# Configurer son parefeu **URL:** \ **Category:** Support Debian\ **Created:** [Juillet 20, 2024, 2:14 UTC](https://www.debian-fr.org/t/configurer-son-parefeu/90196 "2024-07-20T14:14:11Z")\ **Posts on this page:** 8\ **Page:** 1
**Author:** ![josephtux](https://www.debian-fr.org/user_avatar/www.debian-fr.org/josephtux/32/3985_2.png) [@josephtux](https://www.debian-fr.org/u/josephtux)\ **Post date:** [Juillet 20, 2024, 2:14 UTC](https://www.debian-fr.org/t/configurer-son-parefeu/90196/1 "2024-07-20T14:14:11Z")
Bonjours, je ne retrouve plus le gestionnaire de parefeu «pour les nuls» que l’un de vous m’avait indiqué ici, avec les bonnes règles, il y a sans doute environ 1 an (appliqué sur un vieux PC moribond et remplacé depuis). ici [5.14. Ajouter des capacités au pare-feu](https://www.debian.org/doc/manuals/securing-debian-manual/firewall-setup.fr.html) on indique **firestarter** sous gnome, mais il n’apparaît pas dans les (mes?) dépots de bookworm. Mon problème depuis des années est l’échec systématique de connexion par sftp sur un serveur 1&1-Ionos, alors que j’utilise correctement toutes les données et leurs indications et fichier de config pour Filezilla. Il s’agit d’une connexion SFTP sur le port 22. Je voudrais donc vérifier et éventuellement modifier si le port 22 est filtré. ---
**Author:** ![Clochette](https://www.debian-fr.org/user_avatar/www.debian-fr.org/clochette/32/8757_2.png) [@Clochette](https://www.debian-fr.org/u/Clochette)\ **Post date:** [Juillet 20, 2024, 8:28 UTC](https://www.debian-fr.org/t/configurer-son-parefeu/90196/2 "2024-07-20T20:28:17Z")
Poste plutôt le contenu de iptables-save ? ainsi que la configuration du serveur ssh et quels est le user que tu indique (ainsi que les logs de connexion retrouvé dans le système). Le tutoriels présent dans le forum est vieux et pas forcément plus pertinent. En gros soit la& connexion root est refusé depuis la configuration soit le port est fermé, soit autre chose. ---
**Author:** ![josephtux](https://www.debian-fr.org/user_avatar/www.debian-fr.org/josephtux/32/3985_2.png) [@josephtux](https://www.debian-fr.org/u/josephtux)\ **Post date:** [Juillet 21, 2024, 7:06 UTC](https://www.debian-fr.org/t/configurer-son-parefeu/90196/3 "2024-07-21T07:06:53Z")
Merci Clochette, 1 iptables-save ne renvoie rien 2 iptables --list renvoie: ``` #iptables --list Chain INPUT (policy ACCEPT) target prot opt source destination Chain FORWARD (policy ACCEPT) target prot opt source destination Chain OUTPUT (policy ACCEPT) target prot opt source destination ``` > [@Clochette](#): > > quels est le user que tu indique (ainsi que les logs de connexion retrouvé dans le système) Le user est celui que Ionos m’indique (sous la forme u12345678) Le log affiché par filezilla est le suivant (sauf le numéro remplaacé par 12345678) | Statut : | Connexion à home12345678.1and1-data.host… | | --- | --- | | Statut : | Using username u12345678. | | Statut : | Access denied | | Erreur : | Échec de l’authentification. | | Erreur : | Erreur critique : Impossible d’établir une connexion au serveur | > [@Clochette](#): > > la configuration du serveur ssh est-ce le fichier /etc/ssh/sshd\_config ? ``` #grep -Ev '^#|^$' /etc/ssh/sshd_config Include /etc/ssh/sshd_config.d/*.conf KbdInteractiveAuthentication no UsePAM yes X11Forwarding yes PrintMotd no AcceptEnv LANG LC_* Subsystem sftp /usr/lib/openssh/sftp-server ``` Il y a aussi un fichier (vide) `/etc/ssh/ssh_known_hosts -> /var/lib/openssh-known-hosts/ssh_known_hosts` ---
