Pare-feu Linux

Une demande sur le port 80 de la machine locale générerait alors un journal DMESG qui ressemble à ceci (une ligne unique divisée en 3 pour s’adapter à ce document):

Sécurité – pare-feu

Le noyau Linux comprend le Netfilter Sous-système, qui est utilisé pour manipuler ou décider du sort du trafic réseau dirigée vers ou via votre serveur. Toutes les solutions de pare-feu Linux modernes utilisent ce système pour le filtrage des paquets.

Le système de filtrage des paquets du noyau serait peu utile aux administrateurs sans interface d’espace utilisateur pour le gérer. C’est l’objectif d’iptables: Lorsqu’un paquet atteint votre serveur, il sera remis au sous-système NetFilter pour l’acceptation, la manipulation ou le rejet en fonction des règles qui lui sont fournies à partir de l’espace utilisateur via iptables. Ainsi, Iptables est tout ce dont vous avez besoin pour gérer votre pare-feu si vous le savez, mais de nombreux frontends sont disponibles pour simplifier la tâche.

UFW – pare-feu simple

L’outil de configuration du pare-feu par défaut pour Ubuntu est UFW. Développé pour faciliter la configuration du pare-feu iptables, UFW fournit un moyen convivial pour créer un pare-feu IPv4 ou IPv6 à base d’hôte.

UFW par défaut est initialement désactivé. De la page UFW Man:

“UFW n’est pas destiné à fournir une fonctionnalité complète du pare-feu via son interface de commande, mais fournit plutôt un moyen facile d’ajouter ou de supprimer des règles simples. Il est actuellement principalement utilisé pour les pare-feu à base d’hôtes.”

Voici quelques exemples de la façon d’utiliser UFW:

• Tout d’abord, UFW doit être activé. À partir d’une invite de terminal entrez:

sudo ufw activer

sudo ufw autoriser 22

Sudo UFW INSERT 1 Autoriser 80

sudo ufw nier 22

sudo ufw delete nier 22

sudo ufw autorise Proto TCP à partir de 192.168.0.2 à n'importe quel port 22

sudo ufw - run-run permettre http

*filter :ufw-user-input - [0:0] :ufw-user-output - [0:0] :ufw-user-forward - [0:0] :ufw-user-limit - [0:0] :ufw-user-limit-accept - [0:0] ### RULES ### ### tuple ### allow tcp 80 0.0.0.0/0 Any 0.0.0.0/0 -a ufw-user-input -p tcp --dport 80 -j accepter ### règne final ### -a ufw-user-input -j return -a ufw-user-output -j return -a ufw-user-forward -j return -a ufw-user-limit -m limite --Limit 3 / Minute -j log --lig-prefix "[ufw limit] it -j rejeter -a ufw-user-limit-accept -j accepter les règles de validation mises à jour

Sudo UFW Désactiver

Statut sudo ufw

Sudo UFW Status Verbose

Sudo UFW Status numérotés

Note
Si le port que vous souhaitez ouvrir ou fermer est défini dans / etc / services, vous pouvez utiliser le nom du port au lieu du numéro. Dans les exemples ci-dessus, remplacez 22 par SSH.

Ceci est une introduction rapide à l’utilisation de l’UFW. Veuillez vous référer à la page UFW Man pour plus d’informations.

Intégration de l’application UFW

Les applications qui ouvrent les ports peuvent inclure un profil UFW, qui détaille les ports nécessaires pour que l’application fonctionne correctement. Les profils sont conservés dans / etc / ufw / applications.d et peut être modifié si les ports par défaut ont été modifiés.

• Pour afficher les applications qui ont installé un profil, entrez ce qui suit dans un terminal:

Liste des applications Sudo UFW

sudo ufw permettez la samba

UFW autorise à partir de 192.168.0.0/24 à n'importe quelle application samba

Remplacer la samba et 192.168.0.0/24 avec le profil d’application que vous utilisez et la plage IP de votre réseau.

