Pare-feu Linux : Configuration, outils, meilleures pratiques et plus encore

Principaux enseignements

• nftables est la norme moderne en matière de pare-feu sous Linux ; il a remplacé iptables dans la plupart des principales distributions.
• Une politique de refus par défaut, l'ouverture des seuls ports nécessaires et la persistance des règles après les redémarrages constituent les fondements d'une configuration sécurisée du pare-feu Linux.
• La configuration d'un pare-feu n'est pas une tâche ponctuelle : il est essentiel de revoir régulièrement les règles, de surveiller les journaux et de maintenir les logiciels à jour.

Les pare-feu mal configurés constituent une cause majeure de fuites de données – et si vous utilisez Linux, il est essentiel de bien les configurer. Un pare-feu Linux est votre première ligne de défense contre les accès non autorisés, et la bonne nouvelle, c'est que Linux vous offre des outils puissants et flexibles pour sécuriser rapidement vos systèmes. Dans ce guide, vous découvrirez les options de pare-feu Linux les plus efficaces, comment les configurer étape par étape, ainsi que les bonnes pratiques auxquelles les équipes de sécurité ont recours pour assurer la protection des systèmes.

Comprendre les pare-feu Linux

Les pare-feu Linux régulent le trafic réseau en inspectant les paquets à la lumière de règles de sécurité prédéfinies. Ce filtrage est appliqué au niveau du noyau via le framework Netfilter. Pendant des années, iptables a été la norme dans le secteur pour interagir avec Netfilter, mais il a été largement supplanté par nftables, qui offre de meilleures performances et une syntaxe plus épurée.
Aujourd'hui, nftables est le backend par défaut des distributions modernes telles que RHEL 9, Debian 11 et Ubuntu 22.04. Cependant, de nombreux administrateurs préfèrent des outils frontend de haut niveau comme UFW (Uncomplicated Firewall) ou firewalld pour gérer ces règles sans avoir à écrire de syntaxe complexe.

Aperçu de iptables et nftables

Depuis des décennies, iptables est la solution de pare-feu de référence pour les utilisateurs de Linux. Il fonctionne à l'aide d'une série de tables et de chaînes, dans lesquelles les paquets sont évalués par rapport à des règles prédéfinies afin de déterminer leur sort. Ces règles peuvent être configurées pour autoriser, refuser ou modifier le trafic en fonction de divers critères, tels que l'adresse IP source, le port de destination ou le type de protocole.

nftables en est le successeur moderne ; il offre une syntaxe unifiée, une gestion plus efficace des règles (en particulier pour les ensembles de règles volumineux) et une architecture plus facile à maintenir. Sur de nombreuses distributions modernes, les commandes iptables sont implémentées sous la forme d'une couche de compatibilité qui se traduit en réalité par nftables.

Découvrez les différences entre iptables et nftables.

Comment configurer votre pare-feu Linux

Dans cette section, nous verrons comment configurer un pare-feu sur votre système Linux à l'aide de nftables et d'iptables.

⚠️ Avertissement : Si vous configurez votre pare-feu via une connexion SSH à distance, assurez-vous toujours qu'une règle autorise le port 22 (SSH) et les connexions établies avant de définir la politique par défaut sur DROP. Tout manquement à cette règle entraînera un blocage immédiat.

Configurer votre pare-feu Linux avec nftables

Nous allons commencer par un ensemble de règles nftables de base qui autorise les protocoles SSH, HTTP et HTTPS tout en bloquant tout autre trafic entrant.

Étape 1 : Démarrer et activer nftables

Sur la plupart des distributions modernes, nftables est disponible par défaut. Ce service sert à charger les règles enregistrées au démarrage.

Pour l'activer, utilisez :

sudo systemctl start nftables
sudo systemctl enable nftables

Étape 2 : Créer un tableau

nftables utilise des tables pour organiser les règles. Une table sert de conteneur pour les chaînes et les règles.

La commande suivante crée une table nommée my_firewall.

sudo nft add table inet my_firewall

inet: permet d'appliquer un seul ensemble de règles à la fois au trafic IPv4 et au trafic IPv6.

Les autres familles d'adresses comprennent ip, ip6, arp, bridge et netdev.

