Nainštalujte UFW: Ako nastaviť základný firewall na Linuxe

UFW (Uncomplicated Firewall) zjednodušuje správu firewallu v Linuxe tým, že poskytuje ľahko použiteľné rozhranie pre iptables. Tento návod pokrýva inštaláciu a konfiguráciu UFW na distribúciách založených na Debiane, od základného nastavenia až po praktické konfigurácie firewallu pre stolné počítače a webové servery.

V tomto návode sa naučíte:

• Ako nainštalovať UFW na distribúciách založených na Debian
• Ako nakonfigurovať predvolené pravidlá firewallu
• Ako povoliť a zakázať prevádzku podľa služby, portu a IP
• Ako používať profily aplikácií UFW
• Ako nastaviť pravidlá firewallu pre stolné počítače a servery

Zhrnutie článku: Nainštalujte UFW pomocou sudo apt install ufw, potom nakonfigurujte predvolené pravidlá a zapnite firewall.

sudo apt install ufw

sudo ufw allow ssh

sudo ufw enable

Nainštalovať UFW

UFW je dostupný v predvolených repozitároch distribúcií založených na Debiane. Nainštalujte ho pomocou správcu balíkov apt:

$ sudo apt install ufw

Po inštalácii je UFW štandardne neaktívny. To vám umožňuje nakonfigurovať vaše pravidlá pred povolením firewallu, čím sa zabráni náhodnému zablokovaniu prístupu z diaľkových systémov.

Nastavte svoje predvolené hodnoty

Rovnako ako pri iptables je najlepšie začať nastavením predvoleného správania. Na desktopoch zvyčajne chcete odmietať prichádzajúcu prevádzku a zároveň povoliť odchádzajúce pripojenia.

$ sudo ufw default deny incoming

Syntax pre povolenie prenosu je podobná:

$ sudo ufw default allow outgoing

Tieto predvolené nastavenia zabezpečujú, že nechcené prichádzajúce pripojenia sú zablokované, zatiaľ čo váš systém stále môže pristupovať na internet a externé služby.

Základné použitie

Teraz ste pripravení začať nastavovať pravidlá a spravovať svoj firewall. Príkazy UFW sú navrhnuté tak, aby boli čitateľné a intuitívne.

Štartovanie a zastavovanie

Hoci môžete použiť systemd na ovládanie UFW, má vlastné ovládacie prvky, ktoré sú jednoduchšie. Začnite povolením UFW:

$ sudo ufw enable

Na zastavenie a deaktiváciu UFW pri spustení:

$ sudo ufw disable

Skontrolujte, či je UFW spustený a zobrazte aktívne pravidlá:

$ sudo ufw status

Pre podrobnejší výstup vrátane čísiel pravidiel:

$ sudo ufw status numbered

Príkazy

Povoliť prichádzajúcu HTTP prevádzku pomocou názvu služby:

$ sudo ufw allow http

Povoliť SSH pripojenia:

$ sudo ufw allow ssh

Rovnaký výsledok môžete dosiahnuť použitím čísel portov. Tento príkaz povoľuje prichádzajúcu HTTPS komunikáciu na porte 443:

$ sudo ufw allow 443

Povoliť prenos z konkrétnej IP adresy alebo rozsahu sietí. Tento príklad povoľuje celý prenos z lokálnej siete:

$ sudo ufw allow from 192.168.1.0/24

Pre rozsah portov zadajte protokol (TCP alebo UDP):

$ sudo ufw allow 56881:56889/tcp

Použite deny namiesto allow na blokovanie prenosu:

$ sudo ufw deny from 192.168.1.110

Ak chcete konkrétne zacieliť odchádzajúce pripojenia, zahrňte out:

$ sudo ufw allow out ssh

Ak chcete vymazať pravidlo, použite číslo pravidla z ufw status numbered:

$ sudo ufw delete 3

Profily aplikácií UFW

UFW obsahuje profily aplikácií, ktoré definujú pravidlá brány firewall pre bežné služby. Tieto profily zjednodušujú konfiguráciu tým, že zoskupujú nastavenia portov a protokolov pod rozpoznateľné názvy aplikácií.

Zoznam dostupných profilov aplikácií:

$ sudo ufw app list

Zobraziť podrobnosti o konkrétnom profile aplikácie:

$ sudo ufw app info OpenSSH

Toto zobrazuje porty a protokoly, ktoré aplikácia používa. Ak chcete povoliť aplikáciu cez bránu firewall:

$ sudo ufw allow OpenSSH

Bežné aplikačné profily zahŕňajú OpenSSH, Apache, Apache Full, Nginx Full a ďalšie v závislosti od nainštalovaného softvéru. Aplikačné profily sú uložené v /etc/ufw/applications.d/ a môžete si vytvoriť vlastné profily pre svoje aplikácie.

