Configurer le pare-feu UFW sur Ubuntu
ufw status
Si vous voyez « Command 'ufw' not found », installez-le avec APT :
sudo apt update && sudo apt install ufw -y
2. Autorisez l'accès SSH avant l'activation
C'est l'étape la plus importante. Si vous activez UFW sans d'abord autoriser SSH, vous vous enfermerez dehors. Ubuntu propose un profil d'application pour OpenSSH :sudo ufw allow OpenSSH
Si vous utilisez SSH sur un port personnalisé, remplacez le profil par le numéro de port :
sudo ufw allow 2222/tcp
3. Activez UFW
Activez le pare-feu avec :sudo ufw enable
Confirmez avec « y » lorsque demandé. UFW refusera désormais toutes les connexions entrantes qui ne sont pas explicitement autorisées. Le trafic sortant reste autorisé par défaut, afin que les mises à jour et les requêtes DNS continuent de fonctionner normalement.
4. Vérifiez le statut
Consultez les règles actives avec :sudo ufw status verbose
La sortie affiche la politique par défaut, les règles actives et si IPv6 est activé. Vous devriez voir une règle pour OpenSSH (port 22) pour IPv4 et IPv6.
5. Autorisez les services pour les serveurs web et de bases de données
Ajoutez des règles pour les services que votre serveur doit atteindre. Pour un serveur web :sudo ufw allow 'Nginx Full'
Ce profil ouvre à la fois le port 80 (HTTP) et le port 443 (HTTPS). Pour un serveur web Apache, utilisez `'Apache Full'`. Pour une base de données MySQL qui ne doit être accessible qu'en interne :
sudo ufw allow from 192.168.1.0/24 to any port 3306
Cela limite l'accès au sous-réseau local. N'ouvrez jamais des ports pour tout le monde si le service n'est utilisé qu'en interne.
6. Consultez les profils d'application disponibles
UFW contient des profils prédéfinis pour les services courants. Consultez-les avec :sudo ufw app list
Affichez les détails d'un profil spécifique avec :
sudo ufw app info 'Nginx Full'
Les profils se trouvent dans `/etc/ufw/applications.d/` et contiennent les ports et protocoles utilisés par le service. Cela vous évite de devoir mémoriser les numéros de ports manuellement.
7. Supprimez les règles incorrectes
Si vous avez ajouté une mauvaise règle, supprimez-la directement. Utilisez d'abord une liste numérotée :sudo ufw status numbered
Supprimez une règle par numéro :
sudo ufw delete 3
Supprimez une règle par spécification :
sudo ufw delete allow 8080
Après la suppression, vérifiez toujours le statut pour confirmer que la règle a disparu.
8. Activez la journalisation pour la surveillance
Activez la journalisation pour enregistrer les événements du pare-feu :sudo ufw logging on
Par défaut, UFW journalise dans `/var/log/ufw.log` avec le niveau « low » (paquets bloqués). Pour plus de détails :
sudo ufw logging medium
Les niveaux sont : off, low, medium, high, full. Medium journalise également les connexions autorisées, ce qui est utile pour le débogage mais utilise plus d'espace disque.
Vérification
Vérifiez que UFW est actif et contient les bonnes règles :sudo ufw status verbose
La sortie doit afficher « Status: active » et les règles que vous avez ajoutées. Testez ensuite si SSH fonctionne toujours dans une nouvelle session de terminal. Essayez également d'atteindre un port non autorisé depuis une autre machine :
nc -zv votre-ip-serveur 8080
Cela devrait échouer avec « Connection refused » ou un délai d'attente. Si la connexion réussit, le port est ouvert involontairement et vous devez ajuster les règles.
Problèmes fréquents
Je suis enfermé dehors de mon serveur après avoir activé UFW. Démarrez le serveur via la console de votre fournisseur d'hébergement (accès hors bande). Connectez-vous et exécutez `sudo ufw allow OpenSSH`, suivi de `sudo ufw reload`. Si SSH tourne sur un autre port, utilisez `sudo ufw allowMon serveur web n'est pas accessible malgré une règle allow. Vérifiez si le service écoute réellement : `sudo ss -tlnp | grep :80`. Vérifiez également si vous avez ouvert le bon port : `ufw status` n'affiche que les règles actives. Certains profils comme `'Nginx Full'` ouvrent plusieurs ports — vérifiez avec `sudo ufw app info 'Nginx Full'`.
UFW bloque le trafic sortant après un redémarrage. C'est inhabituel — la politique par défaut pour le trafic sortant est « allow ». Vérifiez avec `sudo ufw status verbose` si la politique par défaut sortante est sur « allow ». Si elle est sur « deny », remettez-la avec `sudo ufw default allow outgoing`.
UFW jette les bases de la configuration de pare-feu basée sur l'hôte, mais s'arrête là où commence la configuration réseau complexe. Pour le NAT, la redirection de ports ou le filtrage avancé, vous devez recourir à iptables ou nftables — la page de manuel d'UFW y fait d'ailleurs référence. Consultez `man ufw` pour la syntaxe et les options complètes, et gardez à l'esprit que la documentation d'Ubuntu Server pour ce sujet a été mise à jour pour la dernière fois le 26 juin 2026, ce qui signifie qu'UFW est activement maintenu au sein de la communauté.