Note Il n’est pas nécessaire de spécifier le protocole pour l’application car ces informations sont détaillées dans le profil. Notez également que le nom de l’application remplace le numéro de port.

Sudo UFW App Info Samba

Toutes les applications qui nécessitent l’ouverture d’un port réseau ne sont pas livrées avec des profils UFW, mais si vous avez profilé une application et souhaitez que le fichier soit inclus avec le package, veuillez déposer un bogue contre le package dans LaunchPad.

ubuntu-bug nameofpackage

IP Masquerading

Le but de la mise en service IP est d’autoriser les machines avec des adresses IP privées et non routibles sur votre réseau pour accéder à Internet via la machine en faisant la mascarade. Le trafic provenant de votre réseau privé destiné à Internet doit être manipulé pour que les réponses soient de retour à la machine qui ont fait la demande. Pour ce faire, le noyau doit modifier l’adresse IP source de chaque paquet afin que les réponses soient renvoyées vers elle, plutôt que vers l’adresse IP privée qui a rendu la demande, ce qui est impossible sur Internet. Linux utilise le suivi des connexions (ConnTrack) pour garder une trace des connexions appartenant aux machines et relâchez chaque paquet de retour en conséquence. Le trafic quittant votre réseau privé est donc “masqué” comme étant originaire de votre machine à passerelle Ubuntu. Ce processus est appelé dans la documentation Microsoft comme partage de connexion Internet.

UFW se faisant passer pour

Le masquage IP peut être réalisé en utilisant des règles UFW personnalisées. Cela est possible car le back-end actuel pour UFW est iptable-restore avec les fichiers de règles situés dans / etc / ufw / *.règles. Ces fichiers sont un excellent endroit pour ajouter des règles iptables héritées utilisées sans UFW, et des règles plus liées à la passerelle ou au pont réseau.

Les règles sont divisées en deux fichiers différents, des règles qui doivent être exécutées avant les règles de ligne de commande UFW et des règles qui sont exécutées

Pare-feu Linux

Une demande sur le port 80 de la machine locale générerait alors un journal DMESG qui ressemble à ceci (une ligne unique divisée en 3 pour s’adapter à ce document):

Sécurité – pare-feu

Le noyau Linux comprend le Netfilter Sous-système, qui est utilisé pour manipuler ou décider du sort du trafic réseau dirigée vers ou via votre serveur. Toutes les solutions de pare-feu Linux modernes utilisent ce système pour le filtrage des paquets.

Le noyau’Le système de filtrage des paquets serait peu utile aux administrateurs sans interface d’espace utilisateur pour le gérer. C’est l’objectif d’iptables: Lorsqu’un paquet atteint votre serveur, il sera remis au sous-système NetFilter pour l’acceptation, la manipulation ou le rejet en fonction des règles qui lui sont fournies à partir de l’espace utilisateur via iptables. Ainsi, iptables est tout ce dont vous avez besoin pour gérer votre pare-feu, si vous’RE FAMILLE, mais de nombreux frontends sont disponibles pour simplifier la tâche.

UFW – pare-feu simple

L’outil de configuration du pare-feu par défaut pour Ubuntu est UFW. Développé pour faciliter la configuration du pare-feu iptables, UFW fournit un moyen convivial pour créer un pare-feu IPv4 ou IPv6 à base d’hôte.

UFW par défaut est initialement désactivé. De la page UFW Man:

“UFW n’est pas destiné à fournir une fonctionnalité complète du pare-feu via son interface de commande, mais fournit plutôt un moyen facile d’ajouter ou de supprimer des règles simples. Il est actuellement principalement utilisé pour les pare-feu à base d’hôtes.”

