Kuinka määrittää palomuurin ufw: llä ubuntu 18.04: lla

Oikein konfiguroitu palomuuri on yksi tärkeimmistä näkökohdista järjestelmän yleiseen turvallisuuteen. Oletusarvon mukaan Ubuntu toimittaa palomuurin määritystyökalun nimeltä UFW (Uncomplicated Firewall). UFW on käyttäjäystävällinen käyttöliittymä iptable-palomuurisääntöjen hallintaan ja sen päätavoite on helpottaa iptable-ohjelmien hallintaa tai kuten nimessä sanotaan olevan mutkaton.

edellytykset

Ennen kuin aloitat tämän opetusohjelman, varmista, että olet kirjautunut palvelimellesi käyttäjätilillä, jolla on sudo-oikeudet, tai pääkäyttäjällä. Paras tapa on suorittaa järjestelmänvalvojan komentoja sudo-käyttäjänä root-käyttäjän sijasta. Jos sinulla ei ole sudo-käyttäjää Ubuntu-järjestelmässä, voit luoda käyttäjän noudattamalla näitä ohjeita.

Asenna UFW

Yksinkertainen palomuuri tulisi asentaa oletuksena Ubuntu 18.04 -versioon, mutta jos sitä ei ole asennettu järjestelmään, voit asentaa paketin kirjoittamalla:

sudo apt install ufw

Tarkista UFW-tila

Kun asennus on valmis, voit tarkistaa UFW: n tilan seuraavalla komennolla:

sudo ufw status verbose

UFW on oletuksena poissa käytöstä. Jos et ole koskaan aktivoinut UFW: tä aiemmin, ulostulo näyttää tältä:

Status: inactive

Jos UFW on aktivoitu, lähtö näyttää samanlaiselta seuraavalta:

UFW-oletuskäytännöt

Oletuksena UFW estää kaikki saapuvat yhteydet ja sallii kaikki lähtevät yhteydet. Tämä tarkoittaa, että kuka tahansa yrittää päästä palvelimellesi ei voi muodostaa yhteyttä, ellet avaa erityistä porttia, kun taas kaikki palvelimellasi olevat sovellukset ja palvelut pääsevät ulkopuolelle.

Oletuspolitiikat määritetään tiedostossa /etc/default/ufw ja niitä voidaan muuttaa käyttämällä sudo ufw default komento.

Palomuurisäännöt ovat perusta yksityiskohtaisempien ja käyttäjän määrittelemien sääntöjen rakentamiselle. Useimmissa tapauksissa alkuperäiset UFW-oletuskäytännöt ovat hyvä lähtökohta.

Sovellusprofiilit

Kun asennat paketin apt komennolla, se lisää sovellusprofiilin hakemistoon /etc/ufw/applications.d . Profiili kuvaa palvelua ja sisältää UFW-asetukset.

Voit luetteloida kaikki palvelimellasi olevat sovellusprofiilit kirjoittamalla:

sudo ufw app list

Järjestelmään asennetuista paketeista riippuen lähtö näyttää samanlaiselta kuin seuraava:

Available applications: Dovecot IMAP Dovecot POP3 Dovecot Secure IMAP Dovecot Secure POP3 Nginx Full Nginx HTTP Nginx HTTPS OpenSSH Postfix Postfix SMTPS Postfix Submission

Jos haluat lisätietoja tietystä profiilista ja mukana olevista säännöistä, käytä seuraavaa komentoa:

sudo ufw app info 'Nginx Full'

Profile: Nginx Full Title: Web Server (Nginx, HTTP + HTTPS) Description: Small, but very powerful and efficient web server Ports: 80, 443/tcp

Kuten Nginx Full -profiilin yläpuolella olevasta tuotosta voidaan nähdä, portit 80 ja 443 aukeavat.

Salli SSH-yhteydet

Ennen UFW-palomuurin käyttöönottoa meidän on lisättävä sääntö, joka sallii tulevat SSH-yhteydet. Jos muodostat yhteyden palvelimeesi etäpaikasta, mikä on melkein aina tapaus, ja otat UFW-palomuurin käyttöön ennen kuin sallit tulevat SSH-yhteydet, et enää voi muodostaa yhteyttä Ubuntu-palvelimeesi.

Määritä UFW-palomuuri sallimaan tulevat SSH-yhteydet kirjoittamalla seuraava komento:

sudo ufw allow ssh

Rules updated Rules updated (v6)

Jos muutit SSH-portin mukautettuun porttiin portin 22 sijasta, sinun on avattava kyseinen portti.

Jos esimerkiksi ssh-demoni kuuntelee porttia 4422 , voit käyttää seuraavaa komentoa salliaksesi yhteydet porttiin:

sudo ufw allow 4422/tcp

Ota UFW käyttöön

Nyt kun UFW-palomuurisi on määritetty sallimaan tulevat SSH-yhteydet, voimme ottaa sen käyttöön kirjoittamalla:

sudo ufw enable

Command may disrupt existing ssh connections. Proceed with operation (y|n)? y Firewall is active and enabled on system startup

Sinua varoitetaan, että palomuurin ottaminen käyttöön voi häiritä olemassa olevia ssh-yhteyksiä. Enter vain y ja paina Enter .

Salli yhteydet muihin portteihin

Palvelimellasi toimivista sovelluksista ja erityistarpeista riippuen sinun on myös sallittava saapuva pääsy joihinkin muihin portteihin.

