Comment configurer GeoIP pour Bloquer ou autoriser des pays sur vos Serveurs

GeoIP vous permet de décider depuis quels pays le trafic vers les adresses IP publiques de tes services.

C'est un moyen simple de réduire la surface d'attaque lorsque le trafic légitime ne devrait provenir que de régions précises.

👍 Ce que tu obtiens

Contrôle de l'accès à tes services selon le pays d'origine, pour chaque IP publique, avec retour à l'état par défaut en un clic.

À quoi ça sert

• Sécurité: bloque les régions d'où tu ne reçois que des attaques.
• Simplicité: règles par pays, sans maintenir des listes d'IP à la main.
• Conformité: applique des restrictions par pays si votre Client l'exige (par exemple, le RGPD ou des exigences sectorielles).
• Flexibilité: politiques différentes par serveur ou par Réseau selon le cas.

Comment ça fonctionne

GeoIP combine deux couches :

• Couche périmétrique, à la périphérie de l'infrastructure : filtre le trafic par pays. C'est ici que réside la politique globale par défaut (la liste des pays bloqués).
• Couche Réseau de ton Abonnement: contrôle les ports et protocoles de Entrée/Sortie à l'intérieur de ton Réseau. Ne filtre pas par pays.

Depuis GeoIP, pour chaque IP publique tu choisis les pays bloqués: coché équivaut à Refuser et non coché à Autoriser, sauf si le pays était déjà bloqué par la politique globale. Si tu autorises un pays que la politique globale bloque, une exception de type allow; si tu bloques un pays que la politique globale ne bloque pas, une règle deny à toi.

🚧 GeoIP n'ouvre pas de ports

GeoIP filtre par pays au niveau de la couche périmétrique, mais ne touche pas aux ports. Si le port ou le protocole restent fermés dans tes règles d'Entrée/Sortie, le trafic ne passe pas même si tu autorises ce pays.

Avant de commencer

• Se connecter au panneau de Plenit.
• Avoir des autorisations d'administration sur Serveurs.
• Que le Réseau sur lequel tu vas travailler ait au moins une IP publique.

Étape 1. Accède à GeoIP

1. Dans le panneau, ouvre Services → Serveurs.
2. Dans le menu latéral, va dans Pare-feu.
3. Ouvre l'onglet Géolocalisation.

{/* 📸 CAPTURE 1 · menu Pare-feu avec l'onglet Géolocalisation */}

Accès à l'onglet Géolocalisation du Pare-feu

Étape 2. Sélectionne le Réseau

En haut, utilise le sélecteur Réseau pour choisir où appliquer GeoIP. Tu verras la liste des IP publiques et combien de pays sont bloqués pour chacune.

📘 145 pays bloqués par défaut

Il est courant de voir 145 pays bloqués dès le départ. Ce nombre peut inclure des régions à l'intérieur d'un pays, donc il ne représente pas toujours le pays entier comme une seule unité de filtrage.

{/* 📸 CAPTURE 2 · sélecteur Réseau et liste des IP publiques avec leur nombre de pays */}

Sélection du Réseau et liste des IP publiques

Étape 3. Vérifie les IP publiques et passe en édition

Dans le tableau, tu vois chaque IP publique, son nombre de pays bloqués et l'action Modifier. Clique Modifier sur l'IP que tu veux ajuster.

{/* 📸 CAPTURE 3 · tableau des IP publiques avec l'action Modifier */}

Tableau des IP publiques avec l'option de modification

Étape 4. Gère les pays

Utilise le sélecteur par continents et pays. Coché = bloqué; non coché = autorisé (sauf blocage global). Tu as Enregistrer, Restaurer la configuration et Annuler.

{/* 📸 CAPTURE 4 · sélecteur de pays par continent */}

Sélecteur de pays pour bloquer ou autoriser

Étape 5. Confirme et applique

Clique Enregistrer, vérifie le Résumé et clique Confirmer. Les changements se synchronisent avec l'infrastructure : ce n'est pas immédiat, cela prend quelques minutes.

{/* 📸 CAPTURE 5 · résumé des changements et bouton Confirmer */}

Résumé et confirmation des changements GeoIP

Étape 6. Vérifie le résultat

Vérifie le compteur de pays bloqués sur l'IP modifiée et effectue des tests d'accès si besoin. Pour une vérification rapide depuis une source du pays que tu veux valider :

curl -I http://<IP-PUBLIQUE>

Comme le filtrage dépend du pays d'origine, pour tester un pays bloqué tu dois sortir depuis ce pays (par exemple, via un VPN dans cette Région). Si tu dois repartir de zéro, utilise Restaurer la configuration.

Cas pratiques

Cas	Ce que tu fais
Autoriser uniquement l'Espagne et le Portugal	Coche tous les pays, décoche l'Espagne et le Portugal, Enregistrer → Confirmer
Autoriser temporairement le Canada	Décoche le Canada, Enregistrer → Confirmer; à la fin, recoche-le
Tu ne connais pas l'état actuel	Restaurer la configuration et repars proprement depuis la politique globale

Conseils d'Utilisation

• Moins, c'est plus: bloque d'abord et n'ouvre que le strict nécessaire.
• Harmonise: applique la même politique de base à plusieurs IP et documente les exceptions.
• Utilise Restaurer comme réinitialisation quand tu ne sais pas quelles règles sont appliquées.
• Souviens-toi de la couche Réseau: si le port ou le protocole est fermé dans Entrée/Sortie, ils n'entreront pas même si tu autorises le pays.

Si quelque chose ne colle pas

Symptôme	Cause probable	Que faire
Le bouton Confirmer est désactivé	Il n'y a aucun changement à appliquer	Fais un changement ou quitte avec Annuler
J'ai autorisé un pays mais ça ne fonctionne toujours pas	La propagation manque ou le port est fermé	Attends quelques minutes et vérifie tes règles d'Entrée/Sortie
J'ai trop bloqué et j'ai perdu l'accès	Politique trop restrictive	Utilise Restaurer la configuration
Je ne vois pas l'onglet Géolocalisation	La vue n'est pas disponible dans ton panneau	Contacte Partenaire Success pour qu'ils l'activent

Conclusion

GeoIP te donne un levier de sécurité simple : tu décides, par pays, qui atteint tes IP publiques, sans maintenir des listes d'adresses à la main et avec un bouton de réinitialisation quand tu en as besoin.

La règle d'or est de se rappeler qu'il agit uniquement sur le pays d'origine : les ports et les protocoles restent sous ton contrôle dans les règles d'Entrée/Sortie, donc GeoIP s'ajoute à cette couche, il ne la remplace pas.