Les prochaines étapes vont rendre actif le pare-feu. Si vous êtes en SSH et que une règle n'autorise pas le SSH vous risquer de vous auto bloqué a la prochaine connexion. Assurez-vous d'avoir un accès directe à la machine pour gérer le cas ou vous seriez dans l'incapacité de vous reconnecter.
### Premier démarrage du pare-feu ```shell /etc/init.d/firewall start ``` ### Gestion par systemctl ```shell update-rc.d firewall defaults systemctl enable firewall systemctl start firewall systemctl status firewall ``` Cela devrais vous indiquer quelque chose du genre: ```shell ● firewall.service - LSB: Firewall Loaded: loaded (/etc/init.d/firewall; generated) Active: active (exited) since *** ****-**-** **:**:** ****; * ago Docs: man:systemd-sysv-generator(8) Process: ***** ExecStart=/etc/init.d/firewall start (code=exited, status=0/SUCCESS) ***. ** **:**:** monitor systemd[1]: Starting LSB: Firewall... ***. ** **:**:** monitor firewall[30462]: firewall started [OK] ***. ** **:**:** monitor systemd[1]: Started LSB: Firewall. ``` # Firewalld : un firewall simple à utiliser Firewalld est un pare-feu que je trouve très agréable à utiliser, où on peut « cacher » la complexité de certains éléments de configuration derrière des noms simples à utiliser. Par exemple, je peux avoir un service qui n’a pas spécialement de port dédié, donc qui n’est pas proposé par firewall. Mettons un [wireguard](https://fr.wikipedia.org/wiki/WireGuard) qui écoute sur le port 9879. Plutôt que d’utiliser `9879/udp` dans ma configuration, je vais créer un service `wireguard`, et c’est ce service que j’autoriserai. Ce sera bien plus parlant quand je relirai la configuration. Liens : - Documentation officielle : [https://firewalld.org/documentation/](https://firewalld.org/documentation/) - [https://www.linuxtricks.fr/wiki/firewalld-le-pare-feu-facile-sous-linux](https://www.linuxtricks.fr/wiki/firewalld-le-pare-feu-facile-sous-linux) - [https://www.rootusers.com/how-to-use-firewalld-rich-rules-and-zones-for-filtering-and-nat/](https://www.rootusers.com/how-to-use-firewalld-rich-rules-and-zones-for-filtering-and-nat/) - [https://kb.vander.host/security/firewalld-cheat-sheet/](https://kb.vander.host/security/firewalld-cheat-sheet/) ## Principes En très gros et en très résumé, on va avoir des zones, qui sont des ensembles d'adresses IP et la zone `public` qui concerne toutes les IPs, sauf celles qui sont dans d’autres zones. On va aussi avoir des services, qui décrivent... des services : port et protocole (ex: `5666` et `tcp` pour nrpe). On va aussi avoir des « rich rules » dans les zones, des exceptions aux règles appliquées dans la zone. Toute la configuration est dans des fichiers XML très simples à lire, c'est très agréable. Tant qu'on ne surcharge pas la configuration par défaut, les fichiers sont dans `/usr/lib/firewalld/` mais dès qu'on modifie un élément de configuration, celui-ci se retrouvera copié dans `/etc/firewalld/` et modifié. ## Test de configuration Si on modifie de la configuration à la main (en écrivant dans `/etc/firewalld`, on prendra soin de tester la configuration avec les commandes suivantes : Si `firewalld` est coupé : ```bash firewall-offline-cmd --check-config ``` Si `firewalld` est lancé : ```bash firewall-cmd --check-config ``` ## Attention Quand on installe firewalld, le firewall démarre de suite en n’autorisant en public que `ssh` (et `dhcpv6-client`). Il est donc préférable de l’installer et de le couper directement après : ```bash apt install firewalld && systemctl stop firewalld ``` On pourra créer la configuration tranquillement avec la commande `firewall-offline-cmd` et lancer le service une fois la configuration terminée. ## Changements permanents Si on veut rendre un changement permanent (c-à-d qu'il soit écrit dans la config au lieu d'être juste appliqué jusqu'au redémarrage), il faut ajouter ça aux commandes : ``` --permanent ``` Par contre, avec `--permanent`, il faut recharger la configuration pour appliquer les modifications (ou alors on applique une fois avec `--permanent` et une fois sans) : ```bash firewall-cmd --reload ``` À l’inverse, on peut créer des règles sans le `--permanent` et ensuite écrire ces règles dans la configuration permanent avec la commande suivante : ```bash firewall-cmd --runtime-to-permanent ``` **NB** : certaines commandes nécessitent forcément le `--permanent`. ## Bloquer une adresse IP On peut soit ajouter les adresses aux zones `drop` ou `block` : ```bash firewall-cmd --zone=drop --add-source 192.0.2.0/24 firewall-cmd --zone=drop --add-source 192.0.2.0/24 --permanent ``` Soit ajouter une `rich-rule` (`man firewalld.richlanguage`) à la zone `public` : ```bash firewall-cmd --zone public --add-rich-rule "rule family=ipv4 source address=192.0.2.0/24 reject" firewall-cmd --zone public --add-rich-rule "rule family=ipv4 source address=192.0.2.0/24 reject" --permanent ``` Pour enlever un blocage : ```bash firewall-cmd --zone drop --remove-source 51.159.0.0/16 firewall-cmd --zone drop --remove-source 51.159.0.0/16 --permanent ``` ```bash firewall-cmd --zone public --remove-rich-rule "rule family=ipv4 source address=51.159.0.0/16 reject" firewall-cmd --zone public --remove-rich-rule "rule family=ipv4 source address=51.159.0.0/16 reject" --permanent ``` Pour voir les blocages par `rich-rule` (la 1ère commande donne les blocages actuellement activés, l’autre ceux qui sont dans les fichiers de configuration. Il peut y avoir une différence… ou pas !) : ```bash firewall-cmd --list-rich-rules firewall-cmd --list-rich-rules --permanent ``` Pour bloquer un ipset (voir plus bas) : ```bash firewall-cmd --zone=drop --add-source ipset:le_nom_de_l_ipset firewall-cmd --zone=drop --add-source ipset:le_nom_de_l_ipset --permanent ``` ## Zones Voir les zones disponibles : ```bash firewall-cmd --get-zones ``` NB : la zone `public`, par défaut, n'autorise que le SSH et dhcpv6-client. L'installation de firewalld sur une machine va donc couper l'accès aux services. Il faut donc stopper firewalld juste après son installation, regarder les ports utilisés sur la machine et modifier la zone `public` soit en copiant `/usr/lib/firewalld/zones/public.xml` dans `/etc/firewalld/zones/`, soit en préparant une ligne de commande à lancer juste après le démarrage de firewalld. NB : les zones peuvent avoir une `target`, l'action à appliquer aux connexions qui correspondent à la zone. Voir [la doc](https://firewalld.org/documentation/zone/options.html). NB : Une adresse IP ne peut se trouver que dans une seule zone mais on peut ajouter dans une zone un réseau qui contient une adresse IP déjà présente dans une autre zone. Cependant, le comportement peut ne pas être celui attendu. Il vaut mieux ajouter une `rich-rule` à la zone pour faire une exception aux règles de la zone. Voir la zone par défaut (celle sur laquelle s'appliqueront les modifications si on ne spécifie pas la zone) : ```bash firewall-cmd --get-default-zone ``` Définir la zone par défaut : ```bash firewall-cmd --set-default-zone work ``` Voir la configuration de la zone : ```bash firewall-cmd --info-zone lazone ``` Voir la configuration de toutes les zones : ```bash firewall-cmd --list-all-zones ``` Créer une zone : ```bash firewall-cmd --permanent --new-zone mazone firewall-cmd --reload ``` Supprimer une zone : ```bash firewall-cmd --permanent --delete-zone mazone firewall-cmd --reload ``` Chaque interface du système peut être attribuée à une zone. Pour ajouter l’interface ens192 à la zone work en l’enlevant de sa précédente zone : ```bash firewall-cmd --change-interface ens192 --zone work [--permanent] ``` Pour retirer l’interface ens192 de la zone work : ```bash firewall-cmd --remove-interface ens192 --zone work [--permanent] ``` Pour ajouter l’interface ens192 à la zone work (interface qui ne soit