Voici quelques exemples de la façon d’utiliser UFW:

Tout d’abord, UFW doit être activé. À partir d’une invite de terminal entrez:

sudo ufw activer 

sudo ufw autoriser 22 

Sudo UFW INSERT 1 Autoriser 80 

sudo ufw nier 22 

sudo ufw delete nier 22 

sudo ufw autorise Proto TCP à partir de 192.168.0.2 à n'importe quel port 22 

 sudo ufw - run-run permettre http 

*filter :ufw-user-input - [0:0] :ufw-user-output - [0:0] :ufw-user-forward - [0:0] :ufw-user-limit - [0:0] :ufw-user-limit-accept - [0:0] ### RULES ### ### tuple ### allow tcp 80 0.0.0.0/0 Any 0.0.0.0/0 -a ufw-user-input -p tcp --dport 80 -j accepter ### règne final ### -a ufw-user-input -j return -a ufw-user-output -j return -a ufw-user-forward -j return -a ufw-user-limit -m limite --Limit 3 / Minute -j log --lig-prefix "[ufw limit] it -j rejeter -a ufw-user-limit-accept -j accepter les règles de validation mises à jour 

Sudo UFW Désactiver 

Statut sudo ufw 

Sudo UFW Status Verbose 

Sudo UFW Status numérotés 

Note

Si le port que vous souhaitez ouvrir ou fermer est défini dans / etc / services, vous pouvez utiliser le nom du port au lieu du numéro. Dans les exemples ci-dessus, remplacez 22 avec ssh.

Ceci est une introduction rapide à l’utilisation de l’UFW. Veuillez vous référer à la page UFW Man pour plus d’informations.

Intégration de l’application UFW

Les applications qui ouvrent les ports peuvent inclure un profil UFW, qui détaille les ports nécessaires pour que l’application fonctionne correctement. Les profils sont conservés dans / etc / ufw / applications.d, et peut être modifié si les ports par défaut ont été modifiés.

Pour afficher les applications qui ont installé un profil, entrez ce qui suit dans un terminal:

Liste des applications Sudo UFW 

sudo ufw permettez la samba 

UFW autorise à partir de 192.168.0.0/24 à n'importe quelle application samba 

Remplacer Samba et 192.168.0.0/24 avec le profil d’application que vous utilisez et la plage IP de votre réseau.

Note Il n’est pas nécessaire de spécifier le protocole pour l’application, car ces informations sont détaillées dans le profil. Notez également que le appliquer Le nom remplace le port nombre.

Sudo UFW App Info Samba 

Toutes les applications qui nécessitent l’ouverture d’un port réseau ne sont pas livrées avec des profils UFW, mais si vous avez profilé une application et souhaitez que le fichier soit inclus avec le package, veuillez déposer un bogue contre le package dans LaunchPad.

ubuntu-bug nameofpackage 

IP Masquerading

Le but de la mise en service IP est d’autoriser les machines avec des adresses IP privées et non routibles sur votre réseau pour accéder à Internet via la machine en faisant la mascarade. Le trafic provenant de votre réseau privé destiné à Internet doit être manipulé pour que les réponses soient de retour à la machine qui ont fait la demande. Pour ce faire, le noyau doit modifier le source Adresse IP de chaque paquet afin que les réponses soient renvoyées vers elle, plutôt que vers l’adresse IP privée qui a rendu la demande, ce qui est impossible sur Internet. Utilisations de Linux Suivi des connexions (Conntrack) pour garder une trace des connexions appartenant aux machines et réacheminent chaque paquet de retour en conséquence. Le trafic quittant votre réseau privé est donc “masqué” comme étant originaire de votre machine à passerelle Ubuntu. Ce processus est appelé dans la documentation Microsoft comme partage de connexion Internet.

UFW se faisant passer pour

Le masquage IP peut être réalisé en utilisant des règles UFW personnalisées. Cela est possible car le back-end actuel pour UFW est iptable-restore avec les fichiers de règles situés dans / etc / ufw / *.règles . Ces fichiers sont un excellent endroit pour ajouter des règles iptables héritées utilisées sans UFW, et des règles plus liées à la passerelle ou au pont réseau.

Les règles sont divisées en deux fichiers différents, des règles qui doivent être exécutées avant les règles de ligne de commande UFW et des règles qui sont exécutées après les règles de ligne de commande UFW.

