Pare-feu

Un pare-feu Wolkra est un ensemble gratuit de règles entrantes et sortantes, avec état, qui filtre le trafic avant qu'il n'atteigne vos serveurs. Créez un jeu de règles une seule fois, puis appliquez-le à des serveurs précis ou à tous les serveurs qui correspondent à un sélecteur de labels.

Comment fonctionnent les pare-feu

• Avec état. Le trafic de retour des connexions autorisées est automatiquement accepté.
• Entrant et sortant. Les règles contrôlent ce qui peut atteindre le serveur et, si vous le souhaitez, ce que le serveur peut envoyer.
• En dehors du serveur. Les règles s'appliquent au niveau du réseau : elles continuent de fonctionner même si un logiciel du serveur est mal configuré ou compromis.
• Partagés. Un même pare-feu peut protéger de nombreux serveurs. Modifiez une règle une fois et elle s'applique à tous.

Créer un pare-feu

1. Ouvrez Firewalls dans la console et choisissez Create firewall.
2. Donnez-lui un nom, par exemple web-public.
3. Ajoutez des règles. Chaque règle comporte une direction, un protocole (TCP, UDP, ICMP, etc.), un port ou une plage de ports le cas échéant, et des adresses source ou de destination.
4. Appliquez-le à des serveurs ou à un sélecteur de labels.
5. Enregistrez.

Appliquer à des serveurs ou à des labels

Des serveurs individuels : c'est le choix le plus simple pour une petite installation.

Les sélecteurs de labels passent mieux à l'échelle. Attribuez aux serveurs des labels comme role=web ou env=prod, puis appliquez le pare-feu au sélecteur role=web. Chaque serveur portant ce label, y compris ceux que vous créerez plus tard, reçoit automatiquement les règles. Les labels se définissent lorsque vous créez un serveur ou plus tard dans la vue du serveur.

Exemples de jeux de règles

Les plages d'adresses ci-dessous sont des exemples. Remplacez-les par celles de votre bureau, de votre domicile ou de votre VPN.

Serveur web public

Base de données sur un réseau privé

Associez cette configuration à un serveur sans aucune IP publique ; voir réseaux privés.

VPN WireGuard

Voir le guide WireGuard.

Règles sortantes

Beaucoup de configurations autorisent tout le trafic sortant et ne filtrent que l'entrant. Si vous restreignez le trafic sortant, pensez à ce dont le serveur a besoin :

• le DNS (UDP et TCP 53) vers votre résolveur ;
• HTTP et HTTPS (TCP 80 et 443) pour les mises à jour de paquets ;
• NTP (UDP 123) pour l'horloge ;
• SMTP ou votre relais de messagerie si le serveur envoie des e-mails.

Vérifiez le récapitulatif des règles dans la console avant d'enregistrer, puis testez depuis le serveur avec curl -I https://example.com.

Pare-feu et répartiteurs de charge

Lorsque des serveurs se trouvent derrière un répartiteur de charge, autorisez le port de l'application depuis le réseau du répartiteur de charge plutôt que depuis partout. Si les cibles sont jointes via un réseau privé, n'autorisez que la plage de ce réseau.

Pare-feu et Docker

Docker publie les ports des conteneurs au moyen de ses propres règles iptables, qui contournent UFW sur le serveur. Un pare-feu cloud n'est pas concerné : c'est donc le moyen fiable de garder les ports des conteneurs privés. Le guide Docker Compose explique cette approche.

Dépannage

• Accès SSH bloqué : modifiez le pare-feu pour autoriser votre adresse actuelle, ou détachez-le du serveur. La console navigateur, dans la vue du serveur, fonctionne sans accès réseau.
• Service injoignable : vérifiez le pare-feu cloud, puis UFW (sudo ufw status), puis que le service écoute bien (sudo ss -tlnp).
• Fonctionne en IPv4 mais pas en IPv6 : assurez-vous que la règle autorise les deux familles d'adresses.

API

Les pare-feu sont accessibles via l'API à l'adresse https://api.wolkra.com/v1/firewalls. Consultez jetons d'API pour l'authentification.

Plus de contexte sur la page produit : pare-feu.