pas être affectée à une zone) : ```bash firewall-cmd --add-interface ens192 --zone work [--permanent] ``` Ajouter des adresses IP ou un réseau à une zone : ```bash firewall-cmd --zone work --add-source 192.0.2.0/24 [--permanent] firewall-cmd --zone work --add-source 192.0.2.200 [--permanent] ``` Retirer des adresses IP ou un réseau d'une zone : ```bash firewall-cmd --zone work --remove-source 192.0.2.0/24 [--permanent] firewall-cmd --zone work --remove-source 192.0.2.200 [--permanent] ``` Pour basculer une adresse IP ou un réseau d'une zone à une autre : ```bash firewall-cmd --zone l_autre_zone --change-source 192.0.2.0/24 [--permanent] firewall-cmd --zone l_autre_zone --change-source 192.0.2.200 [--permanent] ``` Si l'adresse IP / le réseau était dans une autre zone, ça équivaut à un `--remove-source` suivi d'un `--add-source`, si ce n'était pas le cas, ça fait juste comme un `--add-source`. Voir la `target` d'une zone : ```bash firewall-cmd --permanent --get-target --zone drop ``` Définir la `target` d'une zone : ```bash firewall-cmd --permanent --set-target [default|ACCEPT|DROP|REJECT] --zone drop ``` Pour voir dans quelle zone est une adresse IP : ```bash firewall-cmd --get-zone-of-source=| Service | Port | Protocol |
| SMTP | 25 | tcp/udp |
| SMTPs | 465 | tcp/udp |
| DNS | 53 | tcp/udp |
| HTTP | 80 | tcp (UDP usually not needed) |
| HTTPS | 443 | tcp (UDP usually not needed) |
To enable ICMP, you'll have to edit the IP-Tables yourself, since UFW doesn't offer you this feature. Just add the following lines to `/etc/ufw/before.rules` and `/etc/ufw/before6.rules`
```bash -A ufw-before-output -p icmp -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT -A ufw-before-output -p icmp -m state --state ESTABLISHED,RELATED -j ACCEPT ``` After that, you can enable incoming traffic. On a freshly installed system, that's usually just SSH, but if you are running, e.g. a webserver, you should also enable traffic on Ports 80 and 443. UFW comes with an App-List, which makes adding UFW rules for default ports easier. You can view the list by running ```bash sudo ufw app list ``` Allow incoming traffic like this: ```bash sudo ufw allow in Port/Protocol ``` If you want to allow a range of ports, you can use `PORTX:PORTY`. If you want only a certain host to be able to connect to your client via some Port, you can use the following rule: ```bash sudo ufw allow in from 10.10.10.10 to any port 22 ```You can also use netmasks in CIDR format
You can do much more. I recommend you to read through this [manpage](http://manpages.ubuntu.com/manpages/bionic/man8/ufw.8.html "UFW Manpage"). Lastly, to enable UFW, run ```bash sudo ufw enable ``` ##### 2. Tips and Tricks To quickly delete all rules for a port, you can use the following script: ```bash #!/bin/bash for NUM in $(ufw status numbered | grep "$1" | awk -F"[][]" '{print $2}' | tr --delete "[:blank:]" | sort -rn); do ufw --force delete "$NUM" done ```This will instantly delete all rules for the specified ports, without any prompts.
You can simply delete all rules for e.g. Port 80, by running. ```bash sudo ./your-script-name.sh 80 ```Doing this, is, of course, no guarantee, because it only blocks IPv4 and often enough, attackers mask/spoof their IP anyway. Moreover, this is quite a drastic step to take. You should rather control access on a different level, e.g. using a WAF.
First, you need to download a list of all the IPv4 Subnets, a country has assigned. You can download said list [here](https://www.ip2location.com/free/visitor-blocker "Blocking Lists") and make sure to choose CIDR as output format. After that, simply run the following command (This may take a while) ```bash cat yourList.txt | awk '/^[^#]/ { print $1 }' | sudo xargs -I {} ufw deny from {} to any ``` To remove all the rules, run ```bash cat yourList.txt | awk '/^[^#]/ { print $1 }' | sudo xargs -I {} ufw delete deny from {} ```