Firewall : utiliser UFW sur Scaleway

Rédigé par citizenz - - 2 commentaires
Scaleway  vous connaissez ? C'est le service de "Cloud Computing" lancé par Online en 2015 à base d'instances reposant sur des serveurs dédiés, et non des machines virtualisées.
Quand on arrive la première fois sur Scaleway, c'est la surprise et l'étonnement : il faut un peu de temps pour s'habituer aux volumes, snapshots, images, etc.
Vous avez aussi un onglet sécurité qui vous permet de définir des règles pour le firewall (Default security group).
A savoir également que par défaut les ports SMTP sont fermés pour éviter tout soucis de spam. Il faut expressément demander au support de les ouvrir.

Concernant le firewall, vous pouvez évidemment choisir de ne pas utiliser le service offert par Scaleway et utiliser par exemple UFW.
PROBLÈME : si vous activez UFW sur votre serveur Scaleway : ça freeze illico-presto !
Mais il y a une astuce simple pour y remédier (exemple pour Debian / Ubuntu ...), en 5 étapes :

1 - On change la politique INPUT par défaut à ACCEPT et non plus DROP
$ sudo vim /etc/default/ufw
DEFAULT_INPUT_POLICY="ACCEPT"

2 - On ajoute une règle DROP-ALL à la fin du fichier suivant, juste avant la ligne finale COMMIT :
$ sudo vim /etc/ufw/after.rules
-A ufw-reject-input -j DROP

3 - On désactive le logging d'UFW. Scaleway n'aime pas trop :
$ sudo ufw logging off

4 - On n'oublie surtout pas d'activer SSH pour pouvoir accéder au serveur :
$ sudo ufw allow ssh

5 - enfin on active UFW :
$ sudo ufw enable

Vous pouvez activer d'autres règles évidemment... je vous laisse sur mon autre post pour tout cela.
Et hop !

serveur ftp : pure-ftpd et ports passifs

Rédigé par citizenz - - Aucun commentaire

Pour les utilisateurs qui sont derrière un pare-feu il pourrait être nécessaire que vous activiez FTP passif dans votre serveur FTP et le client.
Si permettre le mode FTP passif dans votre client FTP est simple, le faire dans votre FTP des fichiers de configuration du serveur peut être un peu délicat si vous ne savez pas comment procéder.

Petit exemple simple sous Debian ...

Créez un fichier /etc/pure-ftpd/conf/PassivePortRange, et dedans, inscrivez la plage de ports destinés à la connexion de pure-ftpd, séparés par un espace :

echo "29799 29899" > /etc/pure-ftpd/conf/PassivePortRange

(Exemple pour maximum 50 clients connectés ce qui est déjà énorme !)

pure-ftpd utilise des fichiers dans le répertoire de configuration (/conf) comme paramètres.
Attention aux ports que vous allez attribuer à pure-ftpd : ports "hauts" et non déjà pris par votre système :D

Le cas échéant, profitez-en dès maintenant pour ouvrir ces ports dans votre firewall. Exemple pour UFW :

ufw allow 29799:29899/tcp

Vous devez avoir 2 ports pour chaque client (max 100 clients, vous devez avoir 200 ports).

Vous pouvez également jouer sur le paramètre d'autorisation des clients. Pour 50 clients :

echo "50" > /etc/pure-ftpd/conf/MaxClientsNumber

Remplacez 50 par le nombre de clients que vous voulez autoriser...

Redémarrez pure-ftpd.

UFW : un par feu facile à utiliser pour son serveur

Rédigé par citizenz - - Aucun commentaire

UFW ou Uncomplicated Firewall est un "front-end" à iptables. Son principal objectif est de rendre la gestion de votre pare-feu plus facile et de fournir une interface simple à utiliser. UFW est installé par défaut sur un grand nombre de distributions Gnu/Linux. En tant que tel, il est une excellente solution pour commencer à "sécuriser" votre serveur...

Lire la suite de UFW : un par feu facile à utiliser pour son serveur

Bannir une ip facilement de son serveur

Rédigé par citizenz - - Aucun commentaire

Pourquoi bannir une IP ? Il y a plusieurs raisons valables comme par exemple, cette adresse qui revient 50 fois dans vos logs fail2ban.
Cette adresse chinoise ou brésilienne qui vous taquine avec ces dizaines de tentatives de bruteforce sur votre ssh et qui teste tous les noms : root, admin, kevin, etc.
Pour dire "Au revoir" à ces hackers du dimanche, rien de tel qu'un petit script bien placé qui va nous permettre, grâce à Iptable, d'avoir enfin la paix...

Lire la suite de Bannir une ip facilement de son serveur

Fil RSS des articles de ce mot clé