Différences

Ci-dessous, les différences entre deux révisions de la page.

--- pare-feu [Le 13/04/2019, 11:27] – [Ai-je besoin d'un pare-feu logiciel ?] 37.171.20.250
+++ pare-feu [Le 18/08/2026, 14:29] (Version actuelle) – [Autres Pare-feux] +firewalld krodelabestiole
@@ Ligne 1: / Ligne 1: @@
-{{tag>réseau sécurité }}
+{{tag>réseau sécurité}}
-----
 ====== Pare-feu informatique ======
- Un [[wpfr>Pare-feu_%28informatique%29|pare-feu]] (ou coupe-feu, barrière de sécurité ou firewall), dans le contexte d'un réseau informatique, est un composant essentiel de la sécurité des réseaux informatiques. Son but est de protéger un réseau informatique des intrusions indésirables en filtrant les communications autorisées ou non entre deux réseaux informatiques (généralement dans un contexte domestique : votre réseau privé domestique et le réseau Internet).
+Un [[wpfr>Pare-feu_(informatique)|pare-feu]] (//firewall// en anglais) est un composant souvent essentiel de la [[:sécurité]] des [[:réseau|réseaux]] informatiques. Son but est de protéger les machines des intrusions indésirables en filtrant les communications autorisées ou non.
-{{ http://us.cdn1.123rf.com/168nwm/rbhavana/rbhavana1010/rbhavana101000408/8067551-r-seau-informatique-avec-protection-pare-feu.jpg}}
-Le pare-feu pourrait être comparé à un agent de sécurité à l'aéroport. Pour entrer dans votre pays, un visiteur étranger doit passer par un poste-frontière et être contrôlé par un douanier qui, selon des instructions qu'il doit suivre, le laissera passer ou lui fera rebrousser chemin. Pareillement, un habitant de votre pays doit passer un contrôle avant de monter dans un avion vers une destination extérieure ; suite à son contrôle, le voyageur pourra continuer ou non sa route. Le pare-feu joue ce rôle, au niveau informatique : il filtre les connexions qui arrivent dans votre ordinateur et celles qui sortent de votre ordinateur, et bloque celles qui sont indésirables selon ce que vous lui avez paramétré comme politique de sécurité.
-Un pare-feu se présente essentiellement sous deux formes :
+Le pare-feu filtre les connexions qui entrent et qui sortent de l'ordinateur, et bloque celles qui sont indésirables selon la politique de sécurité paramétrée.
-  * //Logicielle :// un programme qui fonctionne dans votre ordinateur personnel ou de bureau et assure le rôle de filtrage des connexions. Un pare-feu logiciel doit être installé dans chaque ordinateur ;
-  * //Matérielle :// un composant physique de votre réseau domestique qui inclut un logiciel de pare-feu. Un pare-feu matériel doit être présent une seule fois dans un réseau informatique -- au passage entre un réseau privé et un réseau public.
+Un pare-feu peut essentiellement se présenter sous deux formes\_:
+  * //Logicielle// : une application qui fonctionne sur l'ordinateur personnel et assure le rôle de filtrage des connexions. Un pare-feu logiciel est installé sur un ordinateur.
+  * //Matérielle// : un composant physique d'un réseau domestique ou d'entreprise qui inclut une application de pare-feu. Un pare-feu matériel est généralement présent au passage entre le réseau privé et le réseau public ([[:Internet]]) -- intégré au [[wpfr>Network_address_translation|NAT]] --, et protège alors l'ensemble du réseau local.
 ===== Ai-je besoin d'un pare-feu logiciel ? =====
-Le pare-feu est un composant essentiel de la sécurité de votre réseau domestique ou d'entreprise. Sans celui-ci, vous exposez votre ou vos ordinateurs à des risques de sécurité importants. Cependant, avez-vous réellement besoin d'un pare-feu //logiciel// dans votre système d'exploitation Ubuntu ?
-=== À la maison ===
+Le pare-feu est un composant essentiel de la sécurité de votre réseau domestique ou d'entreprise. Sans celui-ci, vous exposez votre ou vos ordinateurs à des risques de sécurité importants. Cependant, avez-vous réellement besoin d'un pare-feu //logiciel// sur votre système d'exploitation Ubuntu\_?
-Les deux cas dépeignent les configurations des utilisateurs. Dans ces deux cas, avoir un pare-feu reste conseillé.
