Nakonfigurujte nekomplikovaný firewall (UFW) na Ubuntu 14.04

Zabezpečení je zásadní, když provozujete svůj vlastní server. Chcete se ujistit, že k vašemu serveru, konfiguraci a službám mají přístup pouze oprávnění uživatelé.

V Ubuntu je předinstalovaný firewall. Jmenuje se UFW (Uncomplicated Firewall). Ačkoli je UFW docela základní firewall, je uživatelsky přívětivý, vyniká ve filtrování provozu a má dobrou dokumentaci. Některé základní znalosti Linuxu by měly stačit k tomu, abyste si nakonfigurovali tento firewall sami.

Nainstalujte UFW

Všimněte si, že UFW je v Ubuntu obvykle nainstalováno ve výchozím nastavení. Ale pokud něco, můžete si to nainstalovat sami. Chcete-li nainstalovat UFW, spusťte následující příkaz.

sudo apt-get install ufw

Povolit připojení

Pokud provozujete webový server, zjevně chcete, aby měl svět přístup k vašim webovým stránkám. Proto se musíte ujistit, že výchozí port TCP pro web je otevřený.

sudo ufw allow 80/tcp

Obecně můžete povolit libovolný port, který potřebujete, pomocí následujícího formátu:

sudo ufw allow <port>/<optional: protocol>

Odmítnout spojení

Pokud potřebujete zakázat přístup k určitému portu, použijte toto:

sudo ufw deny <port>/<optional: protocol>

Například odepřeme přístup k našemu výchozímu portu MySQL.

sudo ufw deny 3306

UFW také podporuje zjednodušenou syntaxi pro nejběžnější porty služeb.

root@127:~$ sudo ufw deny mysql
Rule updated
Rule updated (v6)

Důrazně se doporučuje omezit přístup k vašemu portu SSH (ve výchozím nastavení je to port 22) odkudkoli kromě vašich důvěryhodných IP adres (příklad: kancelář nebo domov).

Povolit přístup z důvěryhodné IP adresy

Obvykle budete muset povolit přístup pouze k veřejně otevřeným portům, jako je port 80. Přístup ke všem ostatním portům musí být omezen nebo omezen. Svou domácí/kancelářskou IP adresu můžete přidat na seznam povolených (nejlépe by to měla být statická IP), abyste měli přístup k vašemu serveru přes SSH nebo FTP.

sudo ufw allow from 192.168.0.1 to any port 22

Povolme také přístup k portu MySQL.

sudo ufw allow from 192.168.0.1 to any port 3306

Už to vypadá lépe. Pokračujme.

Povolit UFW

Před povolením (nebo obnovením) UFW se musíte ujistit, že port SSH má povoleno přijímat připojení z vaší IP adresy. Chcete-li spustit/povolit UFW firewall, použijte následující příkaz:

sudo ufw enable

Uvidíte toto:

root@127:~$ sudo ufw enable
Command may disrupt existing ssh connections. Proceed with operation (y|n)?

Zadejte Y a poté stisknutím klávesy Enter povolte bránu firewall.

Firewall is active and enabled on system startup

Zkontrolujte stav UFW

Podívejte se na všechna svá pravidla.

sudo ufw status

Uvidíte výstup podobný následujícímu.

sudo ufw status
Firewall loaded

To                         Action  From
--                         ------  ----
22:tcp                     ALLOW   192.168.0.1
22:tcp                     DENY    ANYWHERE

Chcete-li zobrazit podrobnější zprávu o stavu, použijte parametr „verbose“.

sudo ufw status verbose

Zakázat/znovu načíst/restartovat UFW

Chcete-li deaktivovat (zastavit) UFW, spusťte tento příkaz.

sudo ufw disable

Pokud potřebujete znovu načíst UFW (reload rules), spusťte následující.

sudo ufw reload

Chcete-li restartovat UFW, budete jej muset nejprve deaktivovat a poté znovu povolit.

sudo ufw disable
sudo ufw enable

Před povolením UFW se znovu ujistěte, že je pro vaši IP adresu povolen port SSH.

Odstranění pravidel

Chcete-li spravovat svá pravidla UFW, musíte je uvést. Můžete to udělat kontrolou stavu UFW s parametrem "numbered". Uvidíte výstup podobný následujícímu.

root@127:~$ sudo ufw status numbered
Status: active

To                              Action      From
--                              ------      ----
[ 1] 22                         ALLOW IN    192.168.0.1
[ 2] 80                         ALLOW IN    Anywhere
[ 3] 3306                       ALLOW IN    192.168.0.1
[ 4] 22                         DENY IN     Anywhere

Všimli jste si čísel v hranatých závorkách? Nyní, abyste odstranili kterékoli z těchto pravidel, budete muset použít tato čísla.

sudo ufw delete [number]

Povolení podpory IPv6

Pokud na svém VPS používáte IPv6, musíte se ujistit, že je v UFW povolena podpora IPv6. Chcete-li tak učinit, otevřete konfigurační soubor v textovém editoru.

sudo nano /etc/default/ufw

Po otevření se ujistěte, že IPV6je nastaveno na „ano“:

IPV6=yes

Po provedení této změny soubor uložte. Poté restartujte UFW tak, že jej deaktivujete a znovu povolíte.

sudo ufw disable
sudo ufw enable

Zpět na výchozí nastavení

Pokud se potřebujete vrátit k výchozímu nastavení, jednoduše zadejte následující příkaz. Tím se vrátí všechny vaše změny.

sudo ufw reset

Závěr

Celkově je UFW schopen ochránit váš VPS před nejběžnějšími pokusy o hackování. Vaše bezpečnostní opatření by samozřejmě měla být podrobnější než jen používání UFW. Nicméně je to dobrý (a nutný) začátek.

Pokud potřebujete další příklady použití UFW, můžete se podívat na UFW - Community Help Wiki .