Fermer les ports que vous n'utilisez pas et n'ouvrir le 22 qu'au besoin

Un serveur sur Internet reçoit des milliers de tentatives d'entrée par jour. Ce ne sont pas des pirates qui vous visent : ce sont des programmes automatiques qui parcourent toutes les adresses d'Internet en essayant les portes. S'ils en trouvent une ouverte, ils essaient des mots de passe ; s'ils trouvent un programme ancien, ils essaient des failles connues. Chaque port ouvert dont vous n'avez pas besoin est une porte de plus pour ces programmes, et la fermer ne coûte rien.

La plupart des machines que voit Simplio ont le port 22 (celui de l'administration) ouvert au monde entier depuis le jour de leur création, parce que c'est le réglage par défaut. C'est comme laisser la porte du local technique ouverte sur la rue. Ce guide vous apprend à regarder quelles portes votre machine a d'ouvertes, à fermer celles qui sont en trop et à n'ouvrir celle de l'administration que depuis votre bureau et seulement pendant que vous l'utilisez.

Pas à pas

1. Décidez de quels ports votre machine a vraiment besoin

   Pour un site web, la liste est courte : 80 (HTTP, pour rediriger vers HTTPS) et 443 (HTTPS). Rien de plus. Tout le reste sert à administrer, et c'est vous qui administrez, pas le monde entier.

   Ports qui ne devraient jamais être ouverts à tout Internet :

   • 22 (SSH) et 3389 (bureau à distance de Windows) : administration. Seulement à votre IP, et de préférence seulement quand vous l'utilisez.
   • 3306 (MySQL/MariaDB) et 5432 (PostgreSQL) : la base de données. Si le site est sur la même machine, le port n'a pas du tout besoin d'être ouvert vers l'extérieur. Si une autre machine s'y connecte, ouvrez-le seulement à l'IP de cette machine.
   • 21 (FTP) : il envoie des fichiers sans chiffrement. Si vous devez envoyer des fichiers, utilisez SFTP, qui passe par le 22.
   • 10000 (Webmin), 8080 et 8443 (panneaux et environnements de test), 9090, 5000 : des panneaux d'administration qui ont souvent des mots de passe faibles ou des versions anciennes.
   • 25 (courrier sortant) : AWS le limite par défaut et presque aucun site n'a besoin qu'il soit ouvert vers l'intérieur.

   Si votre pare-feu contient un port dont vous ne savez pas à quoi il sert, la bonne réponse est de le fermer et de voir si quelque chose cesse de fonctionner. En général, rien.

2. Vérifiez le pare-feu d'une machine Lightsail

   Entrez dans Lightsail, cliquez sur le nom de la machine et ouvrez l'onglet Mise en réseau. Dans Pare-feu IPv4 se trouve la liste des règles, chacune avec l'application, le protocole, le port et la colonne Restreint à. Si cette colonne indique « Toute adresse IPv4 », ce port est ouvert au monde entier.

   Ce qui devrait rester :

   • HTTP, TCP, 80, toute adresse.
   • HTTPS, TCP, 443, toute adresse.
   • SSH, TCP, 22, restreint à votre IP (étape 4), ou carrément sans règle quand vous ne l'utilisez pas.

   Pour supprimer une règle, cliquez sur l'icône de corbeille à droite. Pour la modifier, le crayon. Les changements s'appliquent immédiatement, sans redémarrage. Si vous avez activé IPv6, recommencez dans le bloc Pare-feu IPv6 : c'est une liste à part et on l'oublie souvent.

   Faites-le sur chaque machine : le pare-feu de Lightsail est par instance et ne se partage pas.

3. Vérifiez les groupes de sécurité d'une machine EC2

   Entrez dans EC2, Instances, cliquez sur la machine et ouvrez l'onglet Sécurité. Vous verrez les groupes de sécurité qui lui sont attribués (il peut y en avoir plusieurs ; leurs règles s'additionnent) et, en dessous, les Règles entrantes combinées. Regardez la colonne Source : 0.0.0.0/0 ou ::/0 signifie ouvert au monde entier.

   Pour modifier quelque chose, cliquez sur le nom du groupe, onglet Règles entrantes, bouton Modifier les règles entrantes. Supprimez celles qui sont en trop avec Supprimer et cliquez sur Enregistrer les règles. Laissez les règles sortantes telles quelles : par défaut elles autorisent tout vers l'extérieur et c'est normal.