Nastavenie počítača

Tento príklad poskytuje východiskový bod pre základnú konfiguráciu firewallu na počítači. Prispôsobte pravidlá podľa vašich konkrétnych potrieb.

Začnite nastavením predvolených hodnôt:

$ sudo ufw default deny incoming
$ sudo ufw default allow outgoing

Povoliť HTTP a HTTPS prenos pre webové prehliadanie:

$ sudo ufw allow http
$ sudo ufw allow https

Povoliť prístup cez SSH:

$ sudo ufw allow ssh

Povoliť NTP na synchronizáciu času systému:

$ sudo ufw allow ntp

Pokiaľ nepoužívate statickú IP adresu, povoľte DHCP na portoch 67 a 68:

$ sudo ufw allow 67:68/udp

Povoliť DNS prevádzku pre riešenie doménových mien:

$ sudo ufw allow 53

Pre torrentové klienty ako Deluge:

$ sudo ufw allow 56881:56889/tcp

Steam vyžaduje viacero portov:

$ sudo ufw allow 27000:27036/udp
$ sudo ufw allow 27036:27037/tcp
$ sudo ufw allow 4380/udp

Nastavenie webového servera

Webové servery vyžadujú prísnejšiu konfiguráciu, aby sa minimalizovala plocha útoku a zároveň sa zabezpečil neprerušený tok legitímnej prevádzky.

Pre servery predvolene odmietnite všetku prevádzku. Pred vykonaním týchto zmien vypnite firewall, aby ste neprišli o prístup cez SSH:

$ sudo ufw default deny incoming
$ sudo ufw default deny outgoing
$ sudo ufw default deny forward

Povoliť prichádzajúcu aj odchádzajúcu webovú prevádzku:

$ sudo ufw allow http
$ sudo ufw allow out http
$ sudo ufw allow https
$ sudo ufw allow out https

Povoliť SSH pre vzdialenú správu:

$ sudo ufw allow ssh
$ sudo ufw allow out ssh

Povoliť NTP na synchronizáciu času:

$ sudo ufw allow ntp
$ sudo ufw allow out ntp

Povoliť DNS pre aktualizácie balíkov a riešenie mien domén:

$ sudo ufw allow 53
$ sudo ufw allow out 53

Záver

UFW poskytuje jednoduchý prístup k správe firewallu na linuxových systémoch. Napriek svojej jednoduchosti je UFW pripravený na použitie v produkcii, pretože funguje ako frontend pre iptables a poskytuje rovnakú robustnú bezpečnosť. Príklady v tejto príručke pokrývajú bežné konfigurácie pre desktop aj servery, ale pravidlá by ste mali prispôsobiť podľa vašich konkrétnych požiadaviek a nastavenia siete. Pre kompletnú dokumentáciu sa odkazujte na oficiálnu man stránku UFW.

Často kladené otázky

1. Ako zistiť, či UFW blokuje konkrétne pripojenie? Použite sudo ufw status verbose na zobrazenie všetkých aktívnych pravidiel a ich politík. Môžete tiež skontrolovať logy UFW na /var/log/ufw.log pre zablokované pokusy o pripojenie. Aktivujte logovanie pomocou sudo ufw logging on, ak ešte nie je zapnuté.
2. Môžem resetovať UFW do jeho predvoleného stavu? Áno, spustite sudo ufw reset na odstránenie všetkých pravidiel a vypnutie firewallu. Tým sa UFW vráti do pôvodného stavu po inštalácii, čo je užitočné, ak ste urobili chyby v konfigurácii a chcete začať odznova.
3. Aký je rozdiel medzi ufw allow a ufw limit? Príkaz allow povoľuje všetku zhody s pravidlami premávku, zatiaľ čo limit pridáva obmedzenie rýchlosti na prevenciu útokov hrubou silou. Napríklad sudo ufw limit ssh povoľuje SSH pripojenia, ale zablokuje IP adresu, ktorá sa pokúsi o viac než 6 pripojení za 30 sekúnd.
4. Pretrváva UFW po reštarte? Áno, po zapnutí pomocou sudo ufw enable sa UFW automaticky spustí pri štarte systému a načíta vaše uložené pravidlá. Pravidlá sú uložené v /etc/ufw/ a pretrvávajú aj po reštartovaní bez ďalšej konfigurácie.