son effet sur l’administration distante, vous risquez de perdre l’accès au serveur. Dans cette leçon, vous définissez les politiques initiales d’UFW tout en le laissant inactif.

UFW est une interface de gestion du pare-feu qui permet de préparer des choix de filtrage avec des commandes lisibles. Ici, vous configurez le refus par défaut des connexions entrantes et l’autorisation par défaut des connexions sortantes. La leçon précédente vous a appris à identifier le port SSH réel et à vérifier l’accès distant ; faites cette vérification avant de modifier une politique restrictive.

Vérifier l’état avant de modifier les paramètres

Commencez par consulter l’état d’UFW. La commande suivante indique s’il est actif ou inactif ; elle ne l’active pas et ne modifie pas les règles. Si l’état est actif, ne poursuivez pas à distance sans procédure de retour et sans avoir confirmé que l’accès SSH restera autorisé : changer les politiques par défaut peut affecter immédiatement le trafic.

sudo ufw status

Status: inactive

Un état « inactive » signifie qu’UFW n’applique pas actuellement ses propres règles de filtrage. Cela ne prouve pas que le serveur est sans pare-feu : des règles iptables configurées autrement, ou un filtrage fourni par l’hébergeur, peuvent encore agir. Dans le projet fil rouge, notez l’état observé et ne confondez pas préparation de la configuration et mise en service du pare-feu.

Définir les politiques entrante et sortante

La première commande fixe le comportement par défaut du trafic entrant lorsqu’aucune règle ne l’autorise. La seconde fixe le comportement par défaut du trafic sortant. Ces réglages préparent une base restrictive pour le serveur web sans activer UFW tant que vous n’exécutez pas explicitement sa commande d’activation, qui sera étudiée plus tard.

sudo ufw default deny incoming
sudo ufw default allow outgoing

Default incoming policy changed to 'deny'\n(be sure to update your rules accordingly)\nDefault outgoing policy changed to 'allow'\n(be sure to update your rules accordingly)

Le refus entrant par défaut évite de rendre accessibles tous les services simplement parce qu’ils écoutent sur le serveur. L’autorisation sortante par défaut permet notamment aux composants du serveur d’initier les connexions dont ils ont besoin ; elle ne crée pas une autorisation entrante équivalente. Vous pourrez ensuite examiner les accès nécessaires et préparer les autorisations correspondantes dans la leçon consacrée à l’ouverture des accès utiles.

Contrôler la préparation sans activer UFW

Après avoir défini les deux paramètres, relisez l’état avec la commande simple déjà utilisée. Tant qu’il affiche « inactive », les politiques sont préparées mais UFW ne filtre pas le trafic. L’affichage ne remplace pas la vérification des règles iptables ni celle du filtrage éventuel chez votre hébergeur.

sudo ufw status

Status: inactive

À ce stade, aucun fichier du projet fil rouge n’est modifié : index.html et style.css restent conformes au contrat. Vous avez préparé le comportement général d’UFW, mais vous n’avez ni ouvert les ports du serveur ni activé le filtrage. Ces opérations seront traitées dans les prochaines leçons, après avoir défini les accès nécessaires et vérifié l’autorisation SSH.

À retenir

• `sudo ufw default deny incoming` prépare le refus par défaut des connexions entrantes.
• `sudo ufw default allow outgoing` autorise par défaut les connexions initiées vers l’extérieur.
• `sudo ufw status` permet de vérifier si UFW est actif ou inactif, sans l’activer.
• Vérifiez l’accès SSH avant toute politique restrictive et n’activez pas UFW à cette étape.
• Un état UFW inactif n’exclut pas la présence d’un autre mécanisme de filtrage.

Dans la prochaine leçon, vous préparerez des autorisations distinctes pour les accès réellement nécessaires au serveur web.