Le pare-feu¶
Le pare-feu du manager iWal vous permet de régler l'accès à votre compte selon l'adresse IP depuis laquelle vous (ou quelqu'un d'autre) vous connectez. Pour chaque adresse ou plage d'adresses, vous décidez par exemple :
- si la connexion au manager est autorisée ;
- si la double authentification est exigée, et par quelle méthode ;
- combien de temps dure la session ;
- si la procédure « mot de passe perdu » est utilisable ;
- quelles modifications de sécurité sont permises (mot de passe, téléphone, pare-feu, clés SSH…) ;
- quelles notifications vous recevez par email (connexion réussie ou échouée, modification de votre compte…).
Le pare-feu se trouve dans la partie Sécurité de votre compte utilisateur, qu'il faut d'abord déverrouiller. Il comporte deux pages : Pare-feu : actions et Pare-feu : notifications.
À lire avant toute modification
Soyez extrêmement vigilant lorsque vous modifiez le pare-feu. Un mauvais réglage peut vous empêcher de vous connecter au manager. Votre seule solution serait alors de contacter le support, et la vérification de votre identité prendra plusieurs jours.
Comment fonctionne le pare-feu¶
Des adresses IP et des plages d'adresses¶
Chaque ligne du pare-feu correspond à une adresse IP ou à une plage d'adresses, notée au format CIDR :
203.0.113.25: une seule adresse IP (équivalent de203.0.113.25/32) ;203.0.113.0/24: les 256 adresses de203.0.113.0à203.0.113.255;0.0.0.0/0: toutes les adresses IP, c'est-à-dire tout le monde.
La ligne 0.0.0.0/0 existe toujours : c'est la plage initiale, qui porte les valeurs par défaut. Elle ne peut pas être supprimée, mais vous pouvez modifier ses règles.
La règle la plus précise l'emporte¶
Lorsque quelqu'un se connecte, le manager cherche, pour chaque règle, la plage la plus réduite qui contient son adresse IP, et applique la valeur définie pour cette plage. Les lignes sont classées de la plus large à la plus précise.
Exemple : une interdiction de connexion sur 0.0.0.0/0 (tout le monde), combinée à une autorisation de connexion sur 203.0.113.0/24, permet uniquement aux adresses de 203.0.113.0 à 203.0.113.255 de se connecter.
Les règles héritées¶
Une plage n'a pas besoin de définir toutes les règles. Une règle non définie sur une plage hérite de la valeur de la plage plus large qui la contient, et en dernier lieu de 0.0.0.0/0.
Lorsque vous définissez une valeur identique à celle de la plage supérieure, elle est tout de même enregistrée : elle « force » cette valeur pour la plage, même si les valeurs par défaut de 0.0.0.0/0 venaient à changer.
L'auto-protection¶
Le pare-feu vous empêche de « scier la branche sur laquelle vous êtes assis ». Pour les trois règles qui pourraient vous couper l'accès immédiatement (Connexion, Connexion "Sécurité" et Gérer le pare-feu), le manager refuse une modification qui reviendrait à vous retirer ce droit depuis l'adresse IP avec laquelle vous êtes connecté :
- vous ne pouvez pas passer ces règles à non sur une plage qui contient votre adresse actuelle, à moins qu'une plage plus précise vous autorise déjà ;
- vous ne pouvez pas supprimer une adresse dont les règles vous protègent.
La marche à suivre est donc toujours la même : ajoutez d'abord une règle qui vous autorise (sur votre adresse ou la plage de votre bureau), puis restreignez la plage plus large.
Le libellé Cette règle vous impacte signale les plages qui contiennent votre adresse IP actuelle.
Adresse IP dynamique
L'auto-protection se base sur votre adresse IP actuelle. Si votre fournisseur d'accès change votre adresse IP (cas fréquent chez les particuliers, et en mobilité), une règle limitée à votre ancienne adresse ne vous protégera plus. Ne limitez la connexion à une adresse que si elle est fixe, et vérifiez-le auprès de votre fournisseur d'accès.
