Kako postaviti vatrozid sa ufw-om na ubuntu 18.04

Ispravno konfiguriran vatrozid jedan je od najvažnijih aspekata cjelokupne sigurnosti sustava. Ubuntu prema zadanim postavkama dolazi s alatom za konfiguraciju vatrozida koji se zove UFW (Nekomplicirani vatrozid). UFW je jednostavan pristup za upravljanje pravilima vatrozida iptables i njegov glavni cilj je olakšati upravljanje iptablesima ili kako samo ime kaže jednostavno.

Preduvjeti

Prije nego što započnete s ovim vodičem, provjerite jeste li prijavljeni na svoj poslužitelj s korisničkim računom s povlasticama sudo ili s korijenskim korisnikom. Najbolja praksa je pokretanje administrativnih naredbi kao sudo korisnik umjesto root. Ako na vašem Ubuntu sustavu nemate sudo korisnika, možete ga stvoriti slijedeći ove upute.

Instalirajte UFW

Nekomplicirani vatrozid trebao bi biti instaliran zadano u Ubuntu 18.04, ali ako nije instaliran na vašem sustavu, možete instalirati paket upisivanjem:

sudo apt install ufw

Provjerite UFW status

Nakon što je instalacija dovršena, možete provjeriti status UFW sa sljedećom naredbom:

sudo ufw status verbose

UFW je onemogućeno prema zadanim postavkama. Ako nikada prije niste aktivirali UFW, izlaz će izgledati ovako:

Status: inactive

Ako je aktivirano UFW, izlaz će izgledati slično:

UFW zadana pravila

UFW će prema zadanim postavkama blokirati sve dolazne veze i omogućiti sve izlazne veze. To znači da svi koji pokušaju pristupiti vašem poslužitelju neće se moći povezati ako posebno ne otvorite port, dok će sve aplikacije i usluge na vašem poslužitelju moći pristupiti vanjskom svijetu.

Zadani pravilnici definirani su u datoteci /etc/default/ufw i mogu se mijenjati pomoću sudo ufw default naredba.

Politike vatrozida temelj su za izgradnju detaljnijih i korisnički definiranih pravila. U većini slučajeva početne UFW zadane politike dobra su početna točka.

Profili aplikacije

Kada instalirate paket sa naredbom apt on će dodati profil aplikacije u /etc/ufw/applications.d direktorij. Profil opisuje uslugu i sadrži UFW postavke.

Možete navesti sve profile aplikacija dostupnih na vašem poslužitelju tako da upišete:

sudo ufw app list

Ovisno o paketima instaliranim na vašem sustavu, izlaz će izgledati slično:

Available applications: Dovecot IMAP Dovecot POP3 Dovecot Secure IMAP Dovecot Secure POP3 Nginx Full Nginx HTTP Nginx HTTPS OpenSSH Postfix Postfix SMTPS Postfix Submission

Da biste pronašli više informacija o određenom profilu i uključenim pravilima, koristite sljedeću naredbu:

sudo ufw app info 'Nginx Full'

Profile: Nginx Full Title: Web Server (Nginx, HTTP + HTTPS) Description: Small, but very powerful and efficient web server Ports: 80, 443/tcp

Kao što se vidi iz izlaza iznad, 'Nginx Full' profil otvara porta 80 i 443 .

Dopusti SSH veze

Prije omogućavanja UFW vatrozida moramo dodati pravilo koje će omogućiti dolazne SSH veze. Ako se na poslužitelj povezujete s udaljene lokacije, što je gotovo uvijek slučaj i omogućite UFW vatrozid prije nego što izričito dopustite dolazne SSH veze, više se nećete moći povezati s vašim Ubuntu poslužiteljem.

Da biste konfigurirali svoj UFW vatrozid tako da dopušta dolazne SSH veze, upišite sljedeću naredbu:

sudo ufw allow ssh

Rules updated Rules updated (v6)

Ako ste promijenili SSH ulaz u prilagođeni port umjesto porta 22, morat ćete ga otvoriti.

Na primjer, ako vaš ssh daemon sluša na 4422 , tada možete upotrijebiti sljedeću naredbu za omogućavanje veza na tom ulazu:

sudo ufw allow 4422/tcp

Omogući UFW

Sada kada je vaš UFW vatrozid konfiguriran za omogućavanje dolaznih SSH veza, mi ga možemo omogućiti upisivanjem:

sudo ufw enable

Command may disrupt existing ssh connections. Proceed with operation (y|n)? y Firewall is active and enabled on system startup

Upozorit ćete da omogućavanje vatrozida može poremetiti postojeće ssh veze, samo upišite y i pritisnite Enter .

Dopustite veze na drugim ulazima

Ovisno o programima koji se pokreću na vašem poslužitelju i vašim specifičnim potrebama također ćete trebati omogućiti dolazni pristup nekim drugim portovima.

U nastavku ćemo vam pokazati nekoliko primjera kako dopustiti dolazne veze s nekim od najčešćih usluga:

Otvoreni priključak 80 - HTTP

HTTP veze mogu se dopustiti sa sljedećom naredbom:

sudo ufw allow

umjesto http, možete koristiti broj porta, 80:

sudo ufw allow 80/tcp

ili možete koristiti profil aplikacije, u ovom slučaju, 'Nginx

sudo ufw allow 'Nginx

Otvoreni priključak 443 - HTTPS

HTTP veze mogu se dopustiti sa sljedećom naredbom:

sudo ufw allow

Da biste postigli isti umjesto https profila, možete koristiti broj priključka, 443 :

sudo ufw allow 443/tcp

ili možete koristiti profil aplikacije "Nginx

sudo ufw allow 'Nginx

Otvoreni port 8080

sudo ufw allow 8080/tcp

Dopusti domet luka

Umjesto da dopuštamo pristup jednim portovima, UFW nam omogućava pristup rasponima porta. Pri dopuštanju raspona priključaka s UFW-om morate navesti protokol, bilo tcp ili udp . Na primjer, ako želite dopustiti portove od 7100 do 7200 i tcp i udp pokrenite sljedeću naredbu:

sudo ufw allow 7100:7200/tcp sudo ufw allow 7100:7200/udp

Dopusti određene IP adrese

Da biste omogućili pristup svim portovima svog kućnog stroja s IP adresom od 64.63.62.61, odredite from slijedi IP adresa koju želite dodati na listu:

sudo ufw allow from 64.63.62.61

Dopusti određene IP adrese na određenom priključku

Da biste omogućili pristup određenom priključku, recimo, port 22 s vašeg radnog stroja s IP adresom 64.63.62.61, upotrijebite to any port iza kojeg slijedi broj porta:

sudo ufw allow from 64.63.62.61 to any port 22

Dopusti podmreže

Naredba za omogućavanje povezivanja na podmrežu IP adresa ista je kao i kod korištenja jedne IP adrese, jedina je razlika što morate odrediti mrežnu masku. Na primjer, ako želite omogućiti pristup IP adresama u rasponu od 192.168.1.1 do 192.168.1.254 do porta 3360 (MySQL), možete koristiti ovu naredbu:

sudo ufw allow from 192.168.1.0/24 to any port 3306

Dopusti veze s određenim mrežnim sučeljem

Da biste omogućili pristup na određenom portu, recimo da je port 3360 samo određenom mrežnom sučelju eth2 , tada morate odrediti allow in on i naziv mrežnog sučelja:

sudo ufw allow in on eth2 to any port 3306

Zabranite veze

Zadana pravila za sve dolazne veze postavljena su na deny i ako je niste promijenili, UFW će blokirati svu dolaznu vezu osim ako je posebno ne otvorite.

Recimo da ste otvorili portove 80 i 443 a vaš poslužitelj je napadnut iz mreže 23.24.25.0/24 . Za odbijanje svih veza iz 23.24.25.0/24 možete koristiti sljedeću naredbu:

sudo ufw deny from 23.24.25.0/24

sudo ufw deny from 23.24.25.0/24 to any port 80 sudo ufw deny from 23.24.25.0/24 to any port 443

Pisanje pravila za uskraćivanje isto je kao i pravila za dopuštanje pisanja, samo trebate zamijeniti allow za deny .

Izbrišite UFW pravila

Postoje dva različita načina brisanja UFW pravila prema broju pravila i određivanju stvarnog pravila.

Brisanje UFW pravila prema broju pravila lakše je, posebno ako ste novi u UFW-u. Da biste izbrisali pravilo s brojem pravila, prvo morate pronaći broj pravila koje želite izbrisati, to možete učiniti pomoću sljedeće naredbe:

sudo ufw status numbered

Status: active To Action From -- ------ ---- 22/tcp ALLOW IN Anywhere 80/tcp ALLOW IN Anywhere 8080/tcp ALLOW IN Anywhere

Za brisanje pravila broj 3, pravila koje dopušta povezivanje s priključkom 8080, koristite sljedeću naredbu:

sudo ufw delete 3

Druga metoda je brisanje pravila specificiranjem stvarnog pravila, na primjer ako ste dodali pravilo za otvaranje porta 8069 možete ga izbrisati s:

sudo ufw delete allow 8069

Onemogući UFW

Ako iz bilo kojeg razloga želite zaustaviti UFW i deaktivirati sva pravila koja možete koristiti:

sudo ufw disable

Kasnije, ako želite ponovo omogućiti UTF i aktivirati sva pravila, samo upišite:

sudo ufw enable

Poništi UFW

Poništavanje UFW-a onemogućit će UFW i izbrisati sva aktivna pravila. Ovo je korisno ako želite poništiti sve svoje promjene i započeti nove.

Za resetiranje UFW-a jednostavno upišite sljedeću naredbu:

sudo ufw reset

Zaključak

Naučili ste kako instalirati i konfigurirati UFW vatrozid na vašem Ubuntu 18.04 poslužitelju. Svakako dopustite sve dolazne veze koje su potrebne za pravilno funkcioniranje vašeg sustava, a pritom ograničite sve nepotrebne veze.

ufw firewall iptables sigurnost ubuntu