Comprendre les ports de ma supervision Zabbix : 10050, 10051 et le pare-feu

Le point de départ

Mon agent Zabbix était installé sur le Windows, mais le serveur ne le voyait pas tant qu'un port n'était pas ouvert. J'ai voulu comprendre pourquoi, plutôt que d'ouvrir le pare-feu au hasard.

Les deux ports à retenir

Zabbix utilise deux ports TCP. Le 10050 est celui de l'agent : le serveur vient l'interroger. Le 10051 est celui du serveur : c'est là que les agents peuvent venir envoyer eux-mêmes leurs données. Le sens de la connexion change selon le mode, ce qui change aussi le port à ouvrir et sur quelle machine.

Ce que j'ai fait dans mon lab

Mon serveur interroge l'agent Windows : c'est le mode « passif ». J'ai donc créé sur le Windows une règle de pare-feu entrante pour le port 10050, avec une restriction importante : seule l'adresse du serveur Zabbix (192.168.209.129) peut s'y connecter. Un port ouvert à tout le réseau aurait fonctionné aussi, mais il aurait exposé l'agent à n'importe quelle machine. La restriction par adresse est le point de sécurité de ce lab.

Comment j'ai vérifié

Avant de déclarer l'hôte dans Zabbix, j'ai testé le réseau depuis le Windows vers le serveur. Une fois l'hôte déclaré, l'icône ZBX est passée au vert. Quand j'ai arrêté volontairement l'agent, elle est passée au rouge : c'est cette même communication sur le 10050 qui mesurait la disponibilité.

Ce que je n'ai pas testé

J'ai aussi renseigné l'adresse du serveur pour les vérifications actives, mais mon test d'alerte reposait sur le mode passif. Je n'ai pas encore vérifié le sens inverse (agent vers serveur, port 10051), ni mis en place de chiffrement entre l'agent et le serveur.

Ce que j'en retiens

Ouvrir un port, c'est répondre à trois questions : quel sens de connexion, quelle machine l'ouvre, et pour qui. Un pare-feu bien réglé ne laisse passer que ce qui est nécessaire.

Le déroulé pas à pas et les commandes sont dans le dépôt GitHub du projet.