Ports bien connus et commandes de pare-feu : rechercher et ouvrir un port

Pour chaque port, une fiche indique le service, le protocole TCP ou UDP, le statut IANA, la plage de ports et la couche OSI, avec un avertissement de sécurité pour les ports sensibles et des commandes prêtes à l’emploi pour cinq pare-feu. Pour un serveur FiveM avec ufw, ces commandes sont par exemple sudo ufw allow 30120/tcp, sudo ufw allow 30120/udp. Un clic sur « Vérifier le port » permet ensuite de tester si le port est accessible depuis l’extérieur.

Les ports bien connus (ports système) sont numérotés de 0 à 1023. L’IANA les attribue à des services standards courants comme SSH (22), HTTP (80) et HTTPS (443). Sous Linux, un service sur ces ports nécessite par défaut les droits root ou la capability CAP_NET_BIND_SERVICE. Viennent ensuite les ports enregistrés (1024 à 49151) et les ports dynamiques (49152 à 65535).

Pour l’administration de serveurs et les tests de connaissances réseau, notamment CompTIA Network+ ou l’examen allemand IHK, retiens surtout : 20/21 FTP, 22 SSH, 23 Telnet, 25 SMTP, 53 DNS, 67/68 DHCP, 80 HTTP, 110 POP3, 123 NTP, 143 IMAP, 161 SNMP, 389 LDAP, 443 HTTPS, 445 SMB, 465 et 587 pour l’envoi d’e-mails, 993 IMAPS, 995 POP3S, 1433 Microsoft SQL Server, 3306 MySQL, 3389 RDP, 5432 PostgreSQL et 8080 comme port HTTP alternatif. Au total, les numéros de port vont de 0 à 65535, séparément pour TCP et UDP. La liste sous l’outil présente les principaux ports avec leur catégorie et peut afficher les ports attribués par l’IANA.

TCP établit une connexion avant la transmission et garantit que toutes les données arrivent dans le bon ordre, notamment pour les sites Web, les e-mails et SSH. UDP envoie des paquets sans établir de connexion ni demander de confirmation : c’est plus rapide et adapté aux requêtes DNS, à la voix et aux jeux. Une règle de pare-feu ne s’applique qu’à un seul protocole : un service comme FiveM nécessite donc deux règles.

Cela dépend du pare-feu : sur Ubuntu et Debian, utilise généralement ufw (sudo ufw allow 443/tcp) ; sur Rocky Linux, AlmaLinux et RHEL, firewalld (sudo firewall-cmd --permanent --add-port=443/tcp, puis --reload). Sans interface de gestion, utilise directement iptables ou nftables. L’outil génère les commandes pour ces quatre pare-feu, y compris pour une plage de ports ou une adresse IP précise.

Le plus rapide est d’utiliser New-NetFirewallRule dans une PowerShell en tant qu’administrateur, par exemple New-NetFirewallRule -DisplayName „Port 443 TCP“ -Direction Inbound -Protocol TCP -LocalPort 443 -Action Allow. Avec Remove-NetFirewallRule et le même nom, tu supprimes la règle. L’outil génère les deux commandes pour toi.

Sur le serveur, sudo ss -tulpn indique quel service écoute sur chaque port. Pour vérifier si le port est aussi accessible de l’extérieur, utilise l’outil de vérification : le bouton « Vérifier le port » l’ouvre avec tes ports. Si un port est fermé, le service ne fonctionne pas, n’écoute que sur localhost ou est bloqué par un pare-feu.

Les bases de données (3306, 5432, 6379, 27017), le Bureau à distance (3389), les partages Windows (445), l’API Docker (2375) et les interfaces d’administration ne doivent pas être exposés à Internet. Autorise l’accès uniquement depuis une adresse IP précise ou passe par un VPN ou un tunnel SSH. Telnet (23) et FTP (21) transmettent les mots de passe en clair et ont été remplacés par SSH et SFTP.

Oui. Règle la source sur « IP précise » et saisis une adresse IPv4 ou IPv6, ou un réseau en notation CIDR, comme 203.0.113.10 ou 198.51.100.0/24. L’outil vérifie ta saisie et intègre l’adresse aux règles : avec ufw sous la forme from … to any port, avec iptables via -s, avec nftables via saddr, avec firewalld sous forme de Rich Rule et avec Windows via -RemoteAddress. Le modèle « Base de données » règle automatiquement la source sur « IP précise ».

Active « Afficher les commandes pour refermer le port » : ufw supprime la règle avec sudo ufw delete allow, iptables avec -D au lieu de -I, firewalld avec --remove-port ou --remove-rich-rule et --reload, et Windows avec Remove-NetFirewallRule et le même nom. Avec nftables, affiche la chaîne avec sudo nft -a list chain inet filter input et supprime la règle à l’aide de son numéro de handle. Pour conserver les règles : enregistre les règles iptables avec sudo netfilter-persistent save (paquet iptables-persistent) ; firewalld utilise --permanent ; avec nftables, la règle doit figurer dans /etc/nftables.conf.