FIREWALL : ufw règles

Support Debian
#1

Salut à tous.

J’ai ufw installé et configurer sur activé.

J’ai interdit:

  • entrée
  • sortie

J’ajoute une exception:
autorisé: entrée et sortie, tcp et udp sur le port 80

Mais j’ai pas de connexion sur les sites web.

[mono]# ufw status verbose
Status: active
Logging: on (low)
Default: deny (incoming), deny (outgoing)
New profiles: skip

To Action From

80 ALLOW IN Anywhere
80 ALLOW IN Anywhere (v6)

80 ALLOW OUT Anywhere
80 ALLOW OUT Anywhere (v6)[/mono]

Dois-je obligé autoriser la sortie ?

#2

Humpf, encore un type qui fait des trucs sans en comprendre les conséquences.

Ce genre d’outil ne t’est pas utile.
Si tu cherches à acquérir des connaissances, renseigne toi en profondeur sur ce que tu essayes de faire.

#3

[quote=“haleth”]Humpf, encore un type qui fait des trucs sans en comprendre les conséquences.

Ce genre d’outil ne t’est pas utile.
Si tu cherches à acquérir des connaissances, renseigne toi en profondeur sur ce que tu essayes de faire.[/quote]
J’aurais pas voulu te répondre et pire te dire autre chose mais je vais m’abstenir.

Mon but étant d’interdire l’entrée sortie des ports, cela concerne le firewall donc un outil comme ufw devrait m’être utile ?
C’est ce que j’ai cru comprendre.
Si je me trompes d’outil, lequel est celui qui me faut ?

J’essaye juste d’interdire tous les port, sauf le port 80 en exception, qui je crois le port 80 est bien celui nécessaire pour surfer ?
Si j’ai faux, c’est que j’ai faux j’ai pas honte et alors j’aimerais apprendre la vrai méthode et atteindre mon objectif.
S’il y a des conséquences merci de me les faire connaître.

En googlant j’ai pu augmenté ma connaissance, merci, j’ai trouvé le port 443 qui est donc utilisé pour le https, cela me sera utile.

Merci.

#4

Compte aussi le 53 UDP
Et différencie le port source du port destination
Le port source est aléatoire, tu ne peux y mettre ce genre de règle

Mais bon:

Mon but étant d'interdire l'entrée sortie des ports
En entrée, c’est le comportement de Linux.
Et comme la sortie est aléatoire et est donc incontrôlable, Linux seul suffit à atteindre ton objectif, sans configuration aucune.

#5

La première réponse d’haleth est un peu lapidaire, mais parfaitement justifiée.
Visiblement, la configuration d’ufw et d’assez bas niveau et requiert de connaître les caractéristiques techniques des communications qu’on souhaite filtrer. Ce n’est visiblement pas ton cas. Il te faudrait un outil travaillant à encore plus haut niveau, qui te permette de sélectionner les types de communications sans devoir connaître leurs caractéristiques, par exemple “accès web” au lieu de “port 80”. Désolé mais je ne connais de tel outil, travaillant directement avec iptables.

Oui, si on ne fait que du HTTP et pas du HTTPS, et si on surfe uniquement par adresse IP ou bien si on a renseigné les adresses IP de tous les sites dans son fichier hosts (ou autre mécanisme de résolution de noms local ne nécessitant pas le réseau). Autrement, il faut aussi autoriser les communications mises en oeuvre par la résolution DNS.

Accessoirement HTTP et HTTPS n’utilisent que le transport TCP, inutile d’autoriser les ports 80 et 443 en UDP.

Tu as déjà vu une conséquence d’une mauvaise configuration du pare-feu : ça bloque ce que tu voudrais autoriser. L’autre conséquence, moins visible, et que ça laisse passer ce que tu voudrais bloquer. Ici, les connexions entrantes sur le port 80 de ta machine.

En l’occurence, je pense qu’il s’agit plutôt de différencier un port destination en sortie d’un port destination en entrée.