Nakonfigurujte nekomplikovaný firewall (UFW) na Ubuntu 14.04

Bezpečnosť je rozhodujúca, keď prevádzkujete svoj vlastný server. Chcete sa uistiť, že k vášmu serveru, konfigurácii a službám majú prístup iba autorizovaní používatelia.

V Ubuntu je predinštalovaný firewall. Volá sa UFW (Uncomplicated Firewall). Hoci UFW je celkom základný firewall, je užívateľsky prívetivý, vyniká vo filtrovaní prevádzky a má dobrú dokumentáciu. Niektoré základné znalosti Linuxu by mali stačiť na to, aby ste si nakonfigurovali tento firewall sami.

Nainštalujte UFW

Všimnite si, že UFW je štandardne nainštalovaný v Ubuntu. Ale ak niečo, môžete si to nainštalovať sami. Ak chcete nainštalovať UFW, spustite nasledujúci príkaz.

sudo apt-get install ufw

Povoliť pripojenia

Ak prevádzkujete webový server, zjavne chcete, aby mal svet prístup k vašim webovým stránkam. Preto sa musíte uistiť, že predvolený port TCP pre web je otvorený.

sudo ufw allow 80/tcp

Vo všeobecnosti môžete povoliť ľubovoľný port, ktorý potrebujete, pomocou nasledujúceho formátu:

sudo ufw allow <port>/<optional: protocol>

Odmietnuť spojenia

Ak potrebujete zakázať prístup k určitému portu, použite toto:

sudo ufw deny <port>/<optional: protocol>

Zakážme napríklad prístup k nášmu predvolenému portu MySQL.

sudo ufw deny 3306

UFW tiež podporuje zjednodušenú syntax pre najbežnejšie porty služieb.

root@127:~$ sudo ufw deny mysql
Rule updated
Rule updated (v6)

Dôrazne sa odporúča obmedziť prístup k vášmu portu SSH (v predvolenom nastavení je to port 22) odkiaľkoľvek okrem vašich dôveryhodných adries IP (napríklad: kancelária alebo domov).

Povoliť prístup z dôveryhodnej adresy IP

Zvyčajne budete musieť povoliť prístup iba k verejne otvoreným portom, ako je port 80. Prístup ku všetkým ostatným portom musí byť obmedzený alebo obmedzený. Svoju domácu/kanceláriu IP adresu môžete pridať na bielu listinu (najlepšie by to mala byť statická IP), aby ste mali prístup k svojmu serveru cez SSH alebo FTP.

sudo ufw allow from 192.168.0.1 to any port 22

Umožnime tiež prístup k portu MySQL.

sudo ufw allow from 192.168.0.1 to any port 3306

Už to vyzerá lepšie. Poďme ďalej.

Povoliť UFW

Pred povolením (alebo obnovením) UFW sa musíte uistiť, že port SSH má povolené prijímať pripojenia z vašej IP adresy. Ak chcete spustiť/povoliť bránu firewall UFW, použite nasledujúci príkaz:

sudo ufw enable

Uvidíte toto:

root@127:~$ sudo ufw enable
Command may disrupt existing ssh connections. Proceed with operation (y|n)?

Napíšte Y a potom stlačením klávesu Enter povoľte bránu firewall.

Firewall is active and enabled on system startup

Skontrolujte stav UFW

Pozrite si všetky svoje pravidlá.

sudo ufw status

Uvidíte výstup podobný nasledujúcemu.

sudo ufw status
Firewall loaded

To                         Action  From
--                         ------  ----
22:tcp                     ALLOW   192.168.0.1
22:tcp                     DENY    ANYWHERE

Ak chcete zobraziť podrobnejšiu správu o stave, použite parameter „verbose“.

sudo ufw status verbose

Zakázať/znovu načítať/reštartovať UFW

Ak chcete vypnúť (zastaviť) UFW, spustite tento príkaz.

sudo ufw disable

Ak potrebujete znova načítať UFW (pravidlá opätovného načítania), spustite nasledujúce.

sudo ufw reload

Ak chcete reštartovať UFW, musíte ho najskôr zakázať a potom znova povoliť.

sudo ufw disable
sudo ufw enable

Pred povolením UFW sa opäť uistite, že pre vašu IP adresu je povolený port SSH.

Odstraňujú sa pravidlá

Ak chcete spravovať svoje pravidlá UFW, musíte ich uviesť. Môžete to urobiť tak, že skontrolujete stav UFW s parametrom „číslované“. Uvidíte výstup podobný nasledujúcemu.

root@127:~$ sudo ufw status numbered
Status: active

To                              Action      From
--                              ------      ----
[ 1] 22                         ALLOW IN    192.168.0.1
[ 2] 80                         ALLOW IN    Anywhere
[ 3] 3306                       ALLOW IN    192.168.0.1
[ 4] 22                         DENY IN     Anywhere

Všimli ste si čísla v hranatých zátvorkách? Teraz, ak chcete odstrániť niektoré z týchto pravidiel, budete musieť použiť tieto čísla.

sudo ufw delete [number]

Povolenie podpory IPv6

Ak na svojom VPS používate IPv6, musíte sa uistiť, že je v UFW povolená podpora IPv6. Ak to chcete urobiť, otvorte konfiguračný súbor v textovom editore.

sudo nano /etc/default/ufw

Po otvorení sa uistite, že IPV6je nastavené na „áno“:

IPV6=yes

Po vykonaní tejto zmeny súbor uložte. Potom reštartujte UFW tak, že ho deaktivujete a znova povolíte.

sudo ufw disable
sudo ufw enable

Späť na predvolené nastavenia

Ak sa potrebujete vrátiť k predvoleným nastaveniam, jednoducho zadajte nasledujúci príkaz. Týmto sa vrátia všetky vaše zmeny.

sudo ufw reset

Záver

Celkovo je UFW schopný chrániť váš VPS pred najbežnejšími pokusmi o hackovanie. Samozrejme, vaše bezpečnostné opatrenia by mali byť podrobnejšie ako len používanie UFW. Je to však dobrý (a potrebný) začiatok.

Ak potrebujete ďalšie príklady používania UFW, môžete si pozrieť UFW - Community Help Wiki .