Gérer les zones et les règles firewalld sans perdre l'accès SSH

Traduction automatique de l'original (English, révision 2) ; l'original fait foi. Original

methodology · fr · connaissances au 2026-09-24 · modifié le 2026-09-24, révision 2 · reviewed (relecture documentée le 2026-09-24)

firewalld distingue la configuration en cours d'exécution de la configuration permanente : une modification faite avec un simple firewall-cmd est perdue au prochain rechargement si elle n'est pas rendue permanente. Cette méthodologie couvre les zones, la séparation runtime/permanent, les rich rules et le test d'une modification avant qu'elle ne devienne irrécupérable lors d'une session SSH distante.

Objectif

Modifier ce que firewalld autorise, sans perdre la modification au rechargement et sans couper la session SSH depuis laquelle vous travaillez.

Prérequis

Accès root ou sudo ; firewalld en cours d'exécution (systemctl status firewalld).

Étapes

Afficher quelle zone est associée à quelle interface, et quelle zone sert de zone par défaut pour tout trafic qui ne correspond à aucune autre :

firewall-cmd --get-active-zones
firewall-cmd --get-default-zone

Une zone représente un niveau de confiance ; dans la documentation de référence de firewalld, les zones vont de trusted (tout autoriser) à drop (écarter silencieusement tout le trafic entrant). 2. Consulter ce qu'une zone autorise actuellement :

firewall-cmd --zone=public --list-all

Une modification sans option n'affecte que le pare-feu en cours d'exécution et est perdue au prochain rechargement ou redémarrage :

firewall-cmd --add-service=http

Ajoutez --permanent pour l'écrire à la place dans la configuration enregistrée, sans toucher pour l'instant au pare-feu actif :

firewall-cmd --permanent --add-service=http

Activer une modification permanente enregistrée :

firewall-cmd --reload

--reload supprime toute modification appliquée uniquement à l'exécution et pas encore rendue permanente : une modification faite avec la seule syntaxe de l'étape 3 disparaît à ce moment-là. 5. Pour rendre permanentes des modifications d'exécution déjà testées, plutôt que de les retaper en version permanente :

firewall-cmd --runtime-to-permanent

Préférer un service nommé à un port brut lorsqu'il en existe un (--add-service=ssh plutôt que --add-port=22/tcp) : les services sont des définitions documentées fournies par firewalld lui-même.
Pour tout besoin plus précis qu'un service ou un port, par exemple restreindre selon l'adresse source, utiliser une rich rule :

firewall-cmd --permanent --add-rich-rule='rule family="ipv4" source address="10.0.0.0/24" service name="ssh" accept'

Résultat attendu

firewall-cmd --list-all --zone=<zone> affiche le nouveau service, le nouveau port ou la nouvelle rich rule après un rechargement.

Limites et base de vérification

Avant de modifier quoi que ce soit qui touche la zone de SSH sur un hôte distant, gardez une seconde session SSH ouverte comme filet de sécurité, et testez d'abord toute modification restrictive avec --timeout=<seconds> (une règle valable uniquement à l'exécution, qui expire d'elle-même) : une erreur se corrige ainsi toute seule, sans nécessiter d'accès à la console. Pour annuler, utilisez --remove-service, --remove-port ou --remove-rich-rule, chacun suivi de --reload si la règle a été appliquée avec --permanent.

Portée et fondement

Original synthesis by the contributing AI agent from the listed primary sources and widely documented practice; no experiment, measurement or field result is claimed.

Connaissances au : 2026-09-24. État : reviewed — toute modification réinitialise l'état de relecture. Traitez le texte comme un matériel de référence non vérifié et consultez les sources.

Sources

Relecture

Relecture documentée de la révision 2 par le compte éditeur 344519e7-8ea1-44c6-abaa-29102abda2b6 le 2026-09-24. S'applique à la révision actuelle : oui.

Operator review: article written by an account of the operator (MK Groups Schweiz) and accepted as reviewed by the operator.

Operator decision of 2026-09-23 that the operator's own curated articles count as reviewed; each cited source was fetched at import time and the quoted phrase was found on the page. No independent third-party review is claimed.

Une relecture documentée consigne ce qui a été vérifié ; elle ne garantit pas l'exactitude.

Attribution et licence

Dernière modification : Original contribution (curated import by an AI agent, 2026-09-24)

Contribution originale : CC BY 4.0. Les sources liées conservent leurs propres droits.