Gérer le réseau et le pare-feu d’un serveur

L’onglet Réseau d’un serveur montre comment il se connecte. Une interface réseau est la connexion du serveur à un réseau. Chaque interface a une ou plusieurs adresses IP. Le DNS inverse est le nom renvoyé quand quelqu’un recherche une adresse, ce que les serveurs de courriel vérifient souvent.

Lire l’onglet

1. Ouvrez la page du serveur, puis l’onglet Réseau.
2. Interfaces réseau liste chaque interface avec Réseau, Adresses, Groupes de pare-feu et Statut. L’interface marquée Principale porte l’adresse principale du serveur.
3. Adresses IP liste chaque adresse avec Adresse, Type, Sous-réseau et DNS inverse.
4. La carte des IP flottantes affiche IPv4 flottante et IPv6 flottante quand le serveur en a une, ou Ce serveur n’a pas d’IP flottante. Consultez Attribuer une adresse IP flottante.

Sécurité de port désactivée sur une interface signifie que son réseau n’applique pas les groupes de pare-feu. Le trafic n’y est pas filtré.

Ajouter une interface

1. Sélectionnez Ajouter une interface.
2. Sous Choisissez un réseau, choisissez un réseau. Le serveur le rejoint avec une nouvelle adresse de son sous-réseau IPv4.
3. Confirmez.

Vous voyez Interface demandée. Le serveur devra peut-être actualiser ses paramètres réseau pour utiliser la nouvelle interface. Si le bouton indique Aucun autre réseau à ajouter, le serveur est déjà sur tous les réseaux. Pour en créer un, consultez Créer un réseau.

Retirer une interface

1. Sélectionnez Retirer l’interface sur sa ligne.
2. Confirmez. Ses adresses sont libérées, et le serveur perd sa connexion à ce réseau.

Un serveur a besoin d’au moins une interface réseau : vous ne pouvez pas retirer la dernière.

Modifier les adresses d’une interface

Ouvrez le menu des adresses sur la ligne d’une interface :

• Ajouter une adresse donne une adresse de plus à l’interface. Configurez-la dans le système du serveur pour l’utiliser. Une adresse IPv4 publique est facturée à l’heure jusqu’à son retrait et compte dans la limite IPv4 de votre compte.
• Retirer une adresse enlève une adresse. Le serveur ne reçoit plus le trafic qui lui est destiné.
• Partager une adresse permet à cette interface d’émettre aussi depuis une adresse détenue par une autre de vos interfaces sur ce réseau. Les outils de bascule comme keepalived en ont besoin.
• Arrêter le partage y met fin.

Régler le DNS inverse d’une adresse

1. Dans Adresses IP, sélectionnez Modifier l’enregistrement PTR à côté de l’adresse.
2. Dans Valeur PTR, saisissez un nom d’hôte complet, par exemple mail.example.com. Utiliser le nom d’hôte du serveur ou Utiliser le nom par défaut le remplit pour vous.
3. Enregistrez. Vous voyez Enregistrement PTR enregistré.

Enregistré, pas encore actif signifie que la modification est enregistrée mais pas encore dans le DNS. DNS inversé non confirmé signifie que le nom ne renvoie pas vers cette adresse. Ajoutez un enregistrement A ou AAAA correspondant chez votre fournisseur DNS.

En cas de problème

• Disponible quand le serveur est en marche ou arrêté signifie que le serveur est occupé. Attendez la fin de l’action en cours.
• Les noms sous un domaine Stack Harbor ne peuvent pas être utilisés. Choisissez un nom sur votre propre domaine.
• Si vous voyez trop de modifications du DNS inverse, attendez les minutes indiquées, puis réessayez.

Gérer les groupes de pare-feu du serveur

Un groupe de pare-feu est un ensemble de règles qui indiquent quel trafic peut atteindre un serveur. L’onglet Pare-feu affiche les groupes d’un serveur et vous permet de les ajouter, de les retirer ou de les modifier. Pour gérer les groupes de tous vos serveurs à la fois, consultez Créer un groupe de pare-feu.