Les actions¶
La page Pare-feu : actions présente un tableau : une ligne par adresse ou plage, et deux colonnes de règles.
Avant et lors de la connexion au manager¶
| Règle | Valeurs possibles | Par défaut | Rôle |
|---|---|---|---|
| Mot de passe perdu | mail, non | Autoriser la procédure de mot de passe perdu par email | |
| QrCode perdu | sms, non | autorisée | Autoriser la procédure de désactivation de la double authentification QrCode par SMS |
| Connexion | oui, non | oui | Autoriser la connexion au manager |
| Double authentification | QrCode, sms, non | non | Exiger un code de double authentification à la connexion. Fortement conseillé sur les larges plages d'adresses |
| Durée de la session | 15, 30, 45, 60, 120 ou 180 minutes | 60 minutes | Durée d'inactivité avant de devoir se reconnecter. Une valeur faible est conseillée sur les larges plages d'adresses |
| Priorité double connexion | Toutes, Première, Dernière | Toutes | Comportement en cas de sessions ouvertes depuis plusieurs adresses IP (voir Se connecter) |
Dans la section "Sécurité"¶
| Règle | Valeurs possibles | Par défaut | Rôle |
|---|---|---|---|
| Connexion "Sécurité" | oui, non | oui | Autoriser le déverrouillage de la partie Sécurité |
| Durée du jeton de "Sécurité" | 5, 10 ou 15 minutes | 5 minutes | Durée du déverrouillage après la dernière action dans la partie Sécurité |
| Gérer le pare-feu | oui, non | oui | Autoriser la modification du pare-feu. Limitez au maximum les postes qui peuvent le modifier |
| Gérer les clés SSH | oui, non | oui | Autoriser l'ajout et le retrait de clés SSH |
| Modifier le mot de passe | oui, non | oui | Autoriser le changement de mot de passe |
| Modifier le numéro de téléphone | oui, non | oui | Autoriser le changement de numéro (qui désactive la double authentification par SMS) |
| Gérer double authentification QrCode | oui, non | oui | Autoriser la création, l'activation, la désactivation et le renouvellement du QrCode |
| Gérer double authentification SMS | oui, non | oui | Autoriser l'activation et la désactivation de la double authentification par SMS |
Survolez l'icône d'aide à côté d'une règle pour afficher sa description.
Ajouter une adresse IP¶
- Sur la page Pare-feu : actions, cliquez sur Ajouter une adresse IP.
- Dans le champ Adresse, saisissez une adresse (
203.0.113.25) ou une plage au format CIDR (203.0.113.0/24). La fenêtre vous rappelle votre adresse IP actuelle. - Cliquez sur Valider.
La nouvelle ligne apparaît. Tant que vous n'y définissez aucune règle, elle hérite de toutes les valeurs de la plage supérieure.
Adresses acceptées
- Adresses IPv4 uniquement.
- Masque compris entre
/16et/32. - Les adresses de réseaux privés (
10.x.x.x,172.16.x.xà172.31.x.x,192.168.x.x) sont refusées : indiquez l'adresse IP publique de votre connexion, celle que voit le manager.
Définir ou modifier une règle¶
- Dans la ligne de l'adresse concernée, cliquez sur la valeur de la règle.
- Cliquez sur Définir la règle (règle héritée) ou Modifier la règle (règle déjà définie).
- La fenêtre rappelle la description de la règle, sa valeur actuelle et la Valeur de la règle de niveau supérieure. Choisissez la Nouvelle valeur.
- Cliquez sur Valider ces informations.
Pour revenir à la valeur héritée, cliquez sur la valeur puis sur Supprimer la règle.
Les couleurs des boutons ont un sens :
- gris : la règle n'est pas définie sur cette plage, elle hérite de la plage précédente ;
- rouge : la règle est définie et peut être modifiée sans risque ;
- rouge grisé (non cliquable) : la règle est définie mais ne peut pas être modifiée, car cela irait contre vous (auto-protection) ou parce que la règle Gérer le pare-feu l'interdit depuis votre adresse.