Étape 3 : Créer une chaîne (politique par défaut sécurisée)

Une chaîne est une séquence de règles qui sont évaluées dans l'ordre.

Nous allons créer la chaîne nommée INPUT et commencez par policy accept pour éviter le verrouillage. Nous passerons au mode « drop » plus tard.

sudo nft add chain inet my_firewall INPUT { type filter hook input priority 0 \; policy accept \; }

type filter hook input: applique des règles au trafic entrant

priority 0: définit la priorité de traitement par défaut

policy accept: valeur par défaut temporaire sûre

Étape 4 : Ajouter les règles de sécurité essentielles

Une règle définit des critères précis pour filtrer le trafic réseau et spécifie l'action à entreprendre (par exemple, accepter, rejeter, ignorer). Les règles sont évaluées de haut en bas ; l'ordre est donc important : placez vos règles les plus spécifiques en premier et les règles plus générales en dernier.

Ajoutons les règles nécessaires pour garantir l'accessibilité de votre système :

Autoriser le trafic en boucle (indispensable pour permettre la communication entre les processus locaux) :

sudo nft add rule inet my_firewall INPUT iif lo accept

Autoriser les connexions établies et associées (nécessaires pour le trafic de retour) :

sudo nft add rule inet my_firewall INPUT ct state established,related accept

Autoriser SSH (port 22) :

sudo nft add rule inet my_firewall INPUT tcp dport 22 accept

Étape 5 : Ajouter des règles supplémentaires

Autorisez maintenant les services requis.

Autoriser ICMP (IPv4) et ICMPv6 :

sudo nft add rule inet my_firewall INPUT ip protocol icmp accept
sudo nft add rule inet my_firewall INPUT ip6 nexthdr icmpv6 accept

Autoriser HTTP (port 80) et HTTPS (port 443) :

sudo nft add rule inet my_firewall INPUT tcp dport { 80, 443 } accept

Étape 6 : Appliquer la politique par défaut sécurisée (DROP)

Une fois que toutes les règles nécessaires sont en place, passez à une stratégie par défaut sécurisée.

sudo nft add chain inet my_firewall INPUT { policy drop \; }

Cela garantit que tout autre trafic est bloqué. À ce stade, seul le trafic explicitement autorisé (SSH, HTTP, HTTPS) est autorisé.

Étape 7 : Vérifiez vos règles

Pour vérifier les règles actives, utilisez cette commande :

sudo nft list ruleset

Le résultat devrait ressembler à ceci :

table inet my_firewall {
    chain INPUT {
        type filter hook input priority filter; policy drop;
        iif "lo" accept
        ct state established,related accept
        tcp dport 22 accept
        ip protocol icmp accept
        ip6 nexthdr ipv6-icmp accept
        tcp dport { 80, 443 } accept
    }
}

Étape 8 : Enregistrez vos règles

Les règles ajoutées via la ligne de commande sont perdues au redémarrage. Enregistrez-les dans un fichier de configuration pour qu'elles soient conservées d'un redémarrage à l'autre :

sudo nft list ruleset | sudo tee/etc/nftables.conf >/dev/null

Rechargez manuellement si nécessaire :

sudo nft -f/etc/nftables.conf

Configurer votre pare-feu Linux avec iptables

Nous allons configurer un pare-feu iptables de base qui autorise les protocoles SSH, HTTP et HTTPS tout en bloquant tout autre trafic entrant.

Étape 1 : Vérifiez que iptables est disponible

iptables est disponible par défaut sur la plupart des distributions Linux, y compris les systèmes plus anciens et hérités comme CentOS 7. S'il n'est pas installé, vous pouvez l'installer à l'aide des commandes ci-dessous.

Sur les systèmes basés sur RHEL :

sudo dnf install iptables   # RHEL8+/9, Rocky Linux, AlmaLinux
sudo yum install iptables   # CentOS 7

Sur les systèmes basés sur Debian/Ubuntu, exécutez la commande suivante :

sudo apt install iptables

Étape 2 : Vérification des règles existantes

Avant d'apporter des modifications, vérifiez quelles règles sont déjà en vigueur :

sudo iptables-L -v -n

Étape 3 : Ajouter les règles essentielles

Comme pour nftables, l'ordre des règles est important : iptables évalue les règles de haut en bas.

