Bonjour,
voici un tuto du pare-feu au sujet "GUFW"
Ce tutoriel s’adresse à toute personne souhaitant sécuriser rapidement sa machine Debian, sans connaissances techniques poussées en réseau.
Introduction
Un pare-feu filtre le trafic entrant et sortant de votre ordinateur pour bloquer les connexions indésirables. Sous Debian, il repose sur Netfilter/iptables, dont la configuration en ligne de commande peut rebuter un débutant. C’est pourquoi nous utiliserons UFW (Uncomplicated Firewall), et plus précisément GUFW, son interface graphique, qui permet de gérer son pare-feu en quelques clics, sans taper une seule commande.
Installer GUFW répond à des besoins précis :
- Sécuriser les services futurs : Dès que tu installes un serveur (SSH, Samba, web…), le port s’ouvre. Ufw te permet de filtrer qui a le droit d’y accéder (ex: uniquement ton réseau local).
- Protéger les déplacements : Utile si ta machine se connecte à des Wi-Fi publics.
- Contrôler le trafic sortant : Empêcher certaines applications de sortir sur Internet sans ton accord.
Concrètement, le pare-feu agit comme un vigile à la porte il bloque par défaut tout ce qui tente d’entrer sans invitation.
Bon à savoir :
GUFW est uniquement une interface graphique (une « télécommande »). Une fois vos règles configurées, vous pouvez fermer la fenêtre GUFW : c’est le noyau Linux qui applique la sécurité en arrière-plan. Cela garantit une protection continue sans consommer de mémoire inutilement.
- Le pare-feu (GUFW / Netfilter) : C’est le vigile au portail. Il vérifie qui a le droit de sortir ou d’entrer en fonction du numéro de porte (le port) ou de la provenance (l’adresse IP).
- Le serveur Proxy : C’est l’inspecteur des affaires. Il ouvre le paquet, analyse ce qu’il y a dedans (le site web, le fichier, le contenu) et décide si le contenu est autorisé ou non.
Installation de GUFW
Ouvrez un terminal excécuter la commande habituel avant l’installation qu’un paquet : sudo apt update lancer la commande d’installation de ***sudo apt install gufw
Cette commande installe à la fois UFW (le moteur) et GUFW (l’interface graphique qui pilote UFW).
Lancer GUFW
Vous pouvez lancer GUFW de deux façons :
Depuis le menu des applications : cherchez « Pare-feu » ou « Firewall Configuration »
Depuis un terminal : sudo gufw
Comme GUFW modifie la configuration système, une authentification (mot de passe administrateur) vous sera demandée.
Découverte de l’interface
Une fois GUFW ouvert, vous trouverez :
Une barre de menu
Un menu déroulant nommé Profil , avec trois profils prédéfinis :
Domestique : profil équilibré pour un usage courant
Public : profil restrictif, recommandé sur les réseaux Wi-Fi publics
Entreprise : profil pour un réseau d’entreprise
Un menu déroulant nommé Etat interrupteur principal Activé / Désactivé
Pour allumer ou éteindre le pare-feu
Un menu déroulant nommé Entrant
Autoriser
Refuser
Rejeter
Un menu déroulant nommé Sortant
Autoriser
Refuser
Rejeter
Des onglets :
Premier pas (représentanté par une maison),
Règles
Rapport,
Journal
Activez simplement le pare-feu en basculant l’interrupteur sur ON .
Configuration par défaut
Par défaut, GUFW applique une politique simple et sûre :
Entrant (Incoming) : refusé ( Deny ) — aucune connexion venant de l’extérieur n’est acceptée sauf autorisation explicite
Sortant (Outgoing) : autorisé ( Allow ) — votre machine peut librement se connecter à Internet
Cette configuration convient à la grande majorité des utilisateurs et ne nécessite aucune modification pour un usage classique (navigation web, mail, etc.)
Ajouter une règle simple
Pour autoriser un service (par exemple si vous hébergez un serveur SSH ou un serveur web local) :
Activer le pare-feu et allez dans l’onglet Règles
Cliquez sur le bouton +
Dans l’onglet Préconfigurée , choisissez :
La politique : Autoriser (Allow), Refuser (Deny), Rejeter (Reject) ou Limiter (Limit)
La direction : Entrant ou Sortant
L’ application dans la liste déroulante (SSH, HTTP, HTTPS, Samba, etc.)
Cliquez sur Ajouter
La règle apparaît immédiatement dans la liste et s’applique sans besoin de redémarrer.
Ajouter une règle avancée (port ou plage de ports)
Si l’application que vous cherchez n’est pas dans la liste préconfigurée, utilisez l’onglet Simple ou Avancée de la fenêtre d’ajout de règle :
1.Bouton + dans l’onglet Règles
Onglet Simple
Renseignez :
Nommer la règle 5. Politique : Autoriser / Refuser 6. Direction : Entrant / Sortant
Protocole : TCP, UDP, ou les deux
Port : un port unique (ex. 8080) ou une plage (ex. 6000:6007)
Cliquez sur Ajouter
Exemple concret
Autoriser l’accès à un serveur web local sur le port 8080 en TCP : - Politique : Autoriser - Sens : Entrant - Protocole : TCP - Port : 8080
Bloquer une adresse IP spécifique Pour bloquer un hôte précis :
Bouton + dans l’onglet Règles
Onglet Avancée
Renseignez :
Nom : Nommé la règle
Politique : Refuser ou Rejeter
Direction : Entrant (ou les deux)
De : l’adresse IP à bloquer (ex. 203.0.113.42)
Vers : Anywhere (laisser par défaut)
Interface : indique quel type de réseau (enp0s3 ou lo (Loopback)
Cliquez sur Ajouter
Refuser (Deny) ignore silencieusement la connexion, tandis que Rejeter (Reject) renvoie une réponse explicite à l’émetteur. Pour bloquer discrètement, préférez Deny .
Consulter les journaux (logs)
L’onglet Journal affiche en temps réel les connexions bloquées ou autorisées par le pare-feu. C’est utile pour :
Vérifier qu’une règle fonctionne comme prévu
Diagnostiquer pourquoi une application n’arrive pas à se connecter
Repérer des tentatives de connexion suspectes
Le niveau de journalisation (faible, moyen, élevé) se règle depuis l’onglet
Accueil , dans le menu Rapport .
Modifier ou supprimer une règle
Dans l’onglet Règles :
Modifier : double-cliquez sur une règle existante
Supprimer : sélectionnez la règle puis cliquez sur le bouton -
Résumé des bonnes pratiques
Activer le pare-feu: Laissez le trafic sortant autorisé et le trafic entrant refusé par défaut - N’ouvrez que les ports strictement nécessaires - Utilisez le profil Public sur les réseaux Wi-Fi non fiables (cafés, aéroports, etc.) Consultez régulièrement le journal pour repérer une activité anormale
Une règle inutilisée est un risque : supprimez celles qui ne servent plus
Quelques précisions
Suite aux questions et retours reçus en commentaires, quelques points méritaient d’être précisés :
Sur le Wi-Fi public : le pare-feu réduit les risques mais ne suffit pas à lui seul. Le plus sûr reste de n’ouvrir aucun service.
Sur le trafic sortant : le pare-feu filtre par port et IP, pas par contenu. Pour un contrôle plus fin, un proxy est nécessaire.
Sur les ressources : le pare-feu (le moteur, pas GUFW) tourne en continu et consomme un minimum de CPU/RAM une charge légère pour la protection apportée.