Configurer UFW sous Ubuntu 24.04 sans perdre l’accès SSH

Sur un serveur distant, activez UFW uniquement après avoir identifié et autorisé le port SSH réel. Gardez la session actuelle ouverte, prévoyez une console du fournisseur ou locale et testez une nouvelle connexion depuis un second terminal. Les exemples supposent SSH sur 22/tcp et ne remplacent pas les règles réseau du fournisseur.

Vérifier SSH et son port

Examinez les ports TCP en écoute et la configuration effective de sshd. Avec l’activation par socket, ss peut montrer systemd et non sshd comme processus ; ne filtrez pas seulement par nom. Examinez le profil UFW OpenSSH avant de l’utiliser. Si SSH écoute sur 2222, adaptez toutes les règles.

sudo ss -lntp
sudo sshd -T | grep '^port '

Installer et examiner l’état

Installez UFW au besoin. Status: inactive est normal après installation. Contrôlez les règles existantes, les ports des applications, IPv6 et les pare-feu externes avant activation. Conservez la connexion administrative.

sudo apt update
sudo apt install ufw
sudo ufw status verbose
sudo ufw app info OpenSSH

Définir les politiques et autoriser SSH

Refusez les nouvelles connexions entrantes, autorisez les sorties et ajoutez la règle SSH avant ufw enable. Utilisez 22/tcp uniquement si c’est le bon port. Vous pouvez également employer sudo ufw allow OpenSSH si ce profil inclut le port. Vérifiez les règles préparées avec ufw show added.

sudo ufw default deny incoming
sudo ufw default allow outgoing
sudo ufw allow 22/tcp
sudo ufw show added

Activer puis tester une autre session

Activez UFW et consultez l’état détaillé et les règles numérotées. Sans fermer la première session, ouvrez une nouvelle connexion SSH et exécutez une commande anodine. Une session déjà établie ne prouve pas qu’une nouvelle fonctionne. Si le test échoue, corrigez la règle par la session existante ou la console de secours.

sudo ufw enable
sudo ufw status verbose
sudo ufw status numbered

Limiter la source après le test

L’exemple autorise l’adresse de documentation 203.0.113.10 ; remplacez-la par la vraie IP publique statique vue par le serveur. Testez une nouvelle connexion depuis cette source avant de retirer la règle générale. Avec adresse dynamique, IPv6 ou plusieurs réseaux d’accès, prévoyez les règles nécessaires et une solution de secours.

sudo ufw allow proto tcp from 203.0.113.10 to any port 22
sudo ufw status numbered

N’ouvrir que les services nécessaires

Un site public peut nécessiter 80/tcp et 443/tcp. Une règle de pare-feu ne démarre pas de service ; un service en écoute n’est pas forcément accessible depuis l’extérieur. Limitez bases de données et interfaces d’administration aux sources et interfaces utiles.

sudo ufw allow 80/tcp
sudo ufw allow 443/tcp
sudo ufw status numbered

Limitation, ordre et IPv6

UFW limit atténue les tentatives SSH répétées sans remplacer l’authentification par clé. L’exemple supprime d’abord une règle générale 22/tcp : ne le lancez que si votre règle correspond exactement ; sinon consultez les règles numérotées et retirez la bonne entrée. La première règle correspondante peut primer. Vérifiez IPV6=yes avec une connectivité IPv6 publique et contrôlez les deux familles d’adresses.

sudo ufw delete allow 22/tcp
sudo ufw limit 22/tcp
grep '^IPV6=' /etc/default/ufw

Journaux et diagnostic

Activez un niveau de journalisation modéré et consultez les événements récents. Comparez ports en écoute, règles UFW et pare-feu du fournisseur. Une panne peut aussi venir de SSH, du réseau intermédiaire ou d’une autre adresse source.

sudo ufw logging low
sudo journalctl -k --grep=UFW --since '30 minutes ago'
sudo ss -lntup

Récupération et source

Si une nouvelle session échoue, ne fermez pas l’ancienne. Vérifiez service et règles, puis corrigez-les depuis la session existante ou la console du fournisseur. Désactiver temporairement UFW depuis une console fiable peut dépanner, avant de réparer les règles. Guide officiel : https://documentation.ubuntu.com/server/how-to/security/firewalls/index.html .

sudo systemctl status ssh --no-pager
sudo ufw status numbered