-== Derrière un routeur domestique ou une *box ==
-La majorité des réseaux domestiques sont aujourd'hui reliés à travers un routeur ou une *box. Or, la plupart des routeurs et *box incluent de base un module de pare-feu. Il est parfois activé d'office ; pour d'autres, vous devez le mettre en route. Dans le cas où votre routeur inclut un module de pare-feu et que celui-ci est activé, vous n'avez pas réellement besoin d'activer un pare-feu logiciel dans votre système Ubuntu.
-De plus, même si votre *box ou votre routeur ne dispose pas d'un module de pare-feu, la manière selon laquelle fonctionne un routeur ou une *box rend techniquement vos ordinateurs inaccessibles directement depuis Internet.((Cette technique, nécessaire pour créer des réseaux privés, s'appelle la //transposition d'adresses réseau et de port//, ou //network address port translation// (NAPT), par abus de langage on parle de NAT. Les réseaux privés situés derrière un mécanisme de transposition d'adresses ne peuvent être contactés directement par d'autres serveurs dans Internet, à moins que votre propre ordinateur ait initié la communication. Donc, un ordinateur situé derrière un routeur ou une *box est techniquement protégé grâce à un mécanisme NAT.)) Une intrusion devient difficile, mais pas totalement impossible. Ce niveau de sécurité suffit généralement à empêcher les intrusions, mais elle ne dispense pas d'avoir un pare-feu activé localement sur l'ordinateur de l'utilisateur.
+==== À la maison ====
-== Sans routeur domestique ou sans *box ==
+Les réseaux domestiques sont aujourd'hui reliés à [[:Internet]] à travers la //box// d'un [[wpfr>Fournisseur d'accès à Internet|FAI]]. Cette //box// sert de routeur et inclut de base un module de pare-feu. Il est généralement activé d'office.\\
-Vous êtes dans cette situation lorsque votre ordinateur est relié directement au modem -- connexion par modem téléphonique bas débit, par modem ADSL ou câble branché directement à l'ordinateur (par fil USB ou Ethernet), par une clé d'Internet mobile, par votre téléphone cellulaire (//tethering//)... Dans ce cas, votre ordinateur est directement visible depuis Internet et tout ordinateur distant aura accès à tous vos services réseau s'ils ne sont pas protégés. Par exemple, si vous activez le partage de bureau à distance sans le protéger, quiconque dans Internet peut charger une session de bureau à distance et voir votre bureau ! Ne pas protéger un ordinateur relié directement à Internet est un risque non négligeable.
+Il est alors rarement nécessaire d'activer un pare-feu logiciel sur le système Ubuntu, même pour de l'[[:hebergement#auto-hebergement]] (dans ce dernier cas il faudra par contre reconfigurer le pare-feu de la //box//, pour rendre certains [[:serveur|services]] accessibles de l'extérieur).
-Dans cette situation, il est **indispensable** que vous activiez un pare-feu logiciel dans chacun de vos ordinateurs à la maison.
+L'essentiel est de connaître les applications et les services qu'on active et utilise. On peut facilement à tout moment lister les services en écoute, et les désactiver dans le cas où on ne serait pas certain de leur sécurité\_: voir la page //[[:trafic|Analyse du trafic réseaux]]// et la commande ''[[:trafic|ss]]''.
-=== Au bureau ===
+<note important>
-Dans le cas de réseau d'entreprise, même si le réseau privé est protégé par un pare-feu matériel ou un mécanisme NAT, on souhaitera protéger chacun des postes de travail des possibles bévues des autres postes de l'entreprise. On souhaitera sécuriser les postes contre les possibles intrusions indésirables provenant de l'intérieur-même de l'entreprise, des autres ordinateurs connectés au même réseau privé -- ceci est encore plus vrai dans le cas de sous-réseaux sans fil.((Dans un environnement public ou semi-privé tel une entreprise, il est plus ou moins facile de contrôler qui accède au réseau et comment il accède aux ressources du réseau (locales et distantes). En plus de protéger l'accès au réseau privé depuis un réseau public extérieur, il vaut mieux protéger aussi chacun des postes d'utilisateur finaux offrant un accès à des ressources et services -- ce pour quoi est réellement conçu un pare-feu logiciel.))
+Il est ausssi important de noter qu'un routeur/[[wpfr>Network address translation|NAT]] ne protège pas des connexions entrantes en [[wpfr>IPv6]]. Attention donc à ne pas activer n'importe quel [[:serveur|service]] sur une machine, en particulier en écoute en IPv6 (ou au matériel bon marché ou mal sécurisé, tel que de trop nombreuses caméras de surveillance)\_!
