Créer un groupe de pare-feu

Un groupe de pare-feu est un ensemble de règles qui décide quel trafic atteint vos serveurs. Vous placez un groupe sur un serveur, et ses règles s’appliquent aussitôt à ce serveur. Une règle ne fait qu’autoriser du trafic : tout ce qu’aucune règle n’autorise est bloqué.

Avant de commencer

• Il vous faut la permission Voir le réseau pour afficher les groupes de pare-feu. Le propriétaire du compte, et les membres qui ont la permission Gérer les règles de pare-feu, peuvent les créer et les modifier.
• Pour placer un groupe sur un serveur ou l’en retirer, utilisez l’onglet Pare-feu du serveur. Consultez Gérer un serveur.

Les groupes de chaque projet

• Par défaut n’a aucune règle pour le trafic entrant et autorise tout le trafic sortant. Chaque nouveau serveur reçoit ce groupe : rien n’entre, tout sort.
• Accès SSH vous permet de joindre les nouveaux serveurs. Chaque déploiement y ajoute SSH (ou RDP sous Windows) depuis l’adresse de la personne qui déploie.

Si vous supprimez l’un d’eux, il est recréé, vide, au prochain déploiement d’un serveur.

Créer un groupe de pare-feu

1. Dans le menu latéral, ouvrez Infrastructure, puis sélectionnez Groupes de pare-feu sous Réseau.
2. Sélectionnez Créer un groupe de pare-feu.
3. Dans Nom, saisissez un nom, par exemple web-servers. Le nom default est réservé.
4. Dans Description (facultative), indiquez à quoi sert le groupe.
5. Sélectionnez Créer un groupe de pare-feu. Vous voyez Groupe de pare-feu créé.

Un nouveau groupe bloque tout le trafic entrant et autorise tout le trafic sortant tant que vous n’ajoutez pas de règles.

Ajouter une règle

1. Dans le menu de la ligne du groupe, ou sur sa page, sélectionnez Ajouter une règle.
2. Choisissez le Sens : Entrant pour le trafic qui arrive au serveur, Sortant pour le trafic que le serveur envoie.
3. Choisissez la Famille : IPv4 ou IPv6.
4. Choisissez le Protocole : TCP, UDP, ICMP, ICMPv6, Tous, ou un protocole moins courant comme GRE, ESP, AH, SCTP ou VRRP.
5. Pour TCP, UDP et SCTP, remplissez Ports : un port, ou une plage de 1 à 65535. Vide signifie tous les ports. Pour ICMP, vous pouvez plutôt régler le Type / code ICMP, ou le laisser vide pour tous les types.
6. Choisissez qui la règle vise, sous Source pour le trafic entrant ou Destination pour le trafic sortant :
   • Partout : toute adresse de la famille de la règle.
   • Plage d’adresses : une plage comme 203.0.113.0/24. Sélectionnez Utiliser mon adresse pour inscrire l’adresse que vous utilisez en ce moment.
   • Groupe de pare-feu : les serveurs d’un autre groupe, ou Ce groupe, quelles que soient leurs adresses.
7. Dans Description (facultative), notez à quoi sert la règle.
8. Sélectionnez Enregistrer la règle. Vous voyez Règle ajoutée. La règle s’applique aussitôt.

Si une règle permettait à n’importe qui sur Internet de tenter une connexion SSH ou RDP, vous voyez Ouvrir à tout Internet ?. Limitez-la à votre propre adresse si vous le pouvez. Pour garder la règle telle quelle, sélectionnez Ajouter quand même. Une telle règle porte alors un badge Ouvert à tous.

Ajouter les règles courantes en une étape

1. Sélectionnez Ajouter un modèle.
2. Dans Modèle, choisissez SSH (TCP 22), RDP (TCP 3389), Web (TCP 80 et 443) ou Ping (écho ICMP).
3. Choisissez la Source : Mon adresse, Plage d’adresses ou Partout. Partout ajoute les règles pour IPv4 et IPv6. Mon adresse et Plage d’adresses les ajoutent seulement pour la famille de cette adresse.
4. Sélectionnez Ajouter un modèle. Vous voyez combien de règles ont été ajoutées. Les règles déjà présentes dans le groupe sont ignorées. Recommencez pour un autre modèle.

Lire la liste

Chaque ligne affiche le Nom du groupe, sa Description, ses Règles (combien), ses Serveurs (combien l’utilisent) et son ID. Sélectionnez la flèche au début d’une ligne pour voir ses règles, chacune avec :

• Sens : Entrant ou Sortant.
• Famille : IPv4 ou IPv6.
• Protocole et ports : par exemple TCP 22, ou Tous les ports.
• Source / destination : Partout, une plage ou un autre groupe.
• Description : la note que vous avez ajoutée.

La ligne dépliée liste aussi les serveurs qui utilisent le groupe, après Sur les serveurs :.

Gérer le groupe

Sélectionnez le nom d’un groupe pour ouvrir sa page. Vous y consultez ses propriétés, ses règles et ses serveurs, vous modifiez ou supprimez des règles, et vous renommez ou supprimez le groupe. Consultez Gérer un groupe de pare-feu.

En cas de problème

• Ce groupe de pare-feu est encore sur un serveur. Retirez-le d’abord de tous les serveurs.
• La nouvelle règle est en place, mais l’ancienne n’a pas pu être retirée : les deux s’appliquent pour l’instant. Réessayez pour retirer l’ancienne. Sélectionnez Retirer l’ancienne règle.
• Quelqu’un d’autre a modifié ce groupe en même temps. Actualisez et réessayez.
• Ce projet a déjà son nombre maximal de groupes de pare-feu. Supprimez-en un d’abord.
• Un groupe qui porte le badge Lecture seule n’a pas été créé dans Lighthouse. Vous ne pouvez pas modifier ses règles ici, mais vous pouvez encore le placer sur un serveur ou l’en retirer dans l’onglet Pare-feu du serveur.