Pare-feu cloud, règles de trafic VPS appliquées gratuitement

Oui, le pare-feu cloud est gratuit pour tous les serveurs. Un pare-feu peut contenir jusqu'à 50 règles et s'appliquer à jusqu'à 10 serveurs. Pour parer aussi aux attaques par trafic massif, ajoutez la protection DDoS à $1.68 par mois et par serveur, renouvelée avec le prix du serveur. Un serveur avec seulement le pare-feu garde son prix habituel.

Un pare-feu cloud autorise ou bloque le trafic selon des règles, au niveau du réseau, hors du serveur. Les règles se définissent par sens, protocole, port et plage d'adresses IP, et seul le trafic correspondant atteint le serveur. Indépendant du système, il fonctionne de la même façon sur les serveurs Linux et FreeBSD.

Jusqu'à 50 règles par pare-feu. Pour un serveur web, trois règles pour les ports 80, 443 et 22 suffisent généralement, et il reste largement de la place pour les ports d'outils d'administration ou de base de données. Pour des groupes de serveurs aux rôles différents, créez des pare-feu séparés pour une gestion plus simple. Chaque règle définit sens, protocole, port et plage d'IP.

Oui, un même pare-feu s'applique à jusqu'à 10 serveurs. Modifiez une règle et elle s'applique à tous les serveurs liés : plus besoin de répéter la même configuration sur chaque serveur. En créant des pare-feu par rôle, comme un groupe de serveurs web et un groupe de bases de données, il suffit de choisir le bon pour chaque nouveau serveur. La gestion centralisée des règles réduit les erreurs.

Le pare-feu cloud suffit à n'ouvrir que les ports nécessaires, mais un pare-feu interne comme ufw ou firewalld ajoute une protection supplémentaire. En alignant les règles des deux sur les mêmes principes, une erreur d'un côté est rattrapée par l'autre. Des exemples de configuration figurent dans le guide du pare-feu.

Nous recommandons, dans les règles de trafic entrant, de n'autoriser le port 22 que depuis votre adresse IP de connexion. Combiné à la connexion par clé SSH, les tentatives de deviner le mot de passe n'atteignent pas le serveur. Si vous vous connectez depuis plusieurs lieux, ajoutez chacune de ces adresses aux règles. La base : ports web ouverts à tous, ports d'administration ouverts à votre seule adresse.

Le pare-feu ne laisse passer que le trafic conforme à vos règles ; la protection DDoS filtre les attaques par trafic massif qui déferlent sur les ports autorisés. Combinés, vous n'ouvrez que les ports nécessaires tout en parant aux attaques qui les visent. La protection DDoS coûte $1.68 par mois et par serveur.

Le port 25, utilisé pour l'envoi d'e-mails, est bloqué sur tous les serveurs pour lutter contre le spam. Envoyez les e-mails de notification de votre site via les ports 587 ou 465 d'un service d'envoi externe, en autorisant ces ports dans les règles de trafic sortant du pare-feu. La réception d'e-mails et les autres ports suivent vos règles.

Non, les règles du pare-feu cloud sont hors du serveur et restent en place même après une réinstallation du système. Juste après la réinstallation, avant même la fin de la configuration interne, seuls les ports nécessaires sont ouverts : le nouveau serveur reste protégé par les mêmes règles pendant sa préparation. Pour changer de pare-feu ou modifier des règles, inutile de réinstaller : tout s'applique aussitôt au service en production.

Chaque serveur reçoit une adresse IPv4 et une adresse IPv6. En incluant les plages IPv4 et IPv6 dans vos règles, le trafic arrivant par les deux adresses est géré selon les mêmes principes. Activez aussi la configuration IPv6 du pare-feu interne du serveur. Gérées selon les mêmes principes, les deux adresses ne laissent aucune faille.