Asenna UFW: Kuinka perustaa peruspalomuuri Linuxille

UFW (Uncomplicated Firewall) yksinkertaistaa Linux-palomuurin hallintaa tarjoamalla helppokäyttöisen käyttöliittymän iptablesille. Tämä opas kattaa UFW:n asentamisen ja konfiguroinnin Debian-pohjaisissa jakeluissa, perustason asetuksista käytännön palomuurikonfiguraatioihin työpöydillä ja verkkopalvelimilla.

Tässä oppaassa opit:

• Kuinka asentaa UFW Debian-pohjaisiin jakeluihin
• Kuinka määrittää oletustason palomuuripolitiikat
• Kuinka sallia ja estää liikenne palvelun, portin ja IP-osoitteen mukaan
• Kuinka käyttää UFW-sovellusprofiileja
• Kuinka määrittää palomuurisäännöt työpöydille ja palvelimille

Artikkelin yhteenveto: Asenna UFW komennolla sudo apt install ufw, määritä sitten oletuspolitiikat ja ota palomuuri käyttöön.

sudo apt install ufw

sudo ufw allow ssh

sudo ufw enable

Asenna UFW

UFW on saatavilla Debian-pohjaisten jakeluiden oletuspakettivarastoissa. Asenna se käyttämällä apt-paketinhallintaa:

$ sudo apt install ufw

Asennuksen jälkeen UFW on oletuksena poistettu käytöstä. Tämä antaa sinun määrittää sääntöjäsi ennen palomuurin ottamista käyttöön, estäen vahingossa tapahtuvat lukitukset etäjärjestelmistä.

Aseta Oletukset

Kuten iptablesin kanssa, on parasta aloittaa asettamalla oletuskäyttäytyminen. Työpöytäkoneilla yleensä haluat estää saapuvan liikenteen samalla kun sallit lähtevät yhteydet.

$ sudo ufw default deny incoming

Liikenteen sallimisen syntaksi on samanlainen:

$ sudo ufw default allow outgoing

Nