Sådan konfigureres en firewall med ufw på ubuntu 18.04

En korrekt konfigureret firewall er en af ​​de vigtigste aspekter af den generelle systemsikkerhed. Ubuntu leveres som standard med et firewall-konfigurationsværktøj kaldet UFW (Uncomplicated Firewall). UFW er en brugervenlig front-end til styring af iptables firewall-regler, og dets hovedmål er at gøre styring af iptables lettere eller som navnet siger ukompliceret.

Forudsætninger

Inden du begynder med denne tutorial, skal du sørge for, at du er logget ind på din server med en brugerkonto med sudo-privilegier eller med rodbrugeren. Den bedste praksis er at køre administrative kommandoer som en sudo-bruger i stedet for root. Hvis du ikke har en sudo-bruger på dit Ubuntu-system, kan du oprette en ved at følge disse instruktioner.

Installer UFW

Ukompliceret firewall skal installeres som standard i Ubuntu 18.04, men hvis den ikke er installeret på dit system, kan du installere pakken ved at skrive:

sudo apt install ufw

Kontroller UFW-status

Når installationen er afsluttet, kan du kontrollere status for UFW med følgende kommando:

sudo ufw status verbose

UFW er som standard deaktiveret. Hvis du aldrig har aktiveret UFW før, ser output så ud:

Status: inactive

Hvis UFW er aktiveret, ser output ud på følgende måde:

UFW-standardpolitikker

Som standard blokerer UFW alle de indgående forbindelser og tillader alle udgående forbindelser. Dette betyder, at enhver, der forsøger at få adgang til din server, ikke kan oprette forbindelse, medmindre du specifikt åbner porten, mens alle applikationer og tjenester, der kører på din server, vil kunne få adgang til omverdenen.

Standardpolicerne er defineret i filen /etc/default/ufw og kan ændres ved hjælp af sudo ufw default kommando.

Firewall-politikker er grundlaget for opbygning af mere detaljerede og brugerdefinerede regler. I de fleste tilfælde er de oprindelige UFW-standardpolitikker et godt udgangspunkt.

Ansøgningsprofiler

Når du installerer en pakke med apt kommandoen, tilføjer den en applikationsprofil til /etc/ufw/applications.d . Profilen beskriver tjenesten og indeholder UFW-indstillinger.

Du kan liste alle tilgængelige applikationsprofiler på din server ved at skrive:

sudo ufw app list

Afhængig af de pakker, der er installeret på dit system, ser output ud på følgende:

Available applications: Dovecot IMAP Dovecot POP3 Dovecot Secure IMAP Dovecot Secure POP3 Nginx Full Nginx HTTP Nginx HTTPS OpenSSH Postfix Postfix SMTPS Postfix Submission

For at finde mere information om en bestemt profil og inkluderede regler skal du bruge følgende kommando:

sudo ufw app info 'Nginx Full'

Profile: Nginx Full Title: Web Server (Nginx, HTTP + HTTPS) Description: Small, but very powerful and efficient web server Ports: 80, 443/tcp

Som du kan se fra output over 'Nginx Full' -profilen åbner port 80 og 443 .

Tillad SSH-forbindelser

Inden du aktiverer UFW-firewallen, skal vi tilføje en regel, der tillader indgående SSH-forbindelser. Hvis du opretter forbindelse til din server fra en ekstern placering, hvilket næsten altid er tilfældet, og du aktiverer UFW-firewallen, før du eksplicit tillader indgående SSH-forbindelser, vil du ikke længere kunne oprette forbindelse til din Ubuntu-server.

Hvis du vil konfigurere din UFW-firewall til at tillade indgående SSH-forbindelser, skal du skrive følgende kommando:

sudo ufw allow ssh

Rules updated Rules updated (v6)

Hvis du ændrede SSH-porten til en brugerdefineret port i stedet for porten 22, skal du åbne den port.

Hvis din ssh-dæmon f.eks. Lytter på port 4422 , kan du bruge følgende kommando til at tillade forbindelser på den port:

sudo ufw allow 4422/tcp

Aktivér UFW

Nu hvor din UFW-firewall er konfigureret til at tillade indgående SSH-forbindelser, kan vi aktivere den ved at skrive:

sudo ufw enable

Command may disrupt existing ssh connections. Proceed with operation (y|n)? y Firewall is active and enabled on system startup

Du vil blive advaret om, at aktivering af firewall kan forstyrre eksisterende ssh-forbindelser, bare skriv y og tryk på Enter .

Tilslut forbindelser på andre porte

Afhængigt af de applikationer, der kører på din server og dine specifikke behov, skal du også give indgående adgang til nogle andre porte.