Tout d’abord, le transfert de paquets doit être activé dans UFW. Deux fichiers de configuration devront être ajustés, dans / etc / default / ufw modifier le Default_forward_policy pour “ACCEPTER”:

Default_forward_policy = "accepter" 

Puis modifier / etc / ufw / sysctl.Conf et inconnu:

net / ipv4 / ip_forward = 1 

De même, pour le non-comment du transfert IPv6:

net / ipv6 / conf / par défaut / transfert = 1 

# Nat Table Règles * Nat: Postrouting Accepter [0: 0] # Traffical Forward de Eth1 à Eth0. -Un post-art.168.0.0/24 -o eth0 -j Masquerade # Ne supprimez pas la ligne «Commit» ou ces règles de table NAT ne seront pas traitées 

Les commentaires ne sont pas strictement nécessaires, mais il est considéré comme une bonne pratique pour documenter votre configuration. Aussi, lors de la modification de l’un des règles Fichiers dans / etc / ufw, assurez-vous que ces lignes sont la dernière ligne pour chaque tableau modifié:

# Ne supprimez pas la ligne «Commit» ou ces règles ne seront pas traitées 

Pour chaque Tableau un correspondant COMMETTRE La déclaration est requise. Dans ces exemples seulement le nat et filtre les tables sont affichées, mais vous pouvez également ajouter des règles pour le brut et mutiler les tables.

Note Dans l’exemple ci-dessus, remplacez ETH0, ETH1, et 192.168.0.0/24 avec les interfaces et la plage IP appropriées pour votre réseau.

sudo ufw Disable && sudo ufw activer 

La mascarade IP doit désormais être activée. Vous pouvez également ajouter toutes les règles de transfert supplémentaires au / etc / ufw / avant.règles . Il est recommandé que ces règles supplémentaires soient ajoutées au ufw-avant-part chaîne.

Iptables se faisant passer pour

Les iptables peuvent également être utilisés pour permettre la mascarade.

Semblable à UFW, la première étape consiste à activer le transfert de paquets IPv4 par édition / etc / sysctl.Conf et inconnu la ligne suivante:

filet.ipv4.ip_forward = 1 

Si vous souhaitez activer le transfert IPv6, également un décOMMANCE:

filet.ipv6.confli.défaut.transfert = 1 

sudo sysctl -p 

sudo iptables -t nat -a postrouting -s 192.168.0.0/16 -o PPP0 -J Masquerade 

• -t Nat – la règle est d’entrer dans la table NAT
• -Un post-trousse – la règle doit être annexée (-a) à la chaîne post-traction
• -S 192.168.0.0/16 – La règle s’applique au trafic provenant de l’espace d’adressage spécifié
• -O PPP0 – La règle s’applique au trafic prévu pour être acheminé via le périphérique réseau spécifié
• -J Masquerade – Le trafic correspondant à cette règle est de “saut” (-j) à la cible de mascarade à manipuler comme décrit ci-dessus

sudo iptables -a avant -S 192.168.0.0/16 -o Ppp0 -J accepter les iptables sudo -a avant -d 192.168.0.0/16 -M State \ --State établi, lié -i ppp0 -j accepter 

iptables -t nat -a postrouting -s 192.168.0.0/16 -o PPP0 -J Masquerade 

Bûches

Les journaux de pare-feu sont essentiels pour reconnaître les attaques, dépanner vos règles de pare-feu et remarquer une activité inhabituelle sur votre réseau. Vous devez inclure des règles de journalisation dans votre pare-feu pour qu’ils soient générés, et les règles de journalisation doivent être présentées avant toute règle de résiliation applicable (une règle avec une cible qui décide du sort du paquet, comme accepter, tomber ou rejeter).

Si vous utilisez UFW, vous pouvez activer la journalisation en entrant ce qui suit dans un terminal:

sudo ufw connexion 

Pour désactiver l’enregistrement dans UFW, remplacez simplement sur avec désactivé Dans la commande ci-dessus.

