TP : Diagnostic réseau, SSH par clé et pare-feu

Ce que vous allez apprendre dans ce TP

• Diagnostiquer couche par couche
• Configurer SSH par clé et le durcir
• Filtrer avec un pare-feu

Introduction #

Ce que vous allez apprendre dans cette section

• Diagnostiquer couche par couche
• Configurer SSH par clé et le durcir
• Filtrer avec un pare-feu

Contexte. Un serveur fraîchement installé accepte les mots de passe en SSH et n'a pas de pare-feu. Un développeur se plaint aussi qu'un service « répond sur le serveur mais pas depuis son poste ».

Prérequis : une VM Ubuntu 24.04 jetable avec accès console (en cas d'erreur de configuration SSH ou pare-feu)  ·  Durée estimée : 45 min

Un accès SSH par clé uniquement, un pare-feu en refus par défaut et un service exposé correctement.

Mise en place #

Étapes guidées, avec leur correction.

1. 1. Faire l'inventaire réseau

   Pourquoi ? Connaître adresses, routes, DNS et ports ouverts est le préalable à tout diagnostic.

   Relevez les interfaces et adresses, la passerelle par défaut, les serveurs DNS et les ports en écoute.

2. 2. Diagnostiquer la résolution et les connexions

   Pourquoi ? On remonte les couches : DNS, port, puis application.

   Résolvez un nom avec dig et getent, testez un port avec nc, inspectez une requête HTTPS avec curl -v, et capturez le trafic DNS pendant une résolution.

3. 3. Résoudre « ça marche en local seulement »

   Pourquoi ? Un service écoutant sur 127.0.0.1 est invisible depuis le réseau : ss le montre immédiatement.

   Lancez un serveur HTTP sur 127.0.0.1:8000, observez l'adresse d'écoute avec ss, testez depuis l'adresse IP de la VM, puis relancez-le sur 0.0.0.0.

4. 4. Passer SSH en authentification par clé

   Pourquoi ? Une clé ed25519 protégée est bien plus sûre qu'un mot de passe, et un fichier de configuration évite de retaper les options.

   Générez une clé, installez-la pour votre compte (connexion vers localhost pour le TP), déclarez un hôte tp dans ~/.ssh/config et connectez-vous.

5. 5. Durcir le serveur SSH

   Pourquoi ? Interdire root et les mots de passe neutralise les attaques par force brute.

   Créez un fichier dans /etc/ssh/sshd_config.d/ qui interdit root et les mots de passe, validez avec sshd -t, rechargez et vérifiez qu'une connexion sans clé est refusée. Gardez votre session ouverte.

6. 6. Activer le pare-feu

   Pourquoi ? Tout refuser par défaut, puis n'ouvrir que le nécessaire, aux seules sources nécessaires.

   Avec ufw : refus entrant par défaut, SSH autorisé, port 8000 autorisé seulement depuis le réseau privé de la VM. Activez, puis regardez les règles nftables générées.

7. 7. Créer un tunnel SSH

   Pourquoi ? Un tunnel donne accès à un service interne sans ouvrir son port dans le pare-feu.

   Redirigez le port local 9000 vers le port 8000 du serveur à travers SSH, testez avec curl, puis arrêtez le tunnel et le serveur HTTP.

Niveau de difficulté : ●●○○○ (2/5)