Hogyan állítsunk be tűzfalat az ufw használatával a debian 9 rendszeren

A Debian számos olyan csomagot tartalmaz, amelyek eszközöket biztosítanak az alaprendszer részeként telepített iptable-kkel rendelkező tűzfal kezelésére. A kezdők számára bonyolult lehet megtanulni, hogyan kell az iptables eszközt használni a tűzfal megfelelő konfigurálásához és kezeléséhez, ám az UFW egyszerűsíti.

Az UFW (Komplikálatlan tűzfal) felhasználóbarát kezelőfelület az iptable tűzfalszabályok kezelésére, amelynek fő célja az iptable kezelésének megkönnyítése, vagy amint a neve azt mondja, bonyolult.

Ebben az oktatóanyagban megmutatjuk, hogyan állítsunk be tűzfalat az UFW-vel a Debian 9-en.

Előfeltételek

Mielőtt folytatná ezt az oktatóprogramot, ellenőrizze, hogy a bejelentkezett felhasználó rendelkezik-e sudo jogosultságokkal.

Telepítse az UFW-t

Az UFW alapértelmezés szerint nincs telepítve a Debian 9-ben. Az ufw csomagot a következő gépeléssel telepítheti:

sudo apt install ufw

Ellenőrizze az UFW állapotát

A telepítés befejezése után az UFW állapotát a következő paranccsal ellenőrizheti:

sudo ufw status verbose

A kimenet így néz ki:

Status: inactive

Az UFW alapértelmezés szerint le van tiltva. A telepítés nem aktiválja a tűzfalat automatikusan, hogy elkerülje a kiszolgáló lezárását.

Ha az UFW aktiválva van, a kimenet a következőhöz hasonlóan néz ki:

UFW alapértelmezett házirendek

Alapértelmezés szerint az UFW blokkolja az összes bejövő kapcsolatot és engedélyezi az összes kimenő kapcsolatot. Ez azt jelenti, hogy bárki, aki megpróbálja elérni a szervert, csak akkor tud csatlakozni, ha Ön kifejezetten kinyitja a portot, míg a szerveren futó összes alkalmazás és szolgáltatás hozzáférhet a külvilághoz.

Az alapértelmezett szabályokat az /etc/default/ufw fájl határozza meg, és a sudo ufw default megváltoztathatók. parancs.

A tűzfalakra vonatkozó irányelvek képezik a részletesebb és a felhasználó által meghatározott szabályok felépítésének alapját. A legtöbb esetben a kezdeti UFW alapértelmezett házirendek jó kiindulási pontot jelentenek.

Alkalmazási profilok

Az apt csomaggal történő telepítésekor az /etc/ufw/applications.d könyvtárba egy alkalmazásprofil kerül hozzáadásra, amely leírja a szolgáltatást és UFW beállításokat tartalmaz.

A rendszertípuson elérhető összes alkalmazásprofil felsorolása:

sudo ufw app list

A rendszerre telepített csomagoktól függően a kimenet a következőhöz hasonlóan néz ki:

Available applications: DNS IMAP IMAPS OpenSSH POP3 POP3S Postfix Postfix SMTPS Postfix Submission…

Ha további információt szeretne kapni egy adott profilról és a benne szereplő szabályokról, használja a következő parancsot:

sudo ufw app info OpenSSH

Profile: OpenSSH Title: Secure shell server, an rshd replacement Description: OpenSSH is a free implementation of the Secure Shell protocol. Port: 22/tcp

A fenti kimenet azt mondja nekünk, hogy az OpenSSH profil megnyitja a 22 portot.

Engedélyezze az SSH kapcsolatokat

Az UFW tűzfal engedélyezése előtt engedélyeznie kell a bejövő SSH kapcsolatokat.

Ha távoli helyről csatlakozik a kiszolgálóhoz, ami szinte mindig így van, és engedélyezi az UFW tűzfalat, mielőtt kifejezetten engedélyezi a bejövő SSH kapcsolatokat, akkor nem lesz képes csatlakozni a Debian szerverhez.

Az UFW tűzfal konfigurálásához a bejövő SSH kapcsolatok engedélyezéséhez futtassa a következő parancsot:

sudo ufw allow OpenSSH

Rules updated Rules updated (v6)

Ha az SSH szerver az alapértelmezett 22 porttól eltérő porton hallgat, akkor azt meg kell nyitnia.

Például, az ssh-kiszolgálója a 8822 -es porton hallgat, akkor a következő paranccsal engedélyezheti a kapcsolatok létesítését az adott porton:

sudo ufw allow 8822/tcp

Engedélyezze az UFW-t

Most, hogy az UFW tűzfal úgy van beállítva, hogy engedélyezi a bejövő SSH kapcsolatokat, engedélyezheti azt a következő futtatásával:

sudo ufw enable

Command may disrupt existing ssh connections. Proceed with operation (y|n)? y Firewall is active and enabled on system startup

Figyelmeztetést kap, hogy a tűzfal engedélyezése megszakíthatja a meglévő ssh-kapcsolatokat, írja Enter csak az y és nyomja Enter .

Kapcsolódás engedélyezése más portokon

A kiszolgálón futó alkalmazásokatól és az Ön egyedi igényeitől függően engedélyeznie kell a bejövő hozzáférést más portokhoz.

