Comment tester votre configuration de pare-feu avec Nmap sous Linux

• introduction
• Conditions préalables
• Installation
• Usage
• Conclusion

introduction

Nmap est un scanner de sécurité réseau gratuit et très populaire. Il est facile à utiliser et très puissant. Cet article explique l'installation et l'utilisation de Nmap pour tester les configurations de pare-feu. Même si vous pouvez vérifier quels ports sont ouverts via votre pare-feu, le tester en scannant peut être très utile. Par exemple, si vous avez une règle de pare-feu qui désactive l'accès extérieur à votre service MariaDB, Nmap peut vous aider à vous assurer que le pare-feu fonctionne comme prévu.

REMARQUE: vous ne devez jamais exécuter Nmap sur des adresses IP qui ne vous appartiennent pas, sauf si vous en avez l'autorisation explicite, conformément à la politique d'utilisation acceptable de Vultr.com («AUP»).

Conditions préalables

• Un VPS Vultr exécutant une distribution Linux
• Accès root à votre VPS, via SSH ou console.

Installation

Installez Nmap sur le VPS que vous souhaitez tester.

• Distributions Debian et Debian: apt install -y nmap
• CentOS et RHEL: yum install -y nmap

Usage

Tout d'abord, vous devez connaître l'adresse IP de votre VPS. Vous devez utiliser votre adresse IP publique, car l'objectif est de tester la configuration du pare-feu public. Cet article utilisera 203.0.113.1comme exemple. Assurez-vous de le remplacer par votre propre adresse IP.

Test d'un seul port TCP.

La commande pour tester un seul port est la suivante:

nmap -p 80 203.0.113.1

Dans cet exemple, 80est le numéro de port TCP que vous souhaitez tester.

Exemple de sortie:

root@debian1:~# nmap -p 80 203.0.113.1

Starting Nmap 7.40 at 2018-10-19 00:00 EEST
Nmap scan report for 203.0.113.1
Host is up (0.000097s latency).
PORT   STATE SERVICE
80/tcp open  http

Nmap done: 1 IP address (1 host up) scanned in 0.36 seconds

Test de tous les ports TCP.

La commande suivante testera tous les ports TCP ( -p-) et enregistrera la sortie dans nmap.out.

nmap -oN nmap.out -p- 203.0.113.1 

Test de tous les ports TCP et détection de la version.

La commande suivante testera tous les ports TCP ( -p-), tentera de détecter les services et les versions qui s'exécutent ( -sV) et enregistrera la sortie dans nmap.out.

nmap -sV -oN nmap.out -p- 203.0.113.1 

Tester tous les ports TCP et exécuter des contrôles de sécurité de base.

La commande suivante testera tous les ports TCP ( -p-), exécutera des vérifications de sécurité de base sur les ports ouverts ( -sC) et enregistrera la sortie dans nmap.out.

nmap -sC -oN nmap.out -p- 203.0.113.1 

Ces contrôles de sécurité sont particulièrement utiles pour détecter les vulnérabilités et les erreurs de configuration courantes.

Autres options utiles

-v, -vv, -vvvConduire à de plus en plus bavard sortie.

-sU est utilisé pour les analyses UDP.

Conclusion

L'exécution de nmap n'est pas toujours nécessaire, mais peut être très utile, en particulier lorsque des configurations réseau complexes et des règles de pare-feu sont en place.