**Author:** ![Zargos](https://www.debian-fr.org/user_avatar/www.debian-fr.org/zargos/32/10889_2.png) [@Zargos](https://www.debian-fr.org/u/Zargos)\ **Post date:** [Juillet 21, 2024, 11:38 UTC](https://www.debian-fr.org/t/configurer-son-parefeu/90196/4 "2024-07-21T11:38:24Z")
> [@josephtux](#): > > `X11Forwarding yes` Cette option n’a pas d’utilité si tu ne fait pas d’affichage distant (tu lance Firefox sur la machine distante mais il s’affiche sur ton PC local). Et ce qu’on utilise pas, il vaut mieux le désactiver. C’est un principe de base en sécurité. > [@josephtux](#): > > /etc/ssh/ssh\_known\_hosts ne pas utiliser, tu dois utiliser ton fichier local dans ton $HOME. Pour ce qui est de ton parefeu local: - Tu refuses tout en entrée - Tu acceptes tout en sortie (sauf utilisation de proxy, mais je ne pense pas que tu en sois là 😉 Sur ton serveur Ionos, il faut que tu autorise l’accès en SSH (tu peux éventuellement le limiter à ton PC local (adresse de sortie publique bien sur); sinon si tu es susceptible d’y aller de n’importe ou tu ne précises pas d’IP particulière. Personnellement pour paramétrer mes pare-feux, j’utilise Webmin (je ne le lance que quand j’en ai besoin sinon il n’est pas actif), que ce soit avec iptables ou shorewall (j’utilise pas mal shorewall) ---
**Author:** ![Clochette](https://www.debian-fr.org/user_avatar/www.debian-fr.org/clochette/32/8757_2.png) [@Clochette](https://www.debian-fr.org/u/Clochette)\ **Post date:** [Juillet 21, 2024, 12:35 UTC](https://www.debian-fr.org/t/configurer-son-parefeu/90196/5 "2024-07-21T12:35:06Z")
> [@josephtux](#): > > | Statut : | Connexion à home12345678.1and1-data.host… | > | --- | --- | > | Statut : | Using username u12345678. | > | Statut : | Access denied | > | Erreur : | Échec de l’authentification. | > | Erreur : | Erreur critique : Impossible d’établir une connexion au serveur | C’est clair le serveur refuse ton accès et fais échoué du coup ton authentification. > [@josephtux](#): > > `Subsystem sftp /usr/lib/openssh/sftp-server` Tu ne cherchera pas à te connecter en dehors du chroot ? > [@josephtux](#): > > Le user est celui que Ionos m’indique (sous la forme u12345678) Ce n’est à mon humble avis pas un serveur auquel tu cherches à accéder mais à un espace web mutualisé 😉 il y a une procédure pour te connecter sur leur bousin, mais je parie pour que tu ne cherches pas à te connecter au bon endroit de ton chroot. > **[Transfert de fichiers via SFTP avec FileZilla - IONOS Assistance](https://www.ionos.fr/assistance/hebergement/configurer-et-gerer-lacces-ftp/transferer-des-fichiers-via-sftp-avec-filezilla/)** > > Transférez des fichiers, par exemple votre page d'accueil, dans l'espace web de votre pack d'Hébergement avec FileZilla. > [@josephtux](#): > > iptables-save ne renvoie rien C’est pas normale il devrait à minima fourni les informations sur les tables filter, mangle et nat 😇 > [@josephtux](#): > > 2 iptables --list renvoie: > > ```auto > #iptables --list > Chain INPUT (policy ACCEPT) > target prot opt source destination > > Chain FORWARD (policy ACCEPT) > target prot opt source destination > > Chain OUTPUT (policy ACCEPT) > target prot opt source destination > > ``` Inutile sur ta machine je parlé de : > [@josephtux](#): > > Mon problème depuis des années est l’échec systématique de connexion par sftp sur un serveur 1&1-Ionos Je pensé à un serveur virtuel ou physique sur lequel il y aurait un pare feux 😃 mais ce n’est pas le cas. De toute façon c’est _openbar_ pour l’instant ton firewall. Pourl a configuration de ce dernier ouvre un autre fil au besoin, j’ai trouvé ça (car de souvenir tu es sur XFCE) : > **[Firewall Builder](https://www.xfce-look.org/p/1127920)** > > Firewall Builder is a multi-platform firewall configuration and management system. It consists of a GUI and set of policy compilers for various firewall... ---
