Comment configurer GeoIP pour Bloquer ou autoriser des pays sur vos Serveurs

GeoIP vous permet de décider depuis quels pays le trafic vers les IP publiques de vos services.

C’est un moyen simple de réduire la surface d’attaque lorsque le trafic légitime ne devrait arriver que depuis des régions précises.

👍 Ce que tu obtiens

Contrôle de l’accès à vos services par pays d’origine, pour chaque IP publique, avec retour à l’état par défaut en un clic.

À quoi ça sert

• Sécurité: bloquez les régions dont vous ne recevez que des attaques.
• Simplicité: règles par pays, sans maintenir des listes d’IP à la main.
• Conformité: appliquez des restrictions par pays si votre Client l’exige (par exemple, RGPD ou exigences sectorielles).
• Flexibilité: politiques différentes par serveur ou par Réseau selon le cas.

Comment ça fonctionne

GeoIP combine deux couches :

• Couche périmétrique, à la frontière de l’infrastructure : filtre le trafic par pays. Ici se trouve la politique globale par défaut (la liste des pays bloqués).
• Couche Réseau de votre Abonnement: contrôle les ports et les protocoles de Entrée/Sortie à l’intérieur de votre Réseau. Ne filtre pas par pays.

Depuis GeoIP, pour chaque IP publique vous choisissez les pays bloqués: coché équivaut à Refuser et décoché à Autoriser, sauf si le pays était déjà bloqué par la politique globale. Si vous autorisez un pays que la politique globale bloque, une exception de type allow; si vous bloquez un pays que la politique globale ne bloque pas, une règle deny à vous.

🚧 GeoIP n’ouvre pas de ports

GeoIP filtre par pays dans la couche périmétrique, mais ne touche pas aux ports. Si le port ou le protocole restent fermés dans vos règles d’Entrée/Sortie, le trafic ne passera pas même si vous autorisez ce pays.

Avant de commencer

• Se connecter au panneau de Plenit.
• Avoir des droits d’administration sur Serveurs.
• Que le réseau sur lequel vous allez travailler dispose d’au moins une IP publique.

Étape 1. Accédez à GeoIP

1. Dans le panneau, ouvrez Services → Serveurs.
2. Dans le menu latéral, accédez à Pare-feu.
3. Ouvrez l’onglet Géolocalisation.

{/* 📸 CAPTURE 1 · menu Pare-feu avec l’onglet Géolocalisation */}

Accès à l’onglet Géolocalisation du Pare-feu

Étape 2. Sélectionnez le réseau

En haut, utilisez le sélecteur Réseau pour choisir où appliquer GeoIP. Vous verrez la liste des IP publiques et combien de pays chacune a bloqués.

📘 145 pays bloqués par défaut

Il est courant de voir 145 pays bloqués au départ. Ce nombre peut inclure des régions à l’intérieur d’un pays, donc il ne représente pas toujours le pays entier comme une seule unité de filtrage.

{/* 📸 CAPTURE 2 · sélecteur Réseau et liste des IP publiques avec leur nombre de pays */}

Sélection du réseau et liste des IP publiques

Étape 3. Vérifiez les IP publiques et passez en mode édition

Dans le tableau, vous voyez chaque IP publique, son nombre de pays bloqués et l’action Modifier. Cliquez sur Modifier sur l’IP que vous souhaitez ajuster.

{/* 📸 CAPTURE 3 · tableau des IP publiques avec l’action Modifier */}

Tableau des IP publiques avec l’option de modification

Étape 4. Gérez les pays

Utilisez le sélecteur par continents et pays. Coché = bloqué; décoché = autorisé (sauf blocage global). Vous avez Enregistrer, Restaurer la configuration et Annuler.

{/* 📸 CAPTURE 4 · sélecteur de pays par continent */}

Sélecteur de pays pour bloquer ou autoriser

Étape 5. Confirmez et appliquez

Clique sur Enregistrer, vérifiez le Résumé et appuyez sur Confirmer. Les changements se synchronisent avec l’infrastructure : ce n’est pas immédiat, cela prend quelques minutes.

{/* 📸 CAPTURE 5 · Résumé des changements et bouton Confirmer */}

Résumé et confirmation des changements de GeoIP

Étape 6. Vérifiez le résultat

Vérifiez le compteur de pays bloqués sur l’IP modifiée et faites des tests d’accès si nécessaire. Pour une vérification rapide depuis une origine du pays que vous souhaitez valider :

curl -I http://<IP-PUBLICA>

Comme le filtrage dépend du pays d’origine, pour tester un pays bloqué vous devez sortir depuis ce pays (par exemple, via un VPN dans cette région). Si vous devez repartir de zéro, utilisez Restaurer la configuration.

Cas pratiques

Cas	Ce que vous faites
Autoriser uniquement l’Espagne et le Portugal	Cochez tous les pays, décochez l’Espagne et le Portugal, Enregistrer → Confirmer
Autoriser temporairement le Canada	Décochez le Canada, Enregistrer → Confirmer; une fois terminé, cochez-le à nouveau
Vous ne connaissez pas l’état actuel	Restaurer la configuration et repartez proprement de la politique globale

Conseils d'utilisation

• Moins, c’est plus: bloquez d’abord et n’ouvrez que l’essentiel.
• Harmonisez: appliquez la même politique de base à plusieurs IP et documentez les exceptions.
• Utilisez Restaurer comme réinitialisation lorsque vous ne savez pas quelles règles sont appliquées.
• Rappelez-vous la couche Réseau: si le port ou le protocole est fermé dans Entrée/Sortie, ils n’entreront pas même si vous autorisez le pays.

Si quelque chose ne colle pas

Symptôme	Cause probable	Que faire
Le bouton Confirmer est désactivé	Il n’y a aucun changement à appliquer	Faites un changement ou quittez avec Annuler
J’ai autorisé un pays, mais cela ne fonctionne toujours pas	La propagation manque ou le port est fermé	Attendez quelques minutes et vérifiez vos règles d’Entrée/Sortie
J’ai trop bloqué et j’ai perdu l’accès	Politique trop restrictive	Utilise Restaurer la configuration
Je ne vois pas l’onglet Géolocalisation	La vue n’est pas disponible dans votre panneau	Contactez Partenaire Success pour qu’ils l’activent

Conclusion

GeoIP vous donne un levier de sécurité simple : vous décidez par pays qui accède à vos IP publiques, sans maintenir des listes d’adresses à la main et avec un bouton de réinitialisation quand vous en avez besoin.

La règle d’or est de se rappeler qu’il n’agit que sur le pays d’origine : les ports et protocoles restent sous votre contrôle dans les règles d’Entrée/Sortie, donc GeoIP s’ajoute à cette couche, il ne la remplace pas.