Az alábbiakban bemutatunk néhány példát a beérkező kapcsolatok engedélyezésére a leggyakoribb szolgáltatásokhoz:

Nyissa meg a 80-as portot - HTTP

A HTTP kapcsolatok engedélyezhetők a következő paranccsal:

sudo ufw allow

A http profil helyett használhatja a 80 portszámot:

sudo ufw allow 80/tcp

Nyissa meg a 443-as portot - HTTPS

A HTTP kapcsolatok engedélyezhetők a következő paranccsal:

sudo ufw allow

A https helyett ugyanez eléréséhez használhatja a 443 portszámot:

sudo ufw allow 443/tcp

Nyissa meg a 8080-as portot

sudo ufw allow 8080/tcp

Engedélyezze a porttartományokat

Az UFW segítségével engedélyezheti a porttartományokhoz való hozzáférést is. Ha engedélyezi a porttartományokat az UFW segítségével, meg kell adnia a protokollt, vagy a tcp vagy az udp .

Például a 7100 és 7200 közötti portok engedélyezéséhez a tcp és az udp futtassa a következő parancsot:

sudo ufw allow 7100:7200/tcp sudo ufw allow 7100:7200/udp

Adott IP-címek engedélyezése

sudo ufw allow from 64.63.62.61

Adott IP-címek engedélyezése az adott porton

Adott porton való hozzáférés engedélyezéséhez tegyük fel, hogy a 64.63.62.61 IP-címmel rendelkező munkagép 22. portját használja a következő paranccsal:

sudo ufw allow from 64.63.62.61 to any port 22

Alhálózatok engedélyezése

Az IP-címek alhálózatához való kapcsolódás engedélyezésének parancsa ugyanaz, mint egyetlen IP-cím használatakor, az egyetlen különbség, hogy meg kell határoznia a hálómaszkot. Például, ha engedélyezni kívánja a 192.168.1.1 és 192.168.1.254 közötti IP-címek elérését a 3360-as porthoz (MySQL), akkor ezt a parancsot használhatja:

sudo ufw allow from 192.168.1.0/24 to any port 3306

Kapcsolódás engedélyezése egy adott hálózati interfészhez

Adott porton való hozzáférés engedélyezéséhez, mondjuk a 3360-as portot csak az eth2 adott hálózati interfészére, használja az allow in on és a hálózati interfész nevét:

sudo ufw allow in on eth2 to any port 3306

Tagadja meg a kapcsolatokat

Az összes bejövő kapcsolat alapértelmezett házirendje meg van deny ami azt jelenti, hogy az UFW blokkolja az összes bejövő kapcsolatot, kivéve, ha kifejezetten megnyitja a kapcsolatot.

Tegyük fel, hogy kinyitotta a 80 443 és a 443 portokat, és kiszolgálója támadás alatt áll a 23.24.25.0/24 hálózaton keresztül. A 23.24.25.0/24 összes kapcsolat megtagadásához használja a következő parancsot:

sudo ufw deny from 23.24.25.0/24

sudo ufw deny from 23.24.25.0/24 to any port 80 sudo ufw deny from 23.24.25.0/24 to any port 443

Az elutasító szabályok írása megegyezik az engedélyezési szabályok írásával, az engedélyezést csak deny kell helyettesíteni.

Törölje az UFW szabályokat

Kétféle módon lehet törölni az UFW szabályokat: szabályszám és az aktuális szabály megadása alapján.

Az UFW szabályok törlése a szabályszám alapján könnyebb, különösen, ha még nem ismeri az UFW szabályokat.

Egy szabály számon történő törléséhez először meg kell találnia a törölni kívánt szabály számát. A következő parancs futtatásához:

sudo ufw status numbered

Status: active To Action From -- ------ ---- 22/tcp ALLOW IN Anywhere 80/tcp ALLOW IN Anywhere 8080/tcp ALLOW IN Anywhere

A 3. számú szabály, amely lehetővé teszi a 8080-as porthoz való csatlakozást, törléséhez használhatja a következő parancsot:

sudo ufw delete 2

A második módszer egy szabály törlése az aktuális szabály megadásával. Például, ha hozzáadott egy szabályt a 8069 port megnyitásához, törölheti azt a következőkkel:

sudo ufw delete allow 8069

Az UFW letiltása

Ha valamilyen okból meg akarja állítani az UFW-t, és deaktiválni az összes futtatott szabályt:

sudo ufw disable

Később, ha újra engedélyezni szeretné az UTF-et és aktiválni az összes szabályt, írja be:

sudo ufw enable

Reset UFW

Az UFW visszaállítása letiltja az UFW használatát, és törli az összes aktív szabályt. Ez akkor hasznos, ha vissza szeretné állítani az összes változtatást, és frissnek szeretné kezdeni.

Az UFW visszaállításához egyszerűen írja be a következő parancsot:

sudo ufw reset

Következtetés

Megtanulta az UFW tűzfal telepítését és konfigurálását a Debian 9 gépen. Ügyeljen arra, hogy minden bejövő kapcsolatot, amely a rendszer megfelelő működéséhez szükséges, korlátozza minden felesleges kapcsolatot.

ufw tűzfal iptables debian biztonság