+</note>
-=== Sur un réseau public ===
+==== En entreprise ====
-Dans un poste de travail mobile (netbook, ordinateur portable, périphérique mobile...) qui se connecte à des réseaux publics, comme celui d'une bibliothèque ou d'une université, même si le réseau privé est protégé par un pare-feu, on souhaitera se prémunir contre les possibles intrusions des autres postes publics.((Tout comme le réseau d'entreprises, il est difficile -- voire impossible -- de contrôler efficacement qui se connecte au même sous-réseau privé (derrière un mécanisme NAT) que vous. Les possibles attaques proviennent donc de la part des possibles pirates qui se connectent dans le même sous-réseau privé que vous.)) Dans ce cas, installer et configurer un pare-feu logiciel dans son système d'exploitation Ubuntu est une bonne idée.
+Dans le cas de [[:réseau]] d'entreprise, même si le réseau privé est protégé par un pare-feu matériel ou un mécanisme [[wpfr>Network address translation|NAT]], on souhaitera protéger chacun des postes de travail des possibles bévues des autres postes de l'entreprise. On souhaitera sécuriser les postes contre les possibles intrusions provenant de l'intérieur même de l'entreprise, des autres ordinateurs connectés au même réseau privé -- ceci est encore plus vrai dans le cas de sous-réseaux sans fil.((Dans un environnement public ou semi-privé tel une entreprise, il est plus ou moins facile de contrôler qui accède au réseau et comment il accède aux ressources du réseau (locales et distantes). En plus de protéger l'accès au réseau privé depuis un réseau public extérieur, il vaut mieux protéger aussi chacun des postes d'utilisateur finaux offrant un accès à des ressources et services -- ce pour quoi est réellement conçu un pare-feu logiciel.))
+Un pare-feu logiciel (géré par l'[[:administration|adminitrateur]]) est particulièrement utile sur des postes multi-utilisateurs, ou lorsqu'on suspecte qu'un utilisateur puisse activer un service imprévu sur une machine, ou que des logiciels malveillants puissent trouver leur route sur un système ou une infrastructure.
+==== Sur un réseau public ====
+Sur un poste de travail mobile (ordinateur portable, téléphone mobile...) qui se connecte à des réseaux publics, comme celui d'un café, d'une bibliothèque, d'un aéroport ou d'une université, même si le réseau privé est protégé par un pare-feu, on souhaitera se prémunir contre les possibles intrusions des autres postes publics.((Tout comme le réseau d'entreprises, il est difficile -- voire impossible -- de contrôler efficacement qui se connecte au même sous-réseau privé (derrière un mécanisme NAT) que vous. Les possibles attaques proviennent donc de la part des possibles pirates qui se connectent au même sous-réseau privé que vous.)) Dans ce cas, installer et configurer un pare-feu logiciel sur son système d'exploitation Ubuntu est une bonne idée, même si par défaut Ubuntu ne permet aucune intrusion -- tant qu'on n'a pas activé une fonctionnalité de [[:partage]] ou autre [[:serveur|service]].
+===== Pare-feu par défaut sur Ubuntu =====
-===== Pare-feu par défaut dans Ubuntu =====
 Ubuntu, comme tous les systèmes GNU/Linux, dispose de base d'un pare-feu logiciel. Celui-ci n'est toutefois pas activé par défaut après l'installation du système. Ubuntu inclut aussi de nombreuses interfaces pour gérer ce pare-feu logiciel. Il s'agit d'un empilement plus ou moins complexe pour lequel l'utilisateur final n'interagit réellement qu'avec les dernières couches:
-  * Le [[wpfr>Pare-feu_(informatique)|pare-feu logiciel]] sous Ubuntu se nomme [[wpfr>Netfilter]]. À la différence de certains pare-feu logiciels que l'on peut rencontrer sous d'autres [[wpfr>Système_d'exploitation|système d'exploitation]], Netfilter agit directement au niveau du noyau Linux, ce qui permet une [[http://www.ssi.gouv.fr/fr/menu/actualites/certification-au-titre-de-la-cspn-du-logiciel-netfilter.html|bonne sécurité]]. Netfilter prend en charge l'IPV6 ainsi que le [[wpfr>Netfilter#Connection_Tracking|suivi de connexions]].