Nedenfor viser vi et par eksempler på, hvordan du tillader indgående forbindelser til nogle af de mest almindelige tjenester:

Åben port 80 - HTTP

HTTP-forbindelser kan tillades med følgende kommando:

sudo ufw allow

i stedet for http kan du bruge portnummeret, 80:

sudo ufw allow 80/tcp

eller du kan bruge applikationsprofilen, i dette tilfælde 'Nginx

sudo ufw allow 'Nginx

Åben port 443 - HTTPS

HTTP-forbindelser kan tillades med følgende kommando:

sudo ufw allow

For at opnå det samme i stedet for https profil kan du bruge portnummeret, 443 :

sudo ufw allow 443/tcp

eller du kan bruge applikationsprofilen 'Nginx

sudo ufw allow 'Nginx

Åben port 8080

sudo ufw allow 8080/tcp

Tillad portområder

I stedet for at give adgang til enkeltporte giver UFW os mulighed for at give adgang til havneområder. Når du tillader portintervaller med UFW, skal du specificere protokollen, enten tcp eller udp . Hvis du f.eks. 7100 tillade porte fra 7100 til 7200 på både tcp og udp skal du køre følgende kommando:

sudo ufw allow 7100:7200/tcp sudo ufw allow 7100:7200/udp

Tillad specifikke IP-adresser

For at give adgang på alle porte fra din hjemmemaskine med IP-adresse 64.63.62.61 skal du specificere from efterfulgt af den IP-adresse, du vil hvidliste:

sudo ufw allow from 64.63.62.61

Tillad specifikke IP-adresser på den specifikke port

For at give adgang til en bestemt port, lad os sige port 22 fra din arbejdsmaskine med IP-adresse 64.63.62.61, brug to any port efterfulgt af portnummer:

sudo ufw allow from 64.63.62.61 to any port 22

Tillad undernet

Kommandoen for at tillade forbindelse til et subnet med IP-adresser er den samme som når du bruger en enkelt IP-adresse, den eneste forskel er, at du har brug for at specificere netmasken. Hvis du f.eks. Vil give adgang til IP-adresser, der spænder fra 192.168.1.1 til 192.168.1.254 til port 3360 (MySQL), kan du bruge denne kommando:

sudo ufw allow from 192.168.1.0/24 to any port 3306

Tilslut forbindelser til en bestemt netværksgrænseflade

For at tillade adgang på en bestemt port, lad os sige port 3360 kun til specifik netværksgrænseflade eth2 , så skal du specificere allow in on og navnet på netværksgrænsefladen:

sudo ufw allow in on eth2 to any port 3306

Nægt forbindelser

Standardpolitikken for alle indgående forbindelser er indstillet til at deny og hvis du ikke har ændret den, blokerer UFW alle indgående forbindelser, medmindre du specifikt åbner forbindelsen.

Lad os sige, at du åbnede portene 80 og 443 og din server er under angreb fra 23.24.25.0/24 . For at afvise alle forbindelser fra 23.24.25.0/24 kan du bruge følgende kommando:

sudo ufw deny from 23.24.25.0/24

sudo ufw deny from 23.24.25.0/24 to any port 80 sudo ufw deny from 23.24.25.0/24 to any port 443

Regler for skriveafbrydelse er det samme som regler for skrivetilladelse, du behøver kun at erstatte allow med deny .

Slet UFW-regler

Der er to forskellige måder at slette UFW-regler, efter regelnummer og ved at specificere den faktiske regel.

Sletning af UFW-regler efter regelnummer er lettere, især hvis du er ny med UFW. Hvis du først skal slette en regel ved et reglenummer, skal du finde nummeret på den regel, du vil slette, du kan gøre det med følgende kommando:

sudo ufw status numbered

Status: active To Action From -- ------ ---- 22/tcp ALLOW IN Anywhere 80/tcp ALLOW IN Anywhere 8080/tcp ALLOW IN Anywhere

For at slette regel nummer 3, den regel, der tillader forbindelser til port 8080, skal du bruge følgende kommando:

sudo ufw delete 3

Den anden metode er at slette en regel ved at specificere den faktiske regel, for eksempel hvis du tilføjede en regel til at åbne port 8069 , kan du slette den med:

sudo ufw delete allow 8069

Deaktiver UFW

Hvis du af en eller anden grund ønsker at stoppe UFW og deaktivere alle de regler, du kan bruge:

sudo ufw disable

Senere, hvis du vil aktivere UTF igen og aktivere alle regler, skal du bare skrive:

sudo ufw enable

Nulstil UFW

Nulstilling af UFW deaktiverer UFW og sletter alle aktive regler. Dette er nyttigt, hvis du vil vende tilbage til alle dine ændringer og begynde på ny.

For at nulstille UFW skal du blot indtaste følgende kommando:

sudo ufw reset

Konklusion

Du har lært, hvordan du installerer og konfigurerer UFW-firewall på din Ubuntu 18.04-server. Sørg for at tillade alle indgående forbindelser, der er nødvendige for korrekt funktion af dit system, mens du begrænser alle unødvendige forbindelser.

ufw firewall iptables ubuntu-sikkerhed