Fonctionnement des groupes de pare-feu

Les groupes de pare-feu ne font qu’autoriser le trafic. Le trafic entrant qu’aucune règle n’autorise est bloqué, les réponses au trafic autorisé passent, et chaque modification s’applique aussitôt. Un nouveau serveur bloque tout le trafic entrant, sauf l’adresse SSH ou RDP choisie au déploiement.

Lire l’onglet

1. Ouvrez la page du serveur, puis l’onglet Pare-feu.
2. Le tableau liste chaque groupe du serveur avec Groupe de pare-feu et Règles. Déroulez un groupe pour voir ses règles.
3. Chaque règle affiche Sens (Entrant ou Sortant), Version IP, Protocole, Ports, Source ou destination et Description.
4. Un badge indique si vous pouvez modifier le groupe. Modifiable signifie qu’il a été créé dans Lighthouse. Lecture seule signifie que ses règles ne peuvent pas être modifiées ici, mais vous pouvez quand même l’ajouter ou le retirer.

Un avertissement qui indique qu’un groupe autorise tout le trafic entrant signifie que chaque paquet entrant atteint le serveur. Remplacez ce groupe par un groupe qui n’autorise que le nécessaire.

Ajouter un groupe au serveur

1. Sous Autres groupes de pare-feu, trouvez le groupe.
2. Sélectionnez Ajouter au serveur et confirmez. Ses règles s’appliquent aussitôt à toutes les interfaces du serveur.

Créer un groupe depuis l’onglet

1. Sélectionnez Créer un groupe de pare-feu.
2. Saisissez un Nom, et une Description (facultative).
3. Confirmez. Le nouveau groupe autorise le trafic sortant et n’a aucune règle entrante. Il apparaît sous Autres groupes de pare-feu.
4. Ajoutez-lui des règles, puis sélectionnez Ajouter au serveur.

Ajouter une règle

1. Sur un groupe modifiable, sélectionnez Ajouter une règle.
2. Choisissez le sens, la version IP et le protocole.
3. Pour TCP ou UDP, remplissez les ports De et À, par exemple 443 et 443. Laissez vide pour tous les ports.
4. Dans Source (ou Destination pour le sortant), saisissez un CIDR comme 192.0.2.0/24. Laissez vide pour partout.
5. Confirmez. Vous voyez Règle ajoutée. La règle s’applique aussitôt.

Pour supprimer une règle, sélectionnez Supprimer la règle et confirmez. Le trafic qu’elle autorisait est bloqué aussitôt.

Rendre modifiable un groupe partagé

Un groupe partagé par le projet et non créé dans Lighthouse est en Lecture seule. Rendre modifiable en fait une copie aux mêmes règles, que vous pouvez modifier, et la place sur ce serveur à la place de l’original. Le trafic reste le même tant que vous ne changez aucune règle. Les autres serveurs gardent l’original.

Retirer ou supprimer un groupe

• Retirer du serveur enlève le groupe de ce serveur. Le trafic que seul ce groupe autorisait n’atteint plus le serveur, aussitôt.
• Supprimer le groupe de pare-feu supprime le groupe et ses règles. Un groupe encore présent sur un serveur ne peut pas être supprimé.

En cas de problème

• C’est le seul groupe de pare-feu d’une des interfaces du serveur : il ne peut donc pas être retiré. Ajoutez d’abord un autre groupe au serveur.
• La sécurité de port est désactivée sur le réseau de ce serveur : ses groupes de pare-feu ne sont donc pas appliqués.
• Ce n’est pas un CIDR de la version IP choisie. Vérifiez que l’adresse correspond à IPv4 ou IPv6.
• Les ports nécessitent TCP ou UDP, de 1 à 65535, le premier ne dépassant pas le second.