**Author:** ![josephtux](https://www.debian-fr.org/user_avatar/www.debian-fr.org/josephtux/32/3985_2.png) [@josephtux](https://www.debian-fr.org/u/josephtux)\ **Post date:** [Juillet 21, 2024, 5:16 UTC](https://www.debian-fr.org/t/configurer-son-parefeu/90196/6 "2024-07-21T17:16:45Z")
> [@Clochette](#): > > Tu ne chercheras pas à te connecter en dehors du chroot ? Si, bien sur, c’est au contraire ce que je veux: accéder à mon espace web en tant que l’utilisateur non-root ( eric en local, u12345678 sur le serveur mutualisé de Ionos) > [@Zargos](#): > > - Tu refuses tout en entrée > - Tu acceptes tout en sortie (sauf utilisation de proxy, mais je ne pense pas que tu en sois là effectivement, j’en suis si loin que je croyais qu’un pare-feu et un proxy étaient la même chose 😕 > [@Zargos](#): > > j’utilise Webmin je ne le trouve pas dans mes dépots _bookworm_. En cherchant avec le filtre pare-feu, je vois que ufw est installé > [@Clochette](#): > > C’est pas normale il devrait à minima fourni les informations sur les tables filter, mangle et nat Sauf erreur de ma part, c’est la config de l’installeur (_Bookworm, Mate_) Que dois-je faire pour corriger cette anomalie? J’ai suivi scrupuleusement les indications de _Ionos_, y compris sa configuration de _Filezilla_. (Autrefois, dans la précédente décennie j’utilisai _sshfs_, mais les commandes sur les répertoires distants pouvaient être très lentes. En suite j’ai découvert un navigateur graphique analogue à _Filezilla_) Si je résume ce que je crois avoir compris: 1. mon parefeu ne fait rien donc n’est pas en question dans mon échec réitéré à retrouver ma connexion avec mon (vieil) espace web. 2. donc je dois l’activer (tout refuser en entrée, tout accepter en sortie) et je peux utiliser _fwbuilder_ (ou _ufw_ ?) 3. _iptables-save_ indique qu’il y a autre-chose à faire (serait-ce la cause de mon échec?) Merci Clochette et Zargos, pardonnez mon peu de réactivité, vous si généreusement réactifs, mais les 2 jours qui viennent vont beaucoup m’absorber. ---
**Author:** ![Clochette](https://www.debian-fr.org/user_avatar/www.debian-fr.org/clochette/32/8757_2.png) [@Clochette](https://www.debian-fr.org/u/Clochette)\ **Post date:** [Juillet 21, 2024, 7:07 UTC](https://www.debian-fr.org/t/configurer-son-parefeu/90196/7 "2024-07-21T19:07:38Z")
> [@josephtux](#): > > Si, bien sur, c’est au contraire ce que je veux: accéder à mon espace web en tant que l’utilisateur non-root ( eric en local, u12345678 sur le serveur mutualisé de Ionos) Non justement un chroot est justement pour permettre à un utilisateur de se connecter dans son espace personnel ( /home du user) sans qu’il ne soit possible d’en sortir, et c’est exactement comme ça que les hébergeurs gèrent les espaces web fourni à leur client, ils est hors de question que tu puisse accéder à autre chose que ton espace web (ce que je te précise jusrtement). > [@josephtux](#): > > Que dois-je faire pour corriger cette anomalie? Je n’en sais fichtre rien, normalement la commande devrait te retourner justement des informations et non pas rien 😕 Debian 12 doit encore gérer la compatibilité avec iptables mais peut-être voir aussi avec nftable 😕 > [@josephtux](#): > > J’ai suivi scrupuleusement les indications de _Ionos_ , y compris sa configuration de _Filezilla_ . Dans ce cas voir avec eux, l’ouverture d’un ticket sera sans doute plus pratique, vue que ton firewall est _openbar_ le problème est soit que tu cherche à rte connecter en dehors du chroot (ça m’étonnerai), que ton user est bloqué car trop de tentatives … ---
**Author:** ![josephtux](https://www.debian-fr.org/user_avatar/www.debian-fr.org/josephtux/32/3985_2.png) [@josephtux](https://www.debian-fr.org/u/josephtux)\ **Post date:** [Juillet 25, 2024, 3:21 UTC](https://www.debian-fr.org/t/configurer-son-parefeu/90196/8 "2024-07-25T15:21:22Z")
> [@Clochette](#): > > Non justement un chroot est justement pour permettre … désolé, j’avais mal lu: root au lieu de chroot je ne cherche évidemment qu’à me connecter à mon compte user (donc effectivement pas en dehors du chroot que ionos m’attribue… si j’ai bien compris) encore merci Clochette et Zargos pour votre patience.