Si vous utilisez des iptables au lieu de UFW, entrez:

sudo iptables -a entrée -m état --state new -p tcp --dport 80 \ -j log - log-prefix "new_http_conn:" 

Une demande sur le port 80 de la machine locale générerait alors un journal DMESG qui ressemble à ceci (une ligne unique divisée en 3 pour s’adapter à ce document):

[4304885.870000] NEW_HTTP_CONN: IN = LO OUT = Mac = 00: 00: 00: 00: 00: 00: 00: 00: 00: 00: 00: 00: 08: 00 SRC = 127.0.0.1 DST = 127.0.0.1 len = 60 TOS = 0x00 Prec = 0x00 TTL = 64 DF Proto = TCP SPT = 53981 DPT = 80 Window = 32767 Res = 0x00 syn Urgp = 0 

Le journal ci-dessus apparaîtra également dans / var / log / messages, / var / log / syslog, et / var / log / kern.enregistrer . Ce comportement peut être modifié par édition / etc / syslog.Conf de manière appropriée ou en installant et en configurant ULOGD et en utilisant la cible ULOG au lieu du journal. Le démon ULOGD est un serveur d’espace utilisateur qui écoute les instructions de journalisation du noyau spécifiquement pour les pare-feu, et peut se connecter à n’importe quel fichier que vous aimez, ou même à une base de données PostgreSQL ou MySQL. Donner un sens à vos journaux de pare-feu peut être simplifié en utilisant un outil d’analyse de journal tel que LogWatch, Fwanalog, FWLogWatch ou Lire.

Autres outils

Il existe de nombreux outils disponibles pour vous aider à construire un pare-feu complet sans connaissance intime des iptables. Un outil de ligne de commande avec des fichiers de configuration de texte ordinaire:

• Shorewall est une solution très puissante pour vous aider à configurer un pare-feu avancé pour tout réseau.

Les références

• La page Wiki du pare-feu Ubuntu contient des informations sur le développement de l’UFW.
• De plus, la page manuelle UFW contient des informations très utiles: Man UFW .
• Voir le filtrage des paquets-Howto pour plus d’informations sur l’utilisation des iptables.
• Le nat-Howto contient plus de détails sur la mascarade.
• Les iptables Howto dans le wiki Ubuntu sont une excellente ressource.

Pare-feu Linux

Il est souvent mal interprété que le pare-feu n’est pas nécessaire pour Linux. Bien sûr, le système Linux est méticuleusement créé pour lui offrir une sécurité maximale. Par exemple, il a plusieurs niveaux d’autorisation empêchant l’installation de logiciels malveillants et de codes malveillants. Par défaut, le système Linux n’a pas de ports ouverts, ce qui signifie qu’aucun périphérique ou programmes externe ne peut avoir accès à votre appareil sans ouvrir les ports, contrairement à Windows. De plus, les virus et les malwares fabriqués pour Linux sont extrêmement rares en raison du fait que le système d’exploitation Linux est le système d’exploitation le moins populaire. Cela ne rend pratiquement pas rentable pour les cyberattaquants de l’attaquer.

Nonobstant, il existe toujours des lacunes majeures qui peuvent exposer votre système Linux. De plus, comme la plupart des utilisateurs de Linux sont convaincus qu’ils n’ont pas besoin de protection supplémentaire, ils sont plus vulnérables si une attaque est lancée. À cette fin, il est logique de vous assurer que vous obtenez un pare-feu Linux réputé qui vous offrira la protection nécessaire. Voici quatre raisons pour lesquelles vous devriez envisager d’installer un pare-feu pour votre appareil Linux.

