Vérifier, activer et relire UFW

Une règle préparée ne protège pas le serveur tant que le pare-feu n’est pas activé. Mais une politique entrante restrictive peut aussi couper l’administration si l’accès SSH n’est pas autorisé sur le bon port. Vous allez contrôler la configuration existante, activer UFW seulement après cette vérification, puis relire les règles réellement chargées.

Vérifier l’état et les règles préparées

Commencez par consulter l’état détaillé d’UFW avant de modifier quoi que ce soit. Si UFW est inactif, les règles ajoutées dans les leçons précédentes sont préparées, mais elles ne filtrent pas encore le trafic. Si le pare-feu est déjà actif, une modification des politiques ou des règles peut avoir un effet immédiat : ne considérez pas l’opération comme une simple préparation.

sudo ufw status verbose

Exemple si UFW n’est pas activé :
Status: inactive

Si UFW est actif, la sortie indique les politiques par défaut et les règles chargées.

Lisez les politiques affichées et les autorisations listées. Avant l’activation, confirmez que la règle SSH vise bien le port effectivement utilisé par le service, et non un port supposé. Les commandes précédentes utilisaient le port 22 comme exemple : si votre serveur SSH écoute sur un autre port, la règle doit correspondre à ce port. Contrôlez aussi que les accès web requis sont présents, sans ajouter d’autorisation large qui ne correspond à aucun besoin identifié.

Activer UFW après le contrôle

Lorsque la règle SSH et les autres autorisations nécessaires sont présentes, vous pouvez demander l’activation. UFW affiche un avertissement au sujet des connexions existantes et vous demande une confirmation. Cette confirmation ne remplace pas votre vérification préalable : répondez y seulement si vous avez relu la règle SSH et accepté d’appliquer les politiques préparées.

sudo ufw enable

Exemple de confirmation affichée par UFW :
Command may disrupt existing ssh connections. Proceed with operation (y|n)?
Firewall is active and enabled on system startup

L’activation rend les politiques et les règles effectives ; elle ne se limite pas à enregistrer une configuration pour plus tard. La phrase « enabled on system startup » indique également qu’UFW est configuré pour être activé au démarrage. Si la commande ne se termine pas comme prévu, ne répétez pas des modifications au hasard : relisez d’abord l’état et les règles affichées par UFW.

Relire et corriger la liste

Après l’activation, relancez la lecture détaillée. Vérifiez que l’état est active, que les politiques par défaut correspondent à la préparation effectuée et que chaque autorisation vise le bon port et le bon protocole. La sortie varie selon les règles réellement enregistrées : les lignes ci-dessous illustrent un serveur dont SSH utilise le port 22, avec HTTP et HTTPS sur leurs ports habituels.

sudo ufw status verbose
sudo ufw status numbered

Extrait possible :
Status: active
Logging: off
Default: deny (incoming), allow (outgoing), disabled (routed)

[ 1] 22/tcp                     ALLOW IN    Anywhere
[ 2] 80/tcp                     ALLOW IN    Anywhere
[ 3] 443/tcp                    ALLOW IN    Anywhere

La sortie numérotée facilite le repérage d’une règle, mais son numéro dépend de l’état actuel de la liste. Si vous avez identifié une autorisation superflue ou erronée, relisez sa ligne et son numéro juste avant de la supprimer. Supprimez uniquement cette règle, puis affichez de nouveau la liste : ne supposez pas que les numéros restants n’ont pas changé.

sudo ufw status numbered
sudo ufw delete 3
sudo ufw status numbered

La première commande affiche la liste et ses numéros. La deuxième demande confirmation avant de supprimer la règle numéro 3. La dernière affiche la liste mise à jour.

Exécutez la suppression uniquement si la règle numéro 3 est bien celle que vous souhaitez retirer.

Le numéro 3 est un exemple, pas une valeur à recopier sans contrôle. La suppression par numéro peut demander une confirmation et les numéros sont réattribués selon la liste restante. Pour conserver une configuration lisible, gardez une règle par intention, corrigez uniquement ce qui est nécessaire et vérifiez encore l’autorisation SSH après toute suppression.

À retenir

• Lisez l’état et les règles UFW avant toute activation ou modification.
• Vérifiez que l’autorisation SSH correspond au port réellement utilisé avant d’activer une politique restrictive.
• Après ufw enable, contrôlez l’état actif, les politiques par défaut et les règles effectives avec ufw status verbose.
• Utilisez ufw status numbered pour repérer une règle, puis vérifiez son numéro juste avant de la supprimer.
• Après une correction, relisez la liste et confirmez que l’autorisation SSH est toujours présente.

Dans la prochaine leçon, vous établirez le plan des flux autorisés pour le serveur avant de passer aux tests du filtrage.