Avant de verrouiller le pare-feu, vous devez autoriser les connexions dont vous avez besoin pour le moment (comme SSH) afin d'éviter de vous retrouver bloqué à l'extérieur de votre système.

Autoriser le trafic en boucle :

sudo iptables-A INPUT -ilo -j ACCEPT

Autoriser les connexions établies et associées :

sudo iptables-A INPUT -mconntrack --ctstate ESTABLISHED,RELATED -j ACCEPT

Autoriser ICMP (ping) :

sudo iptables-A INPUT -picmp -j ACCEPT

Si IPv6 est activé sur votre système :

sudo ip6tables-A INPUT -p ipv6-icmp -j ACCEPT

Autoriser SSH (port 22) :

sudo iptables-A INPUT -ptcp --dport 22 -j ACCEPT

Autoriser HTTP (port 80) et HTTPS (port 443) :

sudo iptables-A INPUT -ptcp --dport 80 -j ACCEPT
sudo iptables-A INPUT -ptcp --dport 443 -j ACCEPT

Étape 4 : Définir les politiques par défaut

Définissez la politique par défaut de manière à rejeter tout le trafic entrant et transféré, tout en autorisant le trafic sortant :

sudo iptables-P INPUT DROP
sudo iptables-P FORWARD DROP
sudo iptables-P OUTPUT ACCEPT

Étape 5 : Vérification des règles

Vérifiez que vos règles sont actives :

sudo iptables-L -v -n

Étape 6 : Enregistrez vos règles

Sur les systèmes basés sur Debian/Ubuntu :

sudo apt install iptables-persistent
sudo netfilter-persistentsave

Cela permet d'enregistrer les règles dans /etc/iptables/rules.v4 (et rules.v6 (pour IPv6) et les recharge au redémarrage.

Sur les systèmes modernes basés sur RHEL (RHEL 8/9, Rocky Linux, AlmaLinux) :

Sur ces systèmes, si vous utilisez firewalld à la place d'iptables en mode brut :

sudo firewall-cmd--runtime-to-permanent

Sous RHEL 7 (et éventuellement RHEL 8/9 en cas d'utilisation de la version héritée d'iptables) :

Si vous utilisez les commandes iptables brutes au lieu d'une interface comme firewalld, vous devez installer le iptables-services paquet permettant de les rendre persistants :

sudo dnf install iptables-services
sudo systemctl enable iptables
sudo service iptables save

Cela permet d'enregistrer les règles dans /etc/sysconfig/iptables et garantit qu'ils se rechargent au redémarrage.

Comment résoudre les problèmes de configuration du pare-feu ?

Les problèmes de configuration du pare-feu peuvent perturber vos connexions et rendre certains services inaccessibles. Avant de passer aux étapes de dépannage, voyons quels sont les problèmes les plus courants afin de mieux cerner la situation à laquelle vous êtes probablement confronté.

• Services bloqués : Services ou applications légitimes bloqués par inadvertance
• Conflits entre règles : Règles qui se chevauchent ou se contredisent, entraînant un comportement inattendu
• Ports ouverts / Services exposés : Ports ou services exposés involontairement en raison d'une mauvaise configuration
• Baisse des performances : Des règles trop nombreuses ou mal organisées ralentissent le trafic réseau

Voici comment les résoudre :

1. Vérifier l'état du pare-feu

Utilisez des commandes telles que firewall-cmd --state, iptables -Lou ufw status pour vérifier l'état actuel de votre pare-feu.

Conseil de pro : Pour obtenir des informations plus détaillées sur les règles actives et le nombre de paquets, utilisez iptables -L -v -n ou nft list ruleset – celles-ci vous indiquent précisément quels éléments correspondent et à quelle fréquence.

2. Vérifier les règles actives

Examinez attentivement les règles actuelles afin de vous assurer qu'elles correspondent bien à vos politiques de trafic. Les règles mal configurées sont souvent à l'origine de problèmes.

3. Vérifier la connectivité réseau

Utilisez des outils tels que ping, traceroute ou netcat pour tester la connectivité vers les ressources internes et externes. Cela permet d'identifier le trafic bloqué.