Pourquoi vous avez besoin d’un pare-feu pour votre système Linux?

je. Couche de protection supplémentaire

Comme indiqué, Linux est fait de sorte qu’il est extrêmement difficile pour les malwares et autres problèmes de sécurité qui se produisent. Par défaut, il a son propre pare-feu interne bien que désactivé. Tout d’abord, avant d’installer un nouveau pare-feu Linux, vous devez vous assurer que son pare-feu natif est déjà activé. Étant donné que la plupart des utilisateurs de Linux sont avertis en technologie, ils peuvent facilement être en mesure de manipuler leurs systèmes de pare-feu pour répondre à leurs besoins de sécurité. L’ajout d’une couche supplémentaire de protection en installant un pare-feu tiers signifie que votre appareil Linux aura plusieurs couches de sécurité, ce qui rend encore plus difficile pour les pirates et les malwares.

ii. Prévention des logiciels malveillants

Les malwares pour Linux sont extrêmement rares. Mais quand ils attaquent, les dégâts sont des amplitudes extrêmes. Il vaut mieux être prudent que désolé. Un bon pare-feu Linux est méticuleusement conçu pour combattre les logiciels malveillants Linux et les virus de l’entrée dans le système. En utilisant un ensemble de règles, il identifiera les codes malveillants transmis sur votre réseau privé. Maintenant, accordé, votre système Linux n’a pas de ports ouverts par défaut et a plusieurs niveaux d’autorisation. Cependant, une petite erreur comme avoir un port ouvert et l’autorisation du système à un code malveillant vous laissera vulnérable. Le pare-feu empêche de tels logiciels malveillants à accéder à l’appareil en premier lieu. De cette façon, indépendamment des ports ouverts ou de l’autorisation, il n’y a aucun logiciel malveillant qui entre dans le système.

III. Protection contre les cyberattaques

Cybercriminels’ L’ordre du jour principal est obtenu soit des informations importantes d’un système ou d’extorquer de l’argent de leurs victimes. Les utilisateurs de Linux sont généralement des gens avertis ou des grandes organisations. Il est logique que les cybercriminels investissent massivement dans leurs attaques car les bénéfices seront tout aussi importants s’ils réussissaient. Cela signifie donc que les attaques menées sur les systèmes Linux provoquent des pertes extrêmes lorsqu’ils réussissent.

Un bon logiciel de pare-feu Linux devrait être suffisamment solide pour pouvoir empêcher que de telles attaques ne se produisent. Il examine chaque paquet de données accès à votre système et aliène les données malveillantes et l’empêche de transmettre. Cela est particulièrement vrai lorsqu’un attaquant a eu accès au système et essaie de transmettre des données importantes.

iv. Confidentialité

Tout le monde valorise la confidentialité. Les utilisateurs de Linux ont l’avantage d’avoir un système d’exploitation sécurisé le moins attaqué par les logiciels malveillants et les cybercriminels. Mais cela ne signifie pas qu’ils ne peuvent pas entrer, surtout si vous utilisez un réseau public. Bien que de telles attaques reposent fortement sur les ports ouverts sur votre système Linux, lorsqu’ils se produisent, vous pouvez vous retrouver exposé et certains de vos fichiers personnels peuvent entrer dans le domaine public. Pire encore, vos activités en ligne peuvent être suivies et vous pouvez être espionné. Il va sans dire qu’avoir un pare-feu Linux supérieur devrait être votre priorité numéro un si vous appréciez votre intimité. Et tu ne devrais pas’T prend des risques à ce sujet.

Logiciel de pare-feu Comodo pour Linux

Comodo est l’une des principales sociétés de sécurité du réseau existant depuis plusieurs décennies. Cette vaste expérience, associée à notre équipe d’experts informatiques très expérimentés, nous a permis de proposer l’un des principaux logiciels de pare-feu de Linux qui offre des fonctionnalités et une convivialité élevées, même pour les individus moins avertis en technologie. Avec les meilleurs prix de l’AV-Test 2019 et à un taux abordable de 29 $.99, vous êtes garanti une protection maximale 24/7 avec 100% verdict 100% du temps.