   Deux choses qui arrivent souvent dans EC2 :

   • Un groupe appelé launch-wizard-3 ou similaire, créé à la volée au lancement de la machine, avec le 22 ouvert à tous. C'est celui qu'il faut corriger.
   • Un même groupe attribué au site web et à la base de données. La base de données a alors le 80 ouvert et le site le 3306. Faites un groupe par fonction : web avec 80 et 443, bbdd avec 3306 seulement depuis le groupe web (dans Source, vous pouvez écrire l'identifiant d'un autre groupe au lieu d'une IP).

   Regardez aussi Groupes de sécurité dans le menu de gauche : il y a souvent d'anciens groupes sans aucune machine attribuée. Supprimez-les pour ne pas vous y perdre.

4. Ouvrez le 22 seulement à votre IP, et seulement pendant que vous l'utilisez

   Trouvez votre IP publique en cherchant « quelle est mon IP » dans le navigateur depuis le réseau sur lequel vous allez travailler. Dans Lightsail, onglet Mise en réseau, sur la règle SSH cliquez sur le crayon, cochez Restreindre à l'adresse IP et écrivez la vôtre. Dans EC2, en modifiant la règle du 22, dans Source choisissez Mon IP et AWS la remplit toute seule.

   Si vous travaillez depuis plusieurs endroits (bureau et domicile), ajoutez une règle par endroit, pas une règle ouverte à tous. Et si votre connexion change souvent d'IP (c'est courant avec la fibre domestique et toujours avec les données mobiles), attendez-vous à devoir la mettre à jour de temps en temps : c'est l'affaire d'une minute.

   La vraie bonne habitude : supprimez la règle du 22 quand vous avez terminé. Vous entrez dans la machine quelques fois par mois ; le reste du temps, cette porte peut ne pas exister. Quand vous en avez besoin, vous l'ajoutez avec votre IP, vous travaillez et vous la retirez. Sans port 22, pas d'attaques par mot de passe en SSH, pas de programmes supplémentaires à surveiller.

5. Vérifiez depuis l'extérieur qu'il ne reste rien d'ouvert

   Faites confiance, mais vérifiez. Depuis un terminal de votre ordinateur (sous Windows, PowerShell), exécutez contre l'IP de votre machine :

   Test-NetConnection 83.45.120.7 -Port 3306

   Sur Mac ou Linux, nc -zv 83.45.120.7 3306. Si la réponse indique que la connexion a réussi, le port est ouvert vers l'extérieur et il faut revoir l'étape précédente. Faites le test avec 22, 3306, 3389, 10000 et 8080. Il existe aussi des pages qui le vérifient pour vous (cherchez « vérifier ports ouverts ») ; essayez de le faire depuis un réseau différent de celui qui a le 22 autorisé, par exemple avec le téléphone.

   Même si un port est ouvert dans le pare-feu, le programme derrière peut ne pas répondre (MySQL n'écoute en général qu'en local). Ne comptez pas dessus : fermez-le dans le pare-feu quand même.

6. Alternatives pour ne jamais avoir le 22 ouvert

   Si vous entrez souvent dans la machine, il existe des façons de le faire sans aucun port ouvert :

   • Terminal dans le navigateur de Lightsail : bouton Se connecter à l'aide de SSH sur la page de la machine. Lightsail se connecte de son côté même si vous avez supprimé la règle du 22 du pare-feu ; il le fait par une voie interne d'AWS. Pour des tâches ponctuelles, c'est suffisant.
   • Session Manager dans EC2 : sur la machine, bouton Se connecter, onglet Session Manager. Il faut que la machine ait l'agent SSM (il est inclus dans les images Amazon Linux et Ubuntu d'AWS) et un rôle avec la stratégie AmazonSSMManagedInstanceCore. En échange, zéro port ouvert, et chaque session est enregistrée dans CloudTrail avec qui est entré.
   • EC2 Instance Connect : l'onglet Client EC2 Instance Connect dans le même bouton Se connecter. Il a toujours besoin du 22 ouvert, mais seulement à la plage d'IP qu'AWS publie pour votre région, pas à tout Internet.

   Avec n'importe laquelle d'entre elles, le 22 ouvert au monde entier n'a plus d'excuse.

Ce qui peut mal tourner