4. Examiner les journaux du pare-feu

Vérifiez les journaux du pare-feu pour voir s'il y a des paquets rejetés ou des messages système, en fonction de la configuration de votre pare-feu.

sudo journalctl -ufirewalld
sudo journalctl -u nftables (uniquement si la journalisation du service nftables est activée sur le système)

5. Désactiver temporairement le pare-feu

Désactivez temporairement le pare-feu pour vérifier s'il est à l'origine du problème.

Pour suspendre temporairement le service :

sudo systemctl stop firewalld
sudo systemctl stop nftables
sudo ufw disable

⚠️ Avertissement : Ne procédez à cette opération que dans un environnement contrôlé ou sur un système hors production. Réactivez le pare-feu immédiatement après le test.

Configuration du pare-feu sous Linux : nos 7 meilleurs conseils

La configuration d'un pare-feu sous Linux peut demander un certain temps d'adaptation, mais en adoptant la bonne approche, vous pouvez simplifier le processus. Voici sept conseils pratiques qui vous aideront à optimiser les paramètres de votre pare-feu et à renforcer la sécurité de votre système.

Conseil n° 1 : Définissez votre politique de sécurité avant de procéder à la configuration

Avant de toucher à la moindre commande, déterminez ce que vous souhaitez protéger et contre quoi. Identifiez les services qui doivent être accessibles au public, ceux qui doivent être limités à des plages d'adresses IP spécifiques, et si le trafic inconnu doit être ignoré en silence ou rejeté avec une réponse. Une politique de sécurité claire permet de transformer la configuration du pare-feu, qui relève souvent de l'approximation, en décisions mûrement réfléchies et vérifiables.

Conseil n° 2 : commencez par une politique simple

Commencez par une politique par défaut qui bloque tout et n'autorisez explicitement que ce qui est nécessaire. Toutefois, avant d'appliquer cette règle, assurez-vous que votre connexion SSH est explicitement autorisée afin d'éviter de vous retrouver bloqué à l'extérieur du système. Cela garantit votre accès avant de tout bloquer.

Conseil n° 3 : n'ouvrez que les ports nécessaires

Chaque port ouvert constitue un point d'entrée potentiel pour les attaques, c'est pourquoi il convient d'être prudent quant aux ports que vous laissez ouverts. Vous pouvez limiter l'accès aux seuls ports nécessaires à vos applications ou services, et fermer ceux qui ne sont pas utilisés.

Pour vérifier quels ports sont actuellement exposés sur votre système, exécutez la commande suivante :

sudo ss -tulnp

Conseil n° 4 : Contrôlez également le trafic sortant

Si l'accent est souvent mis sur le blocage du trafic entrant, la surveillance et le contrôle du trafic sortant revêtent une importance tout aussi grande dans certains environnements. Un système non restreint et compromis au sein de votre réseau peut exfiltrer des données ou communiquer avec des serveurs contrôlés par des pirates sans qu'aucune règle de trafic entrant ne puisse l'en empêcher. Il convient au minimum d'enregistrer le trafic sortant des services sensibles afin de détecter rapidement tout comportement inhabituel.

Conseil n° 5 : utilisez des zones ou des chaînes pour vous organiser

Organisez vos règles de pare-feu en zones (firewalld) ou en chaînes (iptables, nftables). Cela vous permet d'appliquer des règles différentes en fonction des interfaces réseau ou des niveaux de confiance. Des règles structurées facilitent la gestion des configurations et réduisent les risques d'erreur.

Conseil n° 6 : Vérifiez et testez régulièrement vos règles

Les règles de pare-feu ne doivent pas être « configurées une fois pour toutes ». Vérifiez-les régulièrement pour vous assurer qu'elles répondent aux exigences actuelles. Après toute modification, effectuez des tests approfondis pour vérifier que vos règles fonctionnent comme prévu sans bloquer accidentellement le trafic légitime. Il est recommandé de prévoir une révision trimestrielle dans le cadre de votre routine globale de maintenance de la sécurité.

Conseil n° 7 : Maintenez votre pare-feu à jour

Restez à jour avec les mises à jour des outils de pare-feu que vous utilisez, tels que nftables, UFW ou firewalld. Ces mises à jour comprennent souvent des correctifs de sécurité et des améliorations de stabilité indispensables pour garantir une protection efficace par pare-feu.