Linux a-t-il besoin d’un pare-feu et comment configurer le pare-feu Linux avec un pare-feu-CMD

Linux est plus sûr que les autres systèmes d’exploitation. Mais ce n’est pas la seule raison pour laquelle vous n’avez peut-être pas besoin d’un antivirus ou d’un pare-feu tout en utilisant Linux.

Linux n’est pas invulnérable. En fait, c’est l’un des mythes de cybersécurité les plus courants qui font que les utilisateurs de Linux sont en difficulté. Cette croyance facilite la baisse de votre garde, et lorsque votre garde est en panne, vous êtes plus susceptible de se faire frapper. Mais ce n’est pas parce que Linux a des trous de sécurité que vous avez besoin d’un antivirus ou d’un logiciel de pare-feu. Votre choix de paramètres de sécurité aura été discuté en détail lors de l’installation de votre système Linux, mais vous ne vous en souvenez peut-être pas maintenant. Dans cet article, nous parlerons de la configuration du pare-feu avec la commande de pare-feu-CMD.

Qu’est-ce qu’un pare-feu?

Les pare-feu sont un aspect clé de la sécurité des réseaux, donc un système doit comprendre comment ils fonctionnent. Si vous comprenez les pare-feu, vous pouvez assurer la sécurité de votre réseau en prenant des décisions éclairées sur le trafic à laisser entrer et sortir. Un pare-feu est simplement un filtre qui détermine quels paquets de réseau peuvent entrer dans votre ordinateur depuis Internet et lequel peut laisser votre ordinateur sur Internet. Il est principalement utilisé pour permettre et / ou interdire les connexions entrantes. Les connexions sortantes sont rarement filtrées. En mots simples, c’est une sorte de mur entre votre ordinateur et le monde extérieur.

Linux a-t-il besoin d’un pare-feu?

C’est presque toujours une question. 99% des utilisateurs de Linux pensent que Linux est sécurisé par défaut. Par défaut, presque toutes les distributions Linux n’ont pas de pare-feu. Pour être plus précis, ils ont un pare-feu dormant. Parce que le noyau Linux comprend un pare-feu intégré, et théoriquement toutes les distributions Linux en incluent une, mais elle n’est pas configurée ou active. Mais ne vous inquiétez pas, même sans un pare-feu actif, votre Linux est toujours sûr. La plupart des distributions, y compris Ubuntu et Linux Mint, n’ont pas de ports ouverts par défaut, garantissant que les étrangers ne peuvent pas accéder à votre machine. Néanmoins, j’exhorte que vous performes un pare-feu. Il est préférable d’être en sécurité que désolé. Nous discuterons plus en détail de la façon de configurer le pare-feu Linux à l’aide de Firewall-CMD.

Qu’est-ce que les iptables?

Iptable est un outil de pare-feu de ligne de commande qui permet ou bloque le trafic à l’aide de chaînes de politiques. Lorsqu’une connexion tente de s’établir sur votre système, Iptables recherche sa liste de règles pour une correspondance. S’il ne peut pas en découvrir un, il retombe sur l’action par défaut. Iptable est presque généralement inclus avec chaque distribution Linux. Iptables a tendance à utiliser 3 chaînes différentes: entrée, avant et sortie. Avec cela, vous pouvez créer différents ensembles de règles pour différentes machines sur le réseau, cependant, pourquoi ne pas le rendre plus facile en utilisant le pare-feu-CMD!

Qu’est-ce que Firewall-CMD et Firewalld?

Firewall-CMD est une interface de ligne de commande pour le démon de Firewalld, qui communique avec le framework NetFilter du noyau Linux. Il est peu probable que cette pile soit trouvée sur les modems intégrés couramment trouvés dans les petites et moyennes entreprises, mais elle est présente ou disponible pour toute distribution Linux qui prend en charge SystemD. Firewalld est un pare-feu à commande dynamiquement qui prend en charge les zones réseau / pare-feu, qui spécifient le niveau de confiance pour les connexions ou les interfaces réseau. Il prend en charge les paramètres de pare-feu IPv4 et IPv6, ainsi que les ponts Ethernet et les ensembles IP. Les choix de configuration d’exécution et de configuration permanentes sont séparés. Il fournit également une interface via quels services ou programmes peuvent facilement ajouter des règles de pare-feu.