+  * Le [[wpfr>Pare-feu_(informatique)|pare-feu logiciel]] sous Ubuntu se nomme **[[wpfr>Netfilter]]**. À la différence de certains pare-feu logiciels que l'on peut rencontrer sous d'autres [[wpfr>Système_d'exploitation|système d'exploitation]], **Netfilter** agit directement au niveau du noyau Linux, ce qui permet une [[http://www.ssi.gouv.fr/fr/menu/actualites/certification-au-titre-de-la-cspn-du-logiciel-netfilter.html|bonne sécurité]]. Netfilter prend en charge l'IPv6 ainsi que le [[wpfr>Netfilter#Connection_Tracking|suivi de connexions]].
-  * [[:Iptables]] est l'interface de configuration par défaut de Netfilter depuis le noyau Linux 2.6. Son utilisation est néanmoins complexe, fonctionnant uniquement en ligne de commande et requérant des commandes aux structures bien précises.
+  * **[[:iptables]]** était l'interface de configuration par défaut de **Netfilter** depuis le noyau Linux 2.6.
-  * Ubuntu introduit donc une interface de configuration plus simple, [[:ufw|Uncomplicated FireWall (UFW)]]. Ce logiciel en ligne de commande propose des options moins avancées que Iptables, mais convient aux configurations simples et générales d'un pare-feu logiciel.
+  * **[[wpfr>nftables]]** est le successeur de [[:iptables]], le remplaçant par défaut sur Ubuntu depuis [[:vivid|Vivid 15.04]].  Son utilisation reste néanmoins complexe, fonctionnant uniquement en ligne de commande et requérant des commandes aux structures bien précises.((voir par exemple [[https://www.it-connect.fr/chapitres/presentation-de-nftables/|cette présentation]] sur IT-Connect))
-  * UFW peut aussi être contrôlé par une interface graphique, [[:gufw|Graphical UFW (GUFW)]] (ou **[[apt>ufw-kde]]** pour kubuntu). Celle-ci doit être installée séparément.
+  * Ubuntu introduit donc une interface de configuration plus simple, **[[:UFW]]** (//Uncomplicated FireWall//). Cette application en ligne de commande propose des options moins avancées que **iptables**, mais convient aux configurations simples et générales d'un pare-feu logiciel.
-=====Voir aussi =====
+  * **UFW** peut aussi être contrôlé par une interface graphique, **[[:Gufw]]**.
-  * **(fr)** [[http://forum.ubuntu-fr.org/viewtopic.php?id=399418|Une discussion sur l'intérêt d'un pare-feu dans Ubuntu]] dans le forum d'Ubuntu-FR.
-  * **(fr)** [[http://www.zebulon.fr/outils/scanports/test-securite.php|Tester la sécurité de votre pare-feu]] (Site très efficace).
-----------
+===== Autres Pare-feux =====
-=== Notes ===
+  * **[[https://firewalld.org/|firewalld]]**(([[https://github.com/firewalld/firewalld|GitHub]])) -- pare-feu dynamique. Sa configuration ne requiert pas de redémarrer le [[:services|service]]. C'est le pare-feu par défaut des distributions [[:distributions#famille_red_hat|Red Hat]] et [[:distributions#Fedora]].
+  * **[[https://safing.io/download/|Portmaster]]**(([[https://github.com/safing/portmaster|GitHub]])) : ce pare-feu applicatif open source intercepte l'intégralité du trafic réseau de la machine, associe chaque connexion au processus qui en est à l'origine, et applique des règles définies globalement ou par application. Les fonctions de pare-feu, de supervision et de DNS sont entièrement gratuites. Seuls l'historique réseau, les statistiques de bande passante et le réseau d'anonymisation SPN relèvent des offres payantes proposées par l'éditeur Safing.io.
+===== Voir aussi =====
+  * Discussions sur l'intérêt d'un pare-feu avec Ubuntu, sur le forum Ubuntu-fr :
+    * //[[https://forum.ubuntu-fr.org/viewtopic.php?pid=21916736#p21916736|Sécuriser sa distribution Linux]]//
+    * //[[https://forum.ubuntu-fr.org/viewtopic.php?pid=22043327#p22043327|Problème de configuration pare-feu]]//
+    * //[[https://forum.ubuntu-fr.org/viewtopic.php?pid=22284862#p22284862|Connaitre la gestion du firewall (iptables, ufw, etc.)]]//
+----
+//[[:Contributeurs]] : [[:utilisateurs:krodelabestiole]], ...//

Différences

Outils de la page

Outils du site

Divers