Nakonfigurujte Ubuntu Firewall (UFW) na Ubuntu 18.04

Nainstalujte UFW

UFW je standardně nainstalováno v Ubuntu 18.04, ale můžete si to ověřit:

which ufw

Měli byste obdržet následující výstup:

/usr/sbin/ufw

Pokud neobdržíte výstup, znamená to, že UFW není nainstalováno. V tomto případě si jej můžete nainstalovat sami:

sudo apt-get install ufw

Povolit připojení

Pokud provozujete webový server, chcete, aby měl celý svět přístup k vašim webovým stránkám. Proto se musíte ujistit, že výchozí porty TCP pro web jsou otevřené.

sudo ufw allow 80/tcp
sudo ufw allow 443/tcp

Obecně můžete povolit libovolný port, který potřebujete, pomocí následujícího formátu:

sudo ufw allow <port>/<optional: protocol>

Odmítnout spojení

Pokud potřebujete zakázat přístup k určitému portu, použijte denypříkaz:

sudo ufw deny <port>/<optional: protocol>

Můžete například odepřít přístup ke svému výchozímu portu MySQL:

sudo ufw deny 3306

UFW také podporuje zjednodušenou syntaxi pro nejběžnější porty služeb:

root@ubuntu:~$ sudo ufw deny mysql
Rule updated
Rule updated (v6)

Důrazně se doporučuje omezit přístup k vašemu portu SSH (ve výchozím nastavení je to port 22), odkudkoli kromě vašich důvěryhodných IP adres.

Povolit přístup z důvěryhodné IP adresy

Obvykle budete muset povolit přístup pouze k veřejně otevřeným portům, jako je port 80. Přístup ke všem ostatním portům by měl být omezen nebo omezen. Svou domácí nebo kancelářskou IP adresu (nejlépe statickou IP) můžete přidat na seznam povolených, abyste měli přístup k vašemu serveru přes SSH nebo FTP:

sudo ufw allow from 192.168.0.1 to any port 22

Můžete také povolit přístup k portu MySQL:

sudo ufw allow from 192.168.0.1 to any port 3306

Povolit UFW

Před povolením (nebo restartováním) UFW se musíte ujistit, že port SSH má povoleno přijímat připojení z vaší IP adresy. Chcete-li spustit/povolit UFW firewall, použijte následující příkaz:

sudo ufw enable

Uvidíte následující výstup:

root@ubuntu:~$ sudo ufw enable
Command may disrupt existing ssh connections. Proceed with operation (y|n)?

Stiskněte Ya poté ENTERpovolte bránu firewall:

Firewall is active and enabled on system startup

Zkontrolujte stav UFW

Vytiskněte seznam pravidel UFW:

sudo ufw status

Uvidíte výstup podobný následujícímu:

Status: active

To                         Action      From
--                         ------      ----
80/tcp                     DENY        Anywhere
443/tcp                    DENY        Anywhere
3306                       DENY        Anywhere
22                         ALLOW       192.168.0.1
3306                       ALLOW       192.168.0.1
80/tcp (v6)                DENY        Anywhere (v6)
443/tcp (v6)               DENY        Anywhere (v6)
3306 (v6)                  DENY        Anywhere (v6)

Pomocí verboseparametru zobrazíte podrobnější zprávu o stavu:

sudo ufw status verbose

Tento výstup bude vypadat následovně:

Status: active
Logging: on (low)
Default: deny (incoming), allow (outgoing), disabled (routed)
New profiles: skip

To                         Action      From
--                         ------      ----
80/tcp                     DENY IN     Anywhere
443/tcp                    DENY IN     Anywhere
3306                       DENY IN     Anywhere
22                         ALLOW IN    192.168.0.1
3306                       ALLOW IN    192.168.0.1
80/tcp (v6)                DENY IN     Anywhere (v6)
443/tcp (v6)               DENY IN     Anywhere (v6)
3306 (v6)                  DENY IN     Anywhere (v6)

Zakázat/znovu načíst/restartovat UFW

Pokud potřebujete znovu načíst pravidla brány firewall, spusťte následující:

sudo ufw reload

Chcete-li deaktivovat nebo zastavit UFW:

sudo ufw disable

Chcete-li restartovat UFW, musíte jej nejprve deaktivovat a poté znovu povolit:

sudo ufw disable
sudo ufw enable

Poznámka: Před povolením UFW se ujistěte, že je pro vaši IP adresu povolen port SSH.

Odstranění pravidel

Chcete-li spravovat svá pravidla UFW, musíte je uvést. Můžete to udělat kontrolou stavu UFW s parametrem numbered:

sudo ufw status numbered

Uvidíte výstup podobný následujícímu:

Status: active

     To                         Action      From
     --                         ------      ----
[ 1] 80/tcp                     DENY IN     Anywhere
[ 2] 443/tcp                    DENY IN     Anywhere
[ 3] 3306                       DENY IN     Anywhere
[ 4] 22                         ALLOW IN    192.168.0.1
[ 5] 3306                       ALLOW IN    192.168.0.1
[ 6] 80/tcp (v6)                DENY IN     Anywhere (v6)
[ 7] 443/tcp (v6)               DENY IN     Anywhere (v6)
[ 8] 3306 (v6)                  DENY IN     Anywhere (v6)

Nyní, abyste odstranili kterékoli z těchto pravidel, budete muset použít tato čísla v hranatých závorkách:

sudo ufw delete [number]

Chcete-li odstranit HTTPpravidlo ( 80), použijte následující příkaz:

sudo ufw delete 1

Povolení podpory IPv6

Pokud na svém VPS používáte IPv6, musíte se ujistit, že je v UFW povolena podpora IPv6. Chcete-li tak učinit, otevřete konfigurační soubor v textovém editoru:

sudo vi /etc/default/ufw

Po otevření se ujistěte, že IPV6je nastaveno na „ano“:

IPV6=yes

Po provedení této změny soubor uložte. Poté restartujte UFW tak, že jej deaktivujete a znovu povolíte:

sudo ufw disable
sudo ufw enable

Zpět na výchozí nastavení

Pokud se potřebujete vrátit k výchozímu nastavení, jednoduše zadejte následující příkaz. Tím se vrátí všechny vaše změny:

sudo ufw reset

Gratulujeme, právě jste nastavili některá základní pravidla brány firewall. Chcete-li se dozvědět nějaké další příklady, podívejte se na UFW - Community Help Wiki .