Public Cloud OVHcloud - Configuration Firewall IP et Windows Server
BMPCreated with Sketch.BMPZIPCreated with Sketch.ZIPXLSCreated with Sketch.XLSTXTCreated with Sketch.TXTPPTCreated with Sketch.PPTPNGCreated with Sketch.PNGPDFCreated with Sketch.PDFJPGCreated with Sketch.JPGGIFCreated with Sketch.GIFDOCCreated with Sketch.DOC Error Created with Sketch.
Frage

Configuration Firewall IP et Windows Server

C
Von
ClementG25
Erstellungsdatum 2023-10-31 07:42:48 (edited on 2024-09-04 11:34:01) in Public Cloud OVHcloud

Bonjour à toutes et à tous,

J'utilise des instances "public cloud" pour réaliser une infrastructure d'hébergement web sous Windows Server 2019 et 2022. Afin de renforcer la sécurité de mes serveurs, je souhaiterais mettre en place les firewalls d'ip OVH.

Je rencontre cependant un souci : Quand j'active le parefeu OVH sur mon frontal web par exemple qui ne nécessite en théorie que le port 443 (HTTPS) et éventuellement le port 80 (HTTP), ce dernier est bien accessible sur les ports configurés (j'accède parfaitement aux sites hébergés dessus), mais quand je me connecte en remote desktop dessus, le serveur lui-même "n'a plus accès" à Internet... Si je lance Chrome, ou même une commande ping depuis le serveur, impossible de joindre qui que ce soit ! Ce qui n'est pas le cas, si je réalise la même opération en redémarrant le serveur en mode "rescue". Dès lors que je désactive le parefeu ovh, l'accès internet depuis le serveur fonctionne de nouveau parfaitement !

Ma configuration de parefeu est la suivante :

0 - AUTORISER - TCP - TOUS - established
1 - AUTORISER - TCP - TOUS - Port destination : 80
2 - AUTORISER - TCP - TOUS - Port destination : 443
18 - AUTORISER - ICMP - TOUS
19 - REFUSER - IPv4 - TOUS

Je ne comprend pas trop ce comportement car le parefeu n'est censé filtrer que le traffic entrant ?!

Dans l'espoir de trouver de l'aide ici,

Merci à tous d'avance !
Positive Bewertungen (0)
1178 Ansichten
9 Antworten ( Latest reply on 2023-11-06 10:26:56 Von
^FabL
)
J

Bonjour,

Je dirais qu'il manque la partie DNS éventuellement.

Cordialement, janus57
Hilfreich (0)
C

Peux-tu me détailler un peu plus stp ? :)

Il manquerait une règle concernant les DNS dans les règles du parefeu ?
Hilfreich (0)

autoriser UDP port source 53
Hilfreich (0)
J

Bonjour,

au passage le firewall OVH ne protège que en entrée/sortie du réseau OVH.

Cordialement, janus57
Hilfreich (0)
C

Je reconnais ne pas être un grand spécialiste dans ce domaine.
Je souhaiterais en fait simplement sécuriser un peu l'exposition de mes serveurs, en ne laissant ouvert uniquement les ports nécessaires au bon fonctionnement de l'infrastructure (hébergement web). Je préfère que les requêtes "non souhaitées" soit bloquées en amont par un pare feu, plutôt que par le pare feu du serveur, est-ce pertinent ?
Je pensais que le "Firewall IP" d'ovh ne bloquait que les requêtes entrantes, ce n'est pas le cas ? C'est pour cela que j'ai du mal a comprendre mon problème, mais si il bloque également le traffic sortant, cela semble plus logique effectivement...
Hilfreich (0)
J

Bonjour,


Je préfère que les requêtes "non souhaitées" soit bloquées en amont par un pare feu, plutôt que par le pare feu du serveur, est-ce pertinent ?

Oui et non.
Cela dépend de ce que vous entendez par "requêtes non souhaitées".


Je pensais que le "Firewall IP" d'ovh ne bloquait que les requêtes entrantes, ce n'est pas le cas ?

C'est le cas et donc cela bloque le retour de la réponse DNS qui est de l'UDP.
Là dans vos règles vous autorisez seulement les requêtes TCP émises par votre serveur à de nouveaux rentrer (ligne 0).
Sauf que ça en UDP cela n'existe pas.

Cordialement, janus57
Hilfreich (0)
C


Cela dépend de ce que vous entendez par "requêtes non souhaitées".


Par exemple les tentatives de connexion via SSH, SFTP ou MYSQL que je n'utilise pas sur certains de mes serveurs, je souhaiterais purement et simplement les bloquer si elle n'ont pas lieu d'être.



C'est le cas et donc cela bloque le retour de la réponse DNS qui est de l'UDP.

En ajoutant la regle d'autorisation du port source 53 en UDP, le serveur semble effectivement parvenir à atteindre les hôtes exterieures :) Je laisse comme ça afin de vérifier que tout est ok, et vous tiens informé.

Merci beaucoup !
Hilfreich (0)
J

Bonjour,

Perso je mettrai tout les Windows derrière un firewall centre et utiliserait le vrack.

Perso je ne laisserai pas un serveur Windows en direct sur internet.

Cordialement, janus57
Hilfreich (0)

Bonjour à tous,

@ClementG25, si un des différents retours répond à votre demande, je vous invite à marquer ce dernier comme solution.

Dans le cas contraire, n’hésitez pas à ajouter des informations afin qu’une nouvelle réponse vous soit apportée par la communauté.

^FabL
Hilfreich (0)

Related questions

An Diskussion teilnehmen