Gestion du pare-feu

Cet article présente la fonction « Gestion du pare-feu » du panneau : consulter et gérer les règles de pare-feu du serveur cible.

D'abord, comprendre : qu'est-ce qu'un pare-feu

Le pare-feu est le « contrôle d'accès » d'un serveur : il décide quels ports et quelles IP peuvent être atteints. Par exemple, pour qu'un site web soit accessible de l'extérieur, il faut « autoriser le port 80 » ; pour bloquer une IP qui vous attaque, il faut « bannir cette IP ».

> Important : outre le pare-feu du système du serveur, les grands clouds (Tencent Cloud/Alibaba Cloud) disposent aussi d'un « groupe de sécurité » dans leur console cloud ; les deux sont indépendants. Pour qu'un port soit accessible, il faut l'autoriser aux deux niveaux.

Présentation de la fonctionnalité

La « Gestion du pare-feu » se trouve dans le « Panneau de gestion du système » du serveur cible : elle sert à consulter les règles du pare-feu système, à ajouter / supprimer des règles et à gérer la redirection de ports. Le panneau s'adapte automatiquement aux trois principaux moteurs de pare-feu iptables / nftables / ufw, sans choix manuel.

Cas d'usage

Consulter les règles de pare-feu actuelles du serveur et les ports ouverts
Autoriser rapidement un port (par ex. ouvrir 80 / 443 pour un service web)
Bannir une IP source ou un port
Gérer la redirection de ports (voir Redirection de ports)

Composition de la fonctionnalité

Entrez dans le serveur cible → « Gestion du système » → « Pare-feu ». Vous y trouvez :

1. Liste des règles : affiche les règles iptables / nftables (avec leur numéro), ou l'état d'ufw (s'il est activé)

2. Ports en écoute : liste les ports actuellement en écoute sur le serveur et les processus correspondants

3. Ajouter / supprimer des règles : saisir manuellement une règle iptables pour autoriser / bannir

4. Redirection de ports : rediriger le trafic d'un port public en DNAT vers IP:port cible (voir en détail Redirection de ports)

Consulter les règles

iptables / nftables

Le panneau utilise en priorité iptables -L -n --line-numbers pour lister les règles ; si le système utilise nftables, il bascule automatiquement sur nft list ruleset.

ufw

Si le serveur a ufw activé (courant sous Ubuntu), le panneau affiche en plus la liste des règles issue de ufw status numbered.

Ports en écoute

Le panneau utilise ss -tlnp pour lister les ports TCP en écoute et les processus correspondants, ce qui permet de savoir quels ports sont ouverts et quel service les occupe.

Ajouter / supprimer des règles

Dans « Ajouter une règle », saisissez une règle iptables (sans le préfixe iptables, le panneau ajoute automatiquement -A pour l'ajout / -D pour la suppression), par exemple :

# Autoriser le port 8080
INPUT -p tcp --dport 8080 -j ACCEPT
# Bannir une IP
INPUT -s 1.2.3.4 -j DROP

> ⚠️ Attention : assurez-vous de comprendre la syntaxe des règles iptables. Une règle erronée peut rendre des services inaccessibles. Il est conseillé de sauvegarder les règles actuelles avant toute manipulation (iptables-save > /root/iptables.bak).

Adaptation automatique à plusieurs moteurs

Le panneau détecte automatiquement le moteur de pare-feu utilisé par le serveur :

Moteur	Systèmes concernés	Description
`iptables` / `iptables-legacy`	Linux classique	le pare-feu le plus courant
`nftables`	nouvelles distributions / serveurs ayant déjà des règles nft	utilisé en priorité lorsque des règles nft actives sont détectées, pour éviter que les règles ne soient masquées
`ufw`	Ubuntu / Debian	utilisé uniquement pour la « consultation », la gestion des règles passe par iptables

Points d'attention

1. Agissez avec prudence : les règles de pare-feu affectent directement l'accessibilité du serveur. Une règle de bannissement erronée peut couper la connexion SSH et rendre le panneau injoignable.

2. Persistance des règles : les règles ajoutées directement avec iptables peuvent être perdues après un redémarrage (selon que le système dispose ou non de iptables-persistent / netfilter-persistent). Si vous avez besoin de persistance, faites vous-même un iptables-save ou passez à ufw.

3. Groupe de sécurité des grands clouds : Tencent Cloud / Alibaba Cloud, etc. disposent, en plus du pare-feu système, d'une couche « groupe de sécurité » dans la console cloud. Si un port n'est pas autorisé dans le groupe de sécurité, l'autoriser dans le pare-feu système ne suffira pas : il faut autoriser aux deux niveaux.

4. Redirection de ports : pour mettre en place une redirection de ports, voir Redirection de ports.

Documentation