Définir le paramètre noyau pour élargir la plage de ports locaux
Définit la plage de ports source éphémères à 32768 65535 via net.ipv4.ip_local_port_range, en éloignant les ports sortants des ports privilégiés et de services.
Vérifié sur l’état résolu en cours d’exécution (ex. sshd -T, sysctl, systemctl show), attrape les drop-ins et Include qu’une lecture de fichier raterait. Réserve : runtime ≠ persistance ; une valeur correcte maintenant peut ne pas survivre à un redémarrage.
Pavois vérifie la configuration effective, l’état résolu et réellement appliqué, pas un fichier. Les scanners basés fichier (OVAL/SCAP, Lynis) ratent les Include, drop-ins et défauts runtime ; ce check voit ce qui est réellement en vigueur.
Un mapping est une référence croisée vers l’endroit où chaque norme situe cette exigence, ancrée et recoupée, pas une affirmation d’équivalence. Un check réussi est une preuve vers ces références, comment le lire.
Pourquoi cette règle
Ce réglage définit la plage de ports éphémères utilisée par TCP et UDP pour choisir le port local (source) des connexions sortantes ; le premier nombre est le port le plus bas, le second le plus haut. Une plage commençant à 32768 maintient les ports éphémères bien à l'écart des ports privilégiés (<1024) et des ports de services enregistrés, évitant les collisions avec les services en écoute et offrant un réservoir de ports source plus large et moins prévisible.
Ce que vérifie Pavois
Pavois lit la valeur effective via kernel_parameter('net.ipv4.ip_local_port_range'), qui renvoie la plage en cours après fusion de tous les drop-ins sysctl.conf / /etc/sysctl.d/ et des surcharges runtime. Un examen de /etc/sysctl.conf pourrait rapporter une plage qu'un drop-in ultérieur ou un sysctl -w a modifiée.
describe kernel_parameter('net.ipv4.ip_local_port_range') do
its('value') { should match(/32768\s+65535/) }
endComment vérifier qu’elle est appliquée
Exécuter sysctl net.ipv4.ip_local_port_range et attendre net.ipv4.ip_local_port_range = 32768 65535 (les deux valeurs sont séparées par une tabulation dans la sortie réelle).
Inspecter et investiguer
Confirmer la plage avec sysctl net.ipv4.ip_local_port_range. Pour voir les ports éphémères réellement utilisés, lister les sockets actives avec ss -tan et observer les ports source locaux des connexions sortantes.
Remédiation
Le plan de durcissement de Pavois positionne net.ipv4.ip_local_port_range = 32768 65535 via la ressource sysctl, en le persistant dans un drop-in géré par Pavois et en l'appliquant à chaud (sans redémarrage). À exécuter avec pavois harden apply.
Pavois applique ceci avec son propre moteur harden, le plan ci-dessous, pas un script shell :
| key | net.ipv4.ip_local_port_range |
|---|---|
| resource | sysctl |
| value | 32768 65535 |
pavois harden plan localoù la cible est local, un alias SSH user@hôte, ou un conteneur , Docs
Impact & précautions
Risque faible. Précaution : un hôte ouvrant un très grand nombre de connexions sortantes simultanées (proxy, répartiteur de charge chargé) tire parti d'une plage large ; cette fenêtre 32768:65535 offre ~32k ports éphémères, généralement suffisant mais plus étroit que certains réglages optimisés (ex. 1024:65535). Vérifier aussi qu'aucun service n'est configuré pour écouter sur un port fixe dans cette plage, sous peine de collision avec une allocation éphémère. Modifier la plage n'interrompt pas les connexions existantes.
Mapping des normes
| Norme | Référence | Type | Version | Confiance |
|---|---|---|---|---|
| ANSSI BP-028 | R12 | direct | 2.0 | haute |
Chaque référence est une référence croisée ancrée dans le benchmark amont et recoupée avec le SCAP Security Guide et ansible-lockdown, pas une affirmation d’équivalence. Direct = une exigence prescriptive au niveau de la ligne ; support = une famille de contrôle abstraite (NIST) vers laquelle le check apporte une preuve. Comment lire un mapping.