Sécuriser son VPS : pare-feu UFW et fail2ban

Procédure pas à pas

1. 1

   Mise à jour du système VPS

   Avant toute modification, il est impératif de mettre à jour la liste des paquets de votre système pour garantir l'installation des dernières versions de sécurité.

   • Tapez la commande : apt update && apt upgrade -y
   • Redémarrez le serveur si des mises à jour du noyau ont été effectuées.
2. 2

   Installation et configuration initiale d'UFW

   UFW est préinstallé sur Ubuntu, mais souvent désactivé. Sur Debian, vous devrez peut-être l'installer manuellement. L'objectif est de définir une politique restrictive par défaut.

   • Installation : apt install ufw -y
   • Refuser tout le trafic entrant : ufw default deny incoming
   • Autoriser tout le trafic sortant : ufw default allow outgoing
3. 3

   Ouverture des ports et activation du pare-feu

   Attention : Ne pas autoriser le port SSH avant d'activer UFW vous couperait l'accès au serveur ! Vous devez ouvrir les ports nécessaires à vos activités.

   • Autoriser le SSH : ufw allow 22/tcp (ou votre port personnalisé)
   • Autoriser le Web : ufw allow 80/tcp et ufw allow 443/tcp
   • Activer le pare-feu : ufw enable
   • Vérifier le statut : ufw status numbered

   Astuce — Si vous avez acheté un VPS Windows Plesk, la gestion se fait directement via l'interface Plesk et non via UFW.

4. 4

   Installation de Fail2Ban

   Fail2Ban analyse les fichiers logs de votre serveur et bannit temporairement les adresses IP présentant un comportement suspect (plusieurs échecs de connexion).

   • Installation : apt install fail2ban -y
   • Copier le fichier de configuration : cp /etc/fail2ban/jail.conf /etc/fail2ban/jail.local
5. 5

   Configuration du bannissement SSH

   Modifiez le fichier jail.local avec l'éditeur Nano pour définir vos règles de bannissement. Nous recommandons un bannissement de 10 minutes après 3 tentatives infructueuses.

   • Ouvrir le fichier : nano /etc/fail2ban/jail.local
   • Trouvez la section [sshd] et vérifiez que 'enabled = true' est présent.
   • Réglez 'bantime = 10m' et 'maxretry = 3'.
   • Redémarrez le service : systemctl restart fail2ban
6. 6

   Vérification finale du statut

   Une fois la configuration terminée, assurez-vous que les services sont bien actifs et qu'ils se lanceront automatiquement au prochain redémarrage.

   • Commande de test : systemctl status ufw fail2ban
   • Vérifier les IP bannies : fail2ban-client status sshd

   Astuce — Cmediahost accepte les paiements par Mobile Money pour le renouvellement de votre VPS, assurez-vous de toujours garder votre service actif pour éviter toute coupure de sécurité.