Supprimer une adresse IP¶
Cliquez sur l'adresse dans la première colonne, puis sur Supprimer l'adresse et les règles liées (ou Supprimer l'adresse si aucune règle n'y est définie), et confirmez. Les règles définies pour cette adresse sont effacées : les connexions depuis cette adresse suivent de nouveau les règles de la plage supérieure.
Les notifications¶
La page Pare-feu : notifications fonctionne exactement de la même manière (adresses, héritage, plage la plus précise), mais règle les emails que vous recevez selon l'adresse IP à l'origine de l'action. Chaque notification vaut mail (recevoir un email) ou non. Par défaut, toutes les notifications sont envoyées par email.
| Notification | Envoyée lorsque… |
|---|---|
| Mot de passe perdu : demande, validée, annulée | quelqu'un lance, valide ou annule la procédure de mot de passe perdu (obligatoire) |
| QrCode perdu : demande, validée, annulée | quelqu'un lance, valide ou annule la procédure QrCode perdu (obligatoire) |
| Connexion avec succés | quelqu'un se connecte à votre compte |
| Connexion échouée | quelqu'un échoue à se connecter à votre compte |
| Mot de passe modifié | votre mot de passe est changé |
| Téléphone modifié | votre numéro de téléphone est changé |
| Double authentification SMS : activation, désactivation | la double authentification par SMS est activée ou désactivée |
| Double authentification QrCode : création, renouvellement, suppression, activation, désactivation | le QrCode est modifié, ou la double authentification par QrCode activée ou désactivée |
| Pare-feu : ajout d'une adresse IP, suppression d'une adresse IP | une adresse est ajoutée ou retirée du pare-feu |
| Pare-feu : ajout d'une règle, modification d'une règle, suppression d'une règle | une règle du pare-feu change |
| Clés SSH : ajout, retrait | une clé SSH est ajoutée ou retirée de votre compte |
Les notifications liées aux procédures de mot de passe perdu et de QrCode perdu sont obligatoires : elles ne peuvent pas être désactivées, car elles vous alertent d'une tentative de prise de contrôle de votre compte.
Astuce
Si les notifications de connexion depuis votre bureau vous encombrent, ajoutez l'adresse IP fixe du bureau dans Pare-feu : notifications et passez Connexion avec succés à non pour cette seule adresse. Vous resterez prévenu des connexions depuis toute autre adresse.
Exemples de réglages¶
Exiger la double authentification partout¶
- Activez une méthode de double authentification (QrCode conseillé).
- Dans Pare-feu : actions, sur la ligne
0.0.0.0/0, définissez Double authentification à QrCode.
C'est le réglage que nous recommandons à tous.
Réserver les réglages de sécurité au bureau¶
Votre bureau dispose de l'adresse IP fixe 198.51.100.10.
- Ajoutez l'adresse
198.51.100.10et définissez-y Connexion "Sécurité" et Gérer le pare-feu à oui (valeur forcée). - Sur
0.0.0.0/0, passez Gérer le pare-feu, puis Connexion "Sécurité", à non.
Depuis le bureau, vous gardez la main sur vos réglages ; depuis n'importe quelle autre adresse, la partie Sécurité est inaccessible, même avec votre mot de passe.
Attention
Avec ce réglage, si l'adresse du bureau change ou si vous n'y avez plus accès, vous ne pourrez plus modifier vos réglages de sécurité, ni débloquer la situation vous-même.
Restreindre la connexion à quelques adresses¶
C'est le réglage le plus strict, et le plus risqué. Il ne convient qu'à des adresses IP fixes et bien connues.
- Ajoutez chacune des adresses autorisées et définissez-y Connexion à oui.
- Sur
0.0.0.0/0, passez Connexion à non.
Toute tentative de connexion depuis une autre adresse est refusée avec le message « Connexion au manager interdite depuis cette adresse IP ».