Pare-feu ufw : fermer ce qui n'est pas nécessaire

Comment configurer ufw en cinq minutes : autoriser les ports nécessaires, fermer le reste, restreindre l'accès par adresse et éviter de couper votre propre SSH.

Mis à jour le 23 août 2026

Sur une machine neuve, tout ce qui écoute sur le réseau est ouvert. Certains services ont été installés volontairement, d'autres sont arrivés avec des paquets. Un pare-feu règle le problème d'un coup : tout est refusé sauf ce que vous autorisez.

ufw est une surcouche simple aux règles du noyau. Elle suffit dans la grande majorité des cas ; les configurations plus complexes sont traitées dans l'article sur nftables.

Configuration de base

apt install -y ufw
ufw default deny incoming
ufw default allow outgoing
ufw allow 22/tcp
ufw enable
ufw status verbose

L'ordre compte ici : la règle SSH est ajoutée avant l'activation. Sinon, ufw enable coupera votre connexion, et vous devrez revenir via la console du panneau /hosting/vds/m/<id> ou le mode rescue.

La console du panneau fonctionne indépendamment du réseau, vous ne pouvez donc pas vous enfermer complètement dehors — mais cela coûte du temps.

Règles courantes

ufw allow 80/tcp
ufw allow 443/tcp
ufw allow from 203.0.113.5 to any port 22 proto tcp
ufw limit 22/tcp
ufw delete allow 80/tcp
ufw status numbered
ufw delete 3

ufw limit ralentit quiconque ouvre plus de six connexions en 30 secondes — une protection peu coûteuse contre le bruteforce de mots de passe. Un outil plus fin pour la même tâche est fail2ban.

La règle allow from est utile pour les services qui ne doivent pas être publics : bases de données, panneaux d'administration, exportateurs de métriques.

ufw allow from 203.0.113.5 to any port 5432 proto tcp

Vérifier le résultat

ufw status verbose
ss -tulpn

ss montre ce sur quoi le système écoute, ufw status montre ce qui est autorisé depuis l'extérieur. La différence entre les listes correspond aux services que vous avez fermés, et c'est normal. L'inverse est mauvais : un port est ouvert dans ufw, mais aucun processus n'écoute.

Depuis l'extérieur, vérifiez avec un port, pas avec un ping :

nc -vz <address> 443

Docker et ufw

Si la machine fait tourner Docker, gardez en tête : la redirection de ports des conteneurs est gérée dans les chaînes du noyau avant les règles ufw. Un conteneur démarré avec -p 5432:5432 sera joignable depuis l'extérieur même lorsque ufw status affiche deny. Liez ces ports à l'interface locale :

docker run -p 127.0.0.1:5432:5432 postgres

Erreurs courantes

Erreur	Conséquence	Solution
`ufw enable` sans règle SSH	Perte de l'accès réseau	Revenir via la console du panneau, `ufw allow 22/tcp`
Port SSH modifié, ancienne règle conservée	Même chose	La règle d'abord, puis le port
Le port est ouvert, le service ne répond pas	Le service écoute sur `127.0.0.1`	Changer l'adresse d'écoute
Le conteneur est joignable malgré le deny	Docker contourne ufw	Lier à `127.0.0.1`

Avant de fermer un port, exécutez ss -tulpn et assurez-vous de comprendre ce qui l'occupe. Un port de supervision fermé ressemble ensuite à « le service est tombé ».