Aperçu
ufw-deny est l'une des fonctionnalités clés d'UFW (Uncomplicated Firewall), qui permet de définir des règles pour bloquer explicitement le trafic réseau spécifique entrant ou sortant du système. Ceci est crucial pour définir la politique de sécurité d'un serveur ou d'un poste de travail et est utilisé pour prévenir les accès malveillants ou l'exposition de services inutiles.
Fonctionnalités principales
Vous pouvez bloquer les types de connexions suivants à l'aide de ufw-deny :
- Blocage de l'accès à des numéros de port spécifiques (par exemple, HTTP, SSH)
- Blocage de l'accès à partir d'adresses IP ou de sous-réseaux spécifiques
- Blocage des connexions basées sur des protocoles spécifiques (TCP, UDP)
- Blocage de l'accès selon des profils d'applications prédéfinis
Options principales
Voici les principales options utilisées avec la commande ufw deny. Vous pouvez combiner ces options pour définir des règles de blocage précises.
Spécification de la cible et de la direction
Commande générée :
Essayez de combiner les commandes.
Description:
`ufw-deny` Exécute la commande.
Essayez d'exécuter virtuellement les commandes avec l'IA en combinant les options ci-dessus.
Exemples d'utilisation
Voici des exemples de configuration de diverses règles de blocage réseau à l'aide de la commande ufw-deny.
Bloquer l'accès au port 80 (HTTP) depuis toutes les IP externes
sudo ufw deny 80Bloque toutes les connexions entrantes vers le port 80 du serveur web.
Bloquer toutes les connexions provenant d'une adresse IP spécifique
sudo ufw deny from 192.168.1.100Bloque toutes les connexions provenant d'une adresse IP malveillante spécifique (par exemple, 192.168.1.100).
Bloquer les connexions TCP vers le port 22 (SSH) depuis une adresse IP spécifique
sudo ufw deny from 192.168.1.100 to any port 22 proto tcpBloque uniquement les connexions TCP vers le port SSH depuis une IP spécifique, tout en maintenant les autres services.
Bloquer l'accès à une application spécifique (par exemple, Apache)
sudo ufw deny ApacheBloque l'accès au serveur web selon le profil Apache défini dans UFW.
Bloquer les connexions UDP sortantes sur le port 53 (DNS)
sudo ufw deny out 53 proto udpBloque les requêtes DNS sortantes (port UDP 53) depuis le système.
Installation
UFW est généralement installé par défaut sur la plupart des systèmes basés sur Ubuntu/Debian, mais il peut être nécessaire de l'installer manuellement sur d'autres distributions ou dans des environnements d'installation minimale.
Systèmes basés sur Debian/Ubuntu
sudo apt update && sudo apt install ufwInstallez UFW à l'aide du gestionnaire de paquets APT.
Systèmes basés sur CentOS/RHEL/Fedora
sudo dnf install ufwInstallez UFW à l'aide du gestionnaire de paquets DNF (ou Yum).
Conseils et précautions
Lorsque vous utilisez la commande ufw-deny, vous devez configurer les règles avec prudence en tenant compte de l'accessibilité du système. Des règles incorrectes peuvent perturber le fonctionnement des services importants.
Conseils principaux
- **Importance de l'ordre des règles** : Les règles UFW sont traitées de haut en bas, il est donc important de tenir compte de l'ordre pour qu'une règle spécifique ne soit pas annulée par une autre. Généralement, les règles 'deny' peuvent devoir être appliquées avant les règles 'allow'.
- **Vérifier la politique par défaut** : Vous pouvez vérifier la politique par défaut actuelle d'UFW (par exemple, deny par défaut) avec la commande `sudo ufw status verbose` et la modifier si nécessaire avec `sudo ufw default deny incoming`.
- **Attention à l'accès SSH** : Lorsque vous travaillez sur un serveur distant, le blocage du port SSH (par défaut 22) vous empêchera d'y accéder. Par conséquent, vous devez toujours d'abord définir une règle autorisant l'accès SSH (par exemple, `sudo ufw allow ssh`).
- **Supprimer une règle** : Vous pouvez supprimer une règle spécifique en vérifiant son numéro avec `sudo ufw status numbered`, puis en utilisant `sudo ufw delete <numéro>`.
- **Activer/Désactiver UFW** : Vous pouvez activer le pare-feu avec `sudo ufw enable` et le désactiver avec `sudo ufw disable`. Lors de l'activation, assurez-vous toujours qu'une règle autorisant le port SSH est présente.