Notre top 5 des solutions de pare-feu Linux recommandées

Il existe une multitude d'options, allant des outils simples destinés aux débutants aux solutions de pare-feu avancées. Nous avons dressé une liste des cinq outils de pare-feu Linux les plus pertinents que vous trouverez en 2026, que vous préfériez la simplicité ou que vous ayez besoin d'une protection robuste et riche en fonctionnalités.

1. iptables

iptables est depuis de nombreuses années un pilier des réseaux Linux. Son système basé sur des règles permet un contrôle précis du trafic réseau, ce qui explique pourquoi il est souvent apprécié des utilisateurs expérimentés. Bien qu'il soit aujourd'hui largement supplanté par nftables dans les systèmes modernes, il reste d'actualité et largement utilisé, en particulier sur les systèmes plus anciens et dans les configurations de compatibilité.

Caractéristiques principales :

• Chaînes de règles granulaires pour une gestion précise du trafic.
• Une documentation complète et un soutien de la communauté.
• Convient le mieux à la rétrocompatibilité sur les anciens systèmes Linux.

Disponibilité : Préinstallé sur de nombreuses anciennes distributions Linux.

Exemple :

Bloquer le trafic entrant provenant d'une adresse IP spécifique :

sudo iptables-A INPUT -s 192.168.1.10 -j DROP

2. nftables

nftables est la norme actuelle en matière de gestion des pare-feu sous Linux ; il remplace iptables en offrant une syntaxe plus claire, de meilleures performances et une prise en charge unifiée des protocoles IPv4 et IPv6. Il est utilisé comme backend par défaut dans de nombreuses distributions Linux modernes.

Caractéristiques principales :

• Prend en charge les protocoles IPv4 et IPv6 dans un seul ensemble de règles
• Prise en charge de l'accélération matérielle pour de meilleures performances.
• La syntaxe simplifiée réduit les erreurs de configuration.

Disponibilité : Open source ; inclus dans les dépôts Linux standard.

Exemple :

Bloquer le trafic entrant provenant d'une adresse IP spécifique :

sudo nft add rule inet my_firewall INPUT ip saddr 192.168.1.10 drop

3. firewalld

firewalld offre une interface plus simple et conviviale pour la gestion du pare-feu. Basé sur nftables, il utilise des zones pour simplifier l'organisation des règles. C'est le pare-feu par défaut sous RHEL 7 et versions ultérieures, Fedora, ainsi que dans la plupart des distributions de l'écosystème RHEL telles qu'AlmaLinux et CentOS Stream.

Caractéristiques principales :

• La gestion des règles par zone simplifie la configuration des différentes interfaces.
• Les mises à jour dynamiques éliminent la nécessité de redémarrer le service.
• L'intégration de l'interface graphique (par exemple, Cockpit) la rend accessible aux débutants.

Disponibilité : Open source ; inclus dans les dépôts Linux standard.

Exemple :

Autoriser le trafic HTTP de manière permanente :

sudo firewall-cmd--add-service=http --permanent
sudo firewall-cmd --reload

4. UFW (Uncomplicated Firewall - Pare-feu simple)

UFW mise tout sur la simplicité. Sa syntaxe en ligne de commande facilite la configuration des règles, et c'est l'outil de pare-feu par défaut sur les distributions basées sur Ubuntu. Que vous soyez novice en matière de pare-feu Linux ou que vous gériez un projet personnel, UFW est le point de départ le plus simple.

Caractéristiques principales :

• Les commandes sont faciles à retenir et à utiliser, même pour les débutants
• Les profils prédéfinis simplifient la configuration des services courants
• Idéal pour les petits projets ou les projets personnels

Disponibilité : Open source ; inclus dans les dépôts Linux standard.

Exemple :

Autorisez SSH et activez le pare-feu :

sudo ufw allow ssh
sudo ufw enable
sudo ufw status verbose

5. CSF (ConfigServer Security & Firewall)

CSF offre des fonctionnalités de sécurité supplémentaires allant au-delà du simple filtrage de paquets, notamment la détection des intrusions et le suivi des échecs de connexion. Largement utilisé dans les environnements d'hébergement web, il s'intègre à cPanel, ce qui en fait un outil particulièrement adapté aux administrateurs chargés de la gestion de serveurs mutualisés ou dédiés.

