Ouvrir uniquement les accès utiles

Un pare-feu configuré pour refuser les connexions entrantes ne laisse passer que les accès explicitement autorisés. Si vous ouvrez un port incorrect ou oubliez SSH, vous risquez de rendre un service inaccessible, voire de perdre l’administration distante lorsque le pare-feu sera activé.

Vous allez préparer une règle distincte pour chaque accès nécessaire au serveur web : SSH pour l’administration, puis HTTP et HTTPS pour le site. Cette leçon ajoute les autorisations, mais ne lance pas l’activation d’UFW.

Vérifier les ports avant d’autoriser

Une autorisation UFW indique quel trafic entrant peut atteindre le serveur. Avant de la créer, reprenez l’inventaire des services et confirmez le port SSH réellement utilisé : ne supposez pas qu’il s’agit toujours du port 22. Dans les exemples ci-dessous, SSH écoute sur 22, tandis que le serveur web reçoit HTTP sur 80 et HTTPS sur 443 ; remplacez ces valeurs si votre configuration diffère.

Créer une règle par intention

La commande ufw allow ajoute une autorisation. En précisant le protocole TCP, vous limitez la règle aux connexions utilisant ce protocole, au lieu de laisser la règle plus générale que nécessaire. Exécutez une commande distincte pour chaque service : cette séparation rend la configuration plus facile à relire et à ajuster.

sudo ufw allow 22/tcp
sudo ufw allow 80/tcp
sudo ufw allow 443/tcp

Rule added
Rule added
Rule added

Ces commandes autorisent respectivement SSH, HTTP et HTTPS sur les ports indiqués. Si le serveur web n’utilise que HTTPS, n’ajoutez pas la règle HTTP par habitude ; si vous avez besoin de HTTP pour rediriger les visiteurs, gardez cette autorisation. N’ajoutez pas de règle UDP pour ces services sans besoin confirmé.

Relire les autorisations préparées

Après les commandes, relisez l’état et les règles UFW avec les commandes de consultation. Cette vérification confirme que les ports correspondent aux services prévus et que l’autorisation SSH figure bien dans la configuration. L’affichage détaillé de l’état et l’activation seront traités dans la prochaine leçon ; ici, ne lancez pas ufw enable.

sudo ufw status
sudo ufw show added

État : inactif
Règles ajoutées :
22/tcp ALLOW IN Anywhere
80/tcp ALLOW IN Anywhere
443/tcp ALLOW IN Anywhere

La sortie exacte varie selon la version et la langue du système, mais vous devez pouvoir retrouver les autorisations attendues. Si SSH utilise un autre port, corrigez la règle avant de poursuivre. Si une autorisation est inutile ou erronée, ne la laissez pas en place : la gestion des règles existantes sera abordée avec les commandes de consultation et de suppression de la leçon suivante.

À retenir

1. Confirmez le port SSH réellement utilisé avant de préparer les autorisations.
2. Utilisez une commande ufw allow distincte pour chaque service nécessaire.
3. Limitez chaque règle au port et au protocole requis ; n’ouvrez pas d’accès sans besoin établi.
4. Relisez les autorisations et ne lancez pas ufw enable avant la vérification de la prochaine étape.

Dans la prochaine leçon, vous vérifierez l’état détaillé d’UFW, puis étudierez son activation et la relecture des règles.