Pare-feu du serveur et Host Access — Documentation

Le panneau peut gérer à votre place le pare-feu du serveur lui-même ; vous n'avez donc pas besoin d'une session SSH pour ouvrir un port ou bloquer une adresse. Il fonctionne avec ufw (Debian et Ubuntu) et firewalld (la famille RHEL : AlmaLinux, Rocky, CloudLinux). Il est réservé à l'administrateur du serveur et se trouve sous Système → Sécurité → Pare-feu. Si le serveur n'a aucun pare-feu actif, la carte l'indique et ne propose rien à modifier.

Le pare-feu du serveur n'est qu'une couche. La plupart des fournisseurs ont aussi un pare-feu cloud distinct que vous gérez chez le fournisseur. Un port doit être autorisé dans les deux. Voir Notes sur les fournisseurs de VPS.

Le filet de sécurité : chaque changement s'annule de lui-même

Une erreur dans un pare-feu est la manière classique de s'enfermer dehors de son propre serveur. Aussi chaque changement que vous faites ici est provisoire :

Vous ouvrez un port, bloquez une adresse ou enregistrez une liste. Le changement prend effet immédiatement.
Une boîte apparaît : Conserver ces changements du pare-feu ?, avec un compte à rebours de 3 minutes.
Vérifiez que ce panneau fonctionne encore et que vous pouvez toujours vous connecter en SSH. Appuyez ensuite sur Conserver les changements. Appuyez sur Annuler maintenant pour revenir en arrière immédiatement.
Si vous ne faites rien, le pare-feu revient à son état d'avant lorsque le compte à rebours se termine.

Le compte à rebours est conservé sur le serveur, pas dans votre navigateur, et il survit à un redémarrage du panneau ou de tout le serveur. Si l'annulation elle-même ne peut pas aboutir (par exemple parce que le pare-feu est occupé), le serveur continue d'essayer de lui-même et la carte indique que certains changements n'ont pas encore pu être annulés.

Si le serveur s'arrête pendant que des changements sont en attente et que l'enregistrement de ce qu'il faut annuler est endommagé, le panneau ne devine pas. Il affiche Vérifiez le pare-feu, vous demande de regarder les listes et de remettre en place tout ce que vous ne vouliez pas conserver, et n'effectue aucun nouveau changement tant que vous n'avez pas appuyé sur J'ai vérifié.

Ports ouverts et adresses bloquées

Ports ouverts liste ce que le pare-feu laisse entrer. Pour ouvrir un port, saisissez un port comme 8080 ou une plage comme 3000-3010, choisissez TCP ou UDP, puis appuyez sur le bouton. Un port listé a un bouton pour le fermer.

Adresses bloquées liste les adresses qui sont refusées. Saisissez une adresse IP, ou un réseau comme 203.0.113.0/24, puis appuyez sur Bloquer. La carte affiche votre propre adresse pour que vous voyiez laquelle c'est.

Ce que le panneau refuse de faire

Ces règles ne peuvent pas être désactivées. Elles existent pour qu'une faute de frappe ne puisse pas mettre le serveur à terre.

Vous essayez de	Le panneau refuse parce que
Fermer SSH, le port 80 ou le port 443	Ils maintiennent le serveur joignable. SSH est lu dans les réglages du serveur SSH lui-même, de sorte qu'un port SSH non standard est lui aussi protégé.
Ouvrir un port privé : 6379 (Redis), 11211 (Memcached), 27017 (MongoDB), 9080 (le back-end propre du panneau), 8891 (le signataire DKIM) ou 8100-8999 (les back-ends web par compte)	Ils écoutent sans mot de passe ou se trouvent derrière le serveur web frontal. Les ouvrir permettrait aux visiteurs de contourner ses protections.
Bloquer votre propre adresse	Vous vous couperiez vous-même. Si le panneau ne voit pas votre adresse, il ne bloque rien.
Bloquer une adresse qui appartient à ce serveur	Le serveur se bloquerait lui-même.
Bloquer un réseau très large	Tout ce qui est plus large que /8 en IPv4 ou /16 en IPv6 est refusé.

Host Access : qui peut se connecter

Sous Qui peut se connecter (Host Access), vous pouvez indiquer que seules les adresses d'une liste peuvent atteindre l'un de quatre services. Tous les autres sont refusés par le pare-feu.

Service	Ports concernés
SSH	Le ou les ports SSH de ce serveur (jamais 80 ni 443, même lorsque SSH les partage)
FTP	21, 990 et la plage passive 30000-30100
Connexions de messagerie	110, 143, 465, 587, 993, 995
Base de données	3306

Les sites web et le courrier entrant (port 25) ne sont jamais limités. Les connexions de messagerie désignent les endroits où l'on lit et envoie son courrier ; les autres serveurs de messagerie continuent de vous joindre sur le port 25.

Pour limiter un service, appuyez sur Limiter à une liste…, écrivez une adresse ou un réseau par ligne (au plus 15), puis appuyez sur Enregistrer la liste. Les règles :

Pour SSH, votre propre adresse doit figurer dans la liste, sinon le panneau ne l'enregistrera pas. Si vous vous connectez aussi depuis un autre ordinateur ou via un VPN, ajoutez aussi cette adresse. Le bouton Ajouter mon adresse remplit la vôtre.
Un réseau trop large pour constituer une vraie limite est refusé (plus large que /8 en IPv4, /16 en IPv6).
Autoriser tout le monde… (ou Retirer la liste… pour la base de données, qui est fermée à l'extérieur par défaut) lève la liste. Sur firewalld, cela rend le service à tout le monde comme l'installateur l'avait réglé au départ.
Comme tout autre changement, une liste est provisoire pendant 3 minutes jusqu'à ce que vous appuyiez sur Conserver les changements.

Quand une liste ne peut pas être enregistrée

« Ce pare-feu laisse entrer toutes les connexions qu'aucune règle ne mentionne » — une liste ne limiterait rien, car le pare-feu accepte tout ce qui n'est pas interdit. Réglez d'abord le pare-feu pour qu'il refuse par défaut les connexions entrantes (sur ufw, ufw default deny incoming ; sur firewalld, réglez la cible de la zone active sur default ou REJECT).
« Une autre règle, créée en dehors du panneau, ouvre aussi ces ports » — par exemple une règle à débit limité, journalisée ou plus large que vous avez ajoutée à la main. Le panneau n'y touchera pas et présente le service comme non gérable. Retirez d'abord cette règle vous-même, sans quoi la liste ne limiterait rien.

Relancer l'installateur

Relancer install.sh, ou mettre à jour le panneau, ne rouvre pas un port que vous avez limité avec Host Access. Les listes restent comme vous les avez laissées.

Ce que cela ne fait pas

Cela ne remplace pas les protections au niveau des comptes : le blocage de la force brute, les listes de blocage d'IP de chaque compte et le pare-feu applicatif web sont des fonctions distinctes.
Cela ne gère pas un pare-feu que vous avez désactivé, ni les règles d'outils autres que ufw et firewalld.
Rien ici ne modifie le pare-feu cloud chez votre fournisseur.

À lire aussi : Dépannage · Notes sur les fournisseurs de VPS