Caractéristiques principales :

• Détection des échecs de connexion pour un contrôle d'accès amélioré
• Les alertes en temps réel permettent aux administrateurs de rester informés des menaces
• Le filtrage de paquets avec état facilite la gestion de l'inspection du trafic basée sur les connexions

Disponibilité : Téléchargement gratuit depuis le site officiel de ConfigServer.

Exemple :

Bloquer et autoriser des adresses IP spécifiques :

sudo csf -d 192.168.1.10  # bloquer une adresse IP
sudo csf -a 192.168.1.20  # autoriser une adresse IP
sudo csf -r               # recharger les règles CSF

Autres bonnes pratiques pour une gestion efficace des pare-feu Linux

Quelle que soit la solution de pare-feu Linux choisie, ces mesures supplémentaires répondent à des enjeux de sécurité plus généraux qui peuvent renforcer encore davantage la configuration de votre pare-feu :

• Filtrage au niveau des applications : Allez au-delà des règles de port et de protocole en tirant parti du filtrage au niveau des applications, lorsque cela est pris en charge, afin d'appliquer des politiques de sécurité basées sur des logiciels ou des services spécifiques. Cela offre un contrôle plus fin, particulièrement utile lorsque plusieurs services partagent le même port.
• Activer la journalisation et la surveillance : Activez la journalisation pour suivre le trafic réseau et détecter les incidents de sécurité potentiels. Surveillez régulièrement les journaux du pare-feu à la recherche d'anomalies et d'activités suspectes : détecter rapidement les schémas inhabituels fait souvent la différence entre un incident mineur et une violation grave.
• Mettez en place des systèmes de détection d'intrusion (IDS) : Complétez votre pare-feu avec des outils de détection et de prévention des intrusions afin d'identifier les activités malveillantes et d'y répondre. Des outils tels que Fail2ban ou Suricata fonctionnent en parallèle de votre pare-feu, soit en mettant automatiquement à jour les règles (dans le cas de Fail2ban), soit en alertant les administrateurs (dans le cas d'outils IDS comme Suricata) en réponse aux menaces détectées.
• Segmentation du réseau: La segmentation des réseaux en zones distinctes permet de contenir les violations et de limiter l'impact des incidents de sécurité. Même si un segment est compromis, la segmentation empêche la propagation latérale à l'ensemble de votre réseau.
• Sauvegardez la configuration de votre pare-feu : Sauvegardez toujours votre ensemble de règles actuel avant d'apporter des modifications importantes. Cela vous garantit de disposer d'une configuration fonctionnelle à restaurer rapidement en cas de problème.
• Restriction de l'accès à la gestion : Limitez les personnes autorisées à modifier les règles du pare-feu en appliquant des contrôles d'accès stricts. Utilisez des politiques sudo ou un contrôle d'accès basé sur les rôles pour vous assurer que seuls les administrateurs autorisés peuvent modifier les configurations du pare-feu.

La sécurité de votre pare-feu Linux dépend entièrement de sa configuration

Un pare-feu n'est efficace que s'il est correctement configuré. Le choix de l'outil approprié – qu'il s'agisse d'iptables pour les systèmes hérités et les cas de compatibilité, de nftables pour les distributions modernes, ou d'UFW et de firewalld pour plus de simplicité – n'est qu'un point de départ. Ce sont les règles que vous définissez, les politiques que vous appliquez et les pratiques que vous maintenez au fil du temps qui déterminent si votre environnement Linux est réellement protégé.

La sécurité est un processus continu, et il est essentiel de rester vigilant pour limiter les risques dans un environnement de menaces en constante évolution. En révisant régulièrement vos règles, en surveillant les journaux et en mettant à jour votre pare-feu, vous vous assurez que vos défenses restent solides à mesure que vos systèmes et vos besoins évoluent.

Si vous souhaitez aller plus loin, découvrez comment les correctifs sans redémarrage peuvent vous aider à maintenir un environnement Linux sécurisé sans interruption de service, en assurant la protection de vos systèmes entre les fenêtres de maintenance sans jamais les mettre hors ligne.