UFW (Uncomplicated Firewall) est le moyen le plus simple de configurer un pare-feu sur un serveur Ubuntu. Avec quelques commandes, vous déterminez quel trafic réseau est autorisé ou non, de sorte que seuls les ports dont vous avez besoin (comme SSH, HTTP et HTTPS) restent ouverts. Cet article montre comment installer, activer et configurer UFW, ainsi que les erreurs courantes qui rendent un serveur inaccessible.
Qu’est-ce qu’UFW et pourquoi l’utiliser
Un pare-feu contrôle le trafic réseau entrant et sortant selon des règles définies. Par défaut, Ubuntu utilise le pare-feu puissant mais complexe iptables en arrière-plan. UFW est une couche conviviale par-dessus, spécialement conçue pour rendre la gestion du pare-feu accessible sans devoir apprendre la syntaxe compliquée d’iptables.
Sans pare-feu, chaque port ouvert sur votre serveur est potentiellement accessible depuis l’ensemble d’Internet. En configurant UFW, vous limitez cela aux seuls services que vous proposez réellement, comme le trafic web et l’accès SSH. Cela réduit considérablement la surface d’attaque et constitue l’une des premières étapes pour sécuriser un VPS.
Installer UFW et définir les règles de base
Sur la plupart des installations Ubuntu, UFW est déjà présent, mais désactivé par défaut. Installez-le d’abord (si nécessaire), puis définissez une politique par défaut sécurisée avant de l’activer.
Installer UFW
Exécutez sudo apt update && sudo apt install ufw pour installer UFW ou le mettre à jour vers la dernière version.
Définir la politique par défaut
Configurez le trafic entrant comme refusé par défaut et le trafic sortant comme autorisé avec sudo ufw default deny incoming et sudo ufw default allow outgoing.
Autoriser SSH
Autorisez explicitement SSH avant d’activer le pare-feu, sinon vous vous exclurez vous-même : sudo ufw allow OpenSSH ou sudo ufw allow 22/tcp.
Activer UFW
Activez le pare-feu avec sudo ufw enable et confirmez le message avec y.
sudo ufw allow 2222/tcp) au lieu de la règle OpenSSH par défaut, sinon vous vous bloquerez l’accès au serveur.Ouvrir et fermer des ports
Après avoir activé UFW, vous devez ouvrir les ports réellement utilisés par votre serveur. Pour un serveur web avec Plesk, comme c’est le cas chez Tandata, il s’agit généralement des ports pour HTTP, HTTPS et le panneau de contrôle Plesk.
sudo ufw allow 80/tcp— ouvre le trafic HTTPsudo ufw allow 443/tcp— ouvre le trafic HTTPSsudo ufw allow 8443/tcp— ouvre l’interface d’administration Plesksudo ufw allow 21/tcp— ouvre le FTP (uniquement si nécessaire)
Pour refermer un port, remplacez allow par deny ou supprimez la règle avec sudo ufw delete allow 80/tcp. Pour limiter l’accès à une adresse IP spécifique, par exemple pour l’accès d’administration, utilisez sudo ufw allow from 123.45.67.89 to any port 22.
Si vous gérez également votre messagerie sur le même serveur, pensez aussi aux ports pour SMTP, IMAP et POP3. Si votre messagerie professionnelle passe par un service distinct comme l’hébergement e-mail professionnel, vous n’avez pas besoin d’ouvrir ces ports sur le serveur web lui-même.
Gérer les règles et vérifier le statut
Il est important de vérifier régulièrement quelles règles sont actives, surtout après plusieurs modifications. Cela évite que des ports restent ouverts sans que vous le sachiez.
Utilisez sudo ufw status verbose pour obtenir un aperçu de toutes les règles actives, de la politique par défaut et du statut des journaux. Avec sudo ufw status numbered, vous voyez les règles numérotées, pratique pour en supprimer une spécifique avec sudo ufw delete [numéro].
Pour activer la journalisation afin de surveiller le trafic suspect, utilisez sudo ufw logging on. Vous trouverez les journaux dans /var/log/ufw.log. C’est utile si vous soupçonnez des tentatives de connexion indésirables.
Si vous gérez un serveur avec Plesk, vous pouvez également consulter le module pare-feu intégré du panneau de contrôle en complément d’UFW pour gérer les règles visuellement. En cas de doute sur la configuration adaptée à votre situation, consultez la base de connaissances ou contactez le support.
Questions fréquentes
Que se passe-t-il si j’active UFW sans autoriser SSH ?
Vous perdez immédiatement la connexion SSH à votre serveur et ne pouvez plus vous connecter à distance. La récupération n’est souvent possible que via l’accès console de votre hébergeur.
UFW fonctionne-t-il avec Plesk ?
Oui, mais Plesk dispose aussi de son propre module pare-feu. Assurez-vous que les deux ne contiennent pas de règles contradictoires et vérifiez toujours, après chaque modification, que les services importants restent accessibles.
Comment désactiver UFW à nouveau ?
Utilisez sudo ufw disable. Cela désactive complètement le pare-feu ; n’utilisez cette commande que temporairement pour le dépannage.
Puis-je ouvrir plusieurs ports à la fois ?
Oui, avec une plage comme sudo ufw allow 1000:2000/tcp, vous ouvrez tous les ports de cette plage en une seule fois.
UFW suffit-il pour sécuriser un serveur ?
Un pare-feu n’est qu’une couche de sécurité. Combinez-le avec des mots de passe forts, des clés SSH, des mises à jour régulières et des sauvegardes quotidiennes pour un serveur bien sécurisé.
Conclusion
UFW simplifie la configuration d’un pare-feu sur Ubuntu : installez-le, définissez une politique par défaut sécurisée, n’ouvrez que les ports dont vous avez besoin et vérifiez régulièrement les règles actives. Vous limitez ainsi l’accès à votre serveur à exactement ce qui est nécessaire. Vous préférez ne pas gérer vous-même les règles de pare-feu et souhaitez confier cela à un fournisseur proposant des serveurs entièrement gérés ? Découvrez alors les possibilités pour passer chez Tandata.