Toute machine Lightsail naît avec le port 22 (SSH) ouvert au monde entier. Dès qu'elle a une IP publique, les tentatives de connexion automatiques commencent depuis la moitié de la planète : des milliers par jour. Avec une clé SSH solide, elles n'aboutiront pas, mais elles remplissent les journaux, consomment des ressources et toute faille future du service SSH reste exposée. La bonne solution est simple : n'autoriser le port 22 que depuis l'IP avec laquelle vous vous connectez.
Lightsail possède son propre pare-feu, par machine, qui se gère depuis la console sans rien toucher dans le serveur. C'est très pratique, et c'est aussi très facile de rester dehors si vous vous trompez ; suivez donc l'ordre des étapes.
Avant de commencer : ce que signifie chaque chose
- Pare-feu
- Le portier de votre machine : une liste des portes (ports) ouvertes et pour qui. Dans Lightsail, il se gère depuis la console web, sans entrer dans la machine.
- Port 22 et SSH
- SSH est le moyen par lequel un technicien entre dans la machine pour l'administrer depuis un terminal. Il utilise la « porte » numéro 22. Si elle est ouverte au monde entier, le monde entier essaiera d'entrer.
- IP publique
- L'adresse numérique avec laquelle votre connexion sort sur Internet. Vous la voyez en cherchant « quelle est mon IP ». Elle est différente de l'adresse interne de votre ordinateur à la maison ou au bureau.
- IP dynamique ou fixe
- Dynamique : votre opérateur change l'adresse de temps en temps (le cas habituel à la maison). Fixe : toujours la même (habituel en entreprise, parfois payant).
- CIDR (/32, /24)
- Une façon abrégée d'écrire une plage d'adresses. « /32 » est une seule adresse ; « /24 » en désigne 256 consécutives. Si vous ne voulez que votre IP, inutile d'écrire quoi que ce soit : l'adresse suffit.
- IPv4 et IPv6
- Deux types d'adresses Internet, la classique (quatre nombres avec des points) et la nouvelle (plus longue, avec des lettres et des deux-points). La machine peut avoir les deux, et chacune a son propre pare-feu.
Pas à pas
Trouvez votre IP publique
Depuis l'ordinateur avec lequel vous vous connectez, cherchez « quelle est mon IP » dans le navigateur ou demandez à votre routeur. Notez l'adresse IPv4, quatre nombres séparés par des points. Si vous travaillez depuis le bureau et depuis chez vous, il vous faudra les deux.
Important : si votre connexion a une IP dynamique (la plupart des connexions domestiques), elle changera de temps en temps et vous devrez mettre la règle à jour. Nous le voyons à la fin.
Ouvrez le pare-feu de la machine
Dans la console Lightsail, onglet Instances, cliquez sur votre machine puis sur l'onglet Réseau (Networking). Sous l'IP publique se trouve le bloc Pare-feu IPv4 avec les règles actuelles. Vous verrez celle de SSH avec « N'importe quelle adresse IP » comme source.
Modifiez la règle SSH et restreignez la source
Cliquez sur le crayon de la règle SSH, TCP 22. Cochez la case Restreindre à l'adresse IP et saisissez votre IP de l'étape 1. Vous pouvez ajouter plusieurs adresses dans la même règle, ou créer une règle par lieu depuis lequel vous vous connectez. Si vous voulez une plage, utilisez la notation CIDR, par exemple
203.0.113.0/24.Laissez cochée l'option Autoriser le client SSH du navigateur Lightsail si elle apparaît : ainsi, même si votre IP change, vous pourrez toujours entrer avec le terminal web de la console Lightsail, qui vient d'adresses propres à AWS. C'est votre filet de sécurité.
Enregistrez et testez sans fermer la session en cours
Enregistrez la règle. Le changement est immédiat. Avant de considérer que c'est fait, ouvrez une nouvelle session SSH depuis votre ordinateur et vérifiez que vous entrez. Si vous aviez déjà une session ouverte, ne la fermez pas avant d'avoir confirmé que la nouvelle fonctionne : les connexions établies ne sont pas coupées, mais les nouvelles sont bien filtrées.
Vérifiez aussi le pare-feu IPv6
Si la machine a IPv6 activé, un peu plus bas se trouve un bloc Pare-feu IPv6 séparé, avec sa propre règle SSH ouverte à tous. Si vous n'utilisez pas IPv6 pour vous connecter, supprimez cette règle ou restreignez-la à votre adresse IPv6. C'est l'oubli le plus fréquent : on ferme la porte IPv4 et on laisse celle d'IPv6 grande ouverte.
Décidez quoi faire quand votre IP changera
Avec une IP dynamique, un jour vous n'entrerez plus. Vous avez trois options raisonnables : entrer par le terminal du navigateur de Lightsail sans rien changer (suffisant pour une urgence) ; mettre la règle à jour avec votre nouvelle IP depuis la console, ce qui prend une minute ; ou demander à votre opérateur une IP fixe, souvent disponible sur les connexions professionnelles.
Ce qui peut mal tourner
Je suis resté dehors en SSH
Pas de panique : le pare-feu de Lightsail se modifie depuis la console web, pas depuis l'intérieur de la machine. Entrez dans Lightsail, onglet Réseau, et corrigez l'IP de la règle. Si vous en avez besoin tout de suite, utilisez le terminal du navigateur de Lightsail (bouton « Se connecter via SSH » sur la machine), qui ne passe pas par votre IP.
Ça n'entre toujours pas alors que l'IP est correcte
Vérifiez que la machine n'a pas aussi un pare-feu interne (ufw sous Ubuntu, firewalld sous Amazon Linux) qui doit lui aussi autoriser le 22. Les deux pare-feu, celui de Lightsail et celui du système, doivent laisser passer. Et vérifiez que vous utilisez l'IP de l'ordinateur depuis lequel vous vous connectez, pas celle d'un VPN ou d'un autre site.
J'ai mis l'IP de mon réseau local
Les adresses qui commencent par 192.168, 10. ou 172.16 à 172.31 appartiennent à votre réseau interne et ne servent à rien ici : le pare-feu de Lightsail voit votre IP publique, celle que vous donne l'opérateur. Revenez à l'étape 1.
Un collègue doit entrer depuis un autre endroit
Ajoutez son IP comme autre entrée de la même règle plutôt que de rouvrir au monde entier. Et si la liste s'allonge, c'est le moment de penser à un VPN ou à un bastion : une seule IP d'entrée que vous gérez vous-même.
Dans Simplio
Dans Simplio, le pare-feu de chaque machine Lightsail est une liste modifiable : vous ajoutez le port, choisissez « Seulement mon IP » (Simplio connaît déjà la vôtre) et enregistrez, avec confirmation par double authentification pour les changements sensibles. De plus, chaque personne de votre équipe ne voit que les machines que vous lui avez attribuées, et chaque changement reste dans le journal d'activité avec qui, quand et depuis où.
La même chose, dans AWS et dans Simplio
| Dans la console AWS | Dans Simplio | |
|---|---|---|
| Fermer le port 22 à votre IP | Trouver votre IP, console Lightsail, onglet Réseau, modifier la règle, répéter en IPv6 : 5 étapes, 5 minutes par machine | Règle « Seulement mon IP » (Simplio connaît déjà la vôtre) : 1 clic par machine |
| Quand votre IP change | Revenir dans la console et modifier la règle | Le même clic ; ou entrer par le terminal de Simplio sans rien toucher |
| Savoir qui a ouvert quoi | CloudTrail, si vous allez le chercher | Chaque changement dans le journal d'activité avec utilisateur, date et IP |