Seuraavassa esitetään muutama esimerkki siitä, kuinka saapuvat yhteydet voidaan sallia yleisimpiin palveluihin:

Avaa portti 80 - HTTP

HTTP-yhteydet voidaan sallia seuraavalla komennolla:

sudo ufw allow

http: n sijaan voit käyttää porttinumeroa 80:

sudo ufw allow 80/tcp

tai voit käyttää sovellusprofiilia, tässä tapauksessa 'Nginx

sudo ufw allow 'Nginx

Avaa portti 443 - HTTPS

HTTP-yhteydet voidaan sallia seuraavalla komennolla:

sudo ufw allow

Voit saavuttaa saman https profiilin sijasta käyttämällä porttinumeroa 443 :

sudo ufw allow 443/tcp

tai voit käyttää sovellusprofiilia 'Nginx

sudo ufw allow 'Nginx

Avaa portti 8080

sudo ufw allow 8080/tcp

Salli porttivälit

Sen sijaan, että sallittaisiin pääsy yksittäisiin portteihin, UFW antaa meille mahdollisuuden käyttää porttialueita. Kun sallit porttiväliä UFW: n kanssa, sinun on määritettävä protokolla, joko tcp tai udp . Jos esimerkiksi haluat sallia portit välillä 7100 - 7200 sekä tcp että udp suorita seuraava komento:

sudo ufw allow 7100:7200/tcp sudo ufw allow 7100:7200/udp

Salli tietyt IP-osoitteet

Jotta pääsy kaikille kotikoneesi porteille, joiden IP-osoite on 64.63.62.61, määritä seuraavasta IP-osoitteesta, jonka haluat lisätä valkoiseen luetteloon:

sudo ufw allow from 64.63.62.61

Salli tietyt IP-osoitteet tietyssä portissa

Jotta pääsy tietylle portille, sanotaan esimerkiksi portti 22 työkoneeltasi, jonka IP-osoite on 64.63.62.61, käytä to any port jota seuraa porttinumero:

sudo ufw allow from 64.63.62.61 to any port 22

Salli aliverkot

Komento IP-osoitteiden aliverkkoon yhteyden sallimiseksi on sama kuin käytettäessä yhtä IP-osoitetta, ainoa ero on, että sinun on määritettävä verkkomaski. Esimerkiksi, jos haluat sallia pääsyn IP-osoitteille välillä 192.168.1.1 - 192.168.1.254 porttiin 3360 (MySQL), voit käyttää tätä komentoa:

sudo ufw allow from 192.168.1.0/24 to any port 3306

Salli yhteydet tiettyyn verkkorajapintaan

Jotta tietyllä portilla pääsy sallittaisiin, sanotaan esimerkiksi portti 3360 vain tietylle verkkoliittymälle eth2 , sinun on määritettävä allow in on ja verkkoliittymän nimi:

sudo ufw allow in on eth2 to any port 3306

Estä yhteydet

Kaikkien saapuvien yhteyksien oletuskäytäntö on asetettu deny Jos et ole muuttanut sitä, UFW estää kaikki tulevat yhteydet, ellet avaa erityistä yhteyttä.

Oletetaan, että olet avannut portit 80 ja 443 ja palvelimesi on uhattuna 23.24.25.0/24 -verkosta. Voit estää kaikki yhteydet 23.24.25.0/24 käyttämällä seuraavaa komentoa:

sudo ufw deny from 23.24.25.0/24

sudo ufw deny from 23.24.25.0/24 to any port 80 sudo ufw deny from 23.24.25.0/24 to any port 443

Estämissääntöjen kirjoittaminen on sama kuin sallimissääntöjen kirjoittaminen, sinun on korvattava allow vain deny .

Poista UFW-säännöt

UFW-sääntöjä voidaan poistaa kahdella eri tavalla, sääntönumeron mukaan ja määrittämällä todellinen sääntö.

UFW-sääntöjen poistaminen sääntönumeron perusteella on helpompaa, varsinkin jos olet uusi UFW-järjestelmä. Jos haluat poistaa säännön säännön perusteella, sinun on ensin löydettävä poistettavan säännön numero suorittamalla se seuraavalla komennolla:

sudo ufw status numbered

Status: active To Action From -- ------ ---- 22/tcp ALLOW IN Anywhere 80/tcp ALLOW IN Anywhere 8080/tcp ALLOW IN Anywhere

Poista sääntö 3, sääntö, joka sallii yhteydet porttiin 8080, poistamalla seuraavat komennot:

sudo ufw delete 3

Toinen tapa on poistaa sääntö määrittelemällä todellinen sääntö, esimerkiksi jos olet lisännyt säännön portin 8069 voit poistaa sen:

sudo ufw delete allow 8069

Poista UFW käytöstä

Jos jostain syystä haluat pysäyttää UFW: n ja poistaa käytöstä kaikki käyttämäsi säännöt:

sudo ufw disable

Kirjoita myöhemmin, jos haluat ottaa UTF: n uudelleen käyttöön ja aktivoida kaikki säännöt:

sudo ufw enable

Nollaa UFW

UFW: n nollaaminen poistaa UFW: n käytöstä ja poistaa kaikki aktiiviset säännöt. Tästä on apua, jos haluat palauttaa kaikki muutokset ja aloittaa uudet.

Nollaa UFW kirjoittamalla seuraava komento:

sudo ufw reset

johtopäätös

Olet oppinut asentamaan ja määrittämään UFW-palomuurin Ubuntu 18.04 -palvelimeen. Muista sallia kaikki tulevat yhteydet, jotka ovat tarpeen järjestelmän moitteettoman toiminnan kannalta, rajoittamatta samalla kaikkia tarpeettomia yhteyksiä.

ufw palomuuri iptables ubuntu-tietoturva