Configuration du pare-feu avec pare-feu-CMD

Selon votre distribution Linux, vous pouvez ou non que la commande Firewall-CMD soit déjà installée. Sans pare-feu opérationnel, le pare-feu de Firew-CMD n’a rien à contrôler, donc la première étape consiste à vérifier que Firewalld est en cours d’exécution:

$ sudo systemctl activer – maintenant

Les zones sont utilisées comme préréglages dans le pare-feu-CMD, vous offrant des options raisonnables à choisir. Cela vous évite d’avoir à concevoir un pare-feu à partir de zéro. Les zones sont affectées aux interfaces réseau. Exécutez la commande ci-dessous pour vérifier vos zones:

Si je voulais créer une nouvelle zone, j’utiliserais la commande:

$ sudo Firewall-CMD –New-zone [Zonename] – Permanent

De plus, je peux utiliser les commandes suivantes pour vérifier quels ports et services sont autorisés:

Pour vérifier quelles zones sont actives, exécutez la commande:

$ sudo Firewall-CMD –get-active-zones

Pour ajouter un service et permettre des connexions pour ce service, vous utilisez l’argument –Add-Service comme indiqué ci-dessous:

$ sudo Firewall-CMD – Add-Service HTTP – Permanent

La commande ci-dessus permet aux services HTTP d’exécuter dans la zone par défaut. Si vous souhaitez spécifier la zone, vous pouvez courir:

$ sudo Firewall-Cmd –zone = public –add-service http – Permanent

La commande ci-dessus permet le trafic HTTP pour la zone “public”. Pour supprimer un service et bloquer la connexion, supprimez-la comme ci-dessous:

$ sudo Firewall-CMD – Remove-Service HTTP – Permanent
$ sudo Firewall-CMD – Reload

Chaque fois que vous apportez une modification au pare-feu à l’aide d’un pare-feu-CMD, assurez-vous de recharger tous les paramètres, sinon la modification ne prendra pas en vigueur. Pour vérifier les arguments supplémentaires, vous pouvez exécuter la commande Firewall-CMD – help.

Pourquoi Firewalld & Firewall-CMD?

Vous pouvez faire beaucoup plus avec le pare-feu-CMD, comme définir vos propres services, le blocage ICMP et la désignation de sources de trafic entrant. Bien qu’il ne soit pas trop suggéré pour la sécurité au niveau de l’entreprise, le pare-feu-CMD est toujours une solution excellente et viable pour les utilisateurs et les entreprises quotidiens qui nécessitent un degré rapide de sécurité. Si vous êtes nouveau dans Linux Security, Firewall-CMD est une façon merveilleuse de commencer avec les ipchains et les iptables. Firewall-CMD vous permet de configurer rapidement un pare-feu de base si vous connaissez déjà les ipchains. De plus, l’environnement d’exécution est facilement modifiable. Il n’est pas nécessaire de redémarrer le démon ou le service. Il est simple pour les services, les programmes et les utilisateurs de modifier les paramètres du pare-feu grâce à l’interface D-Bus. Ceci est utile pour les administrateurs car il permet les tests d’exécution et l’évaluation en raison de la séparation de l’exécution et de la configuration permanente.

Dernières pensées

La seule fois où vous auriez besoin d’un pare-feu, c’est si vous exécutez une sorte d’application de serveur sur votre système la plupart du temps. Dans ce cas, un pare-feu limitera les connexions entrantes à certains ports, en s’assurant qu’ils ne peuvent interagir qu’avec l’application de serveur approprié. Encore une fois, il n’y a aucun mal à ne pas avoir un pare-feu activé sur votre machine Linux. Tout ce que nous disons, c’est que vous devriez penser à mettre en œuvre un pare-feu à l’aide d’un pare-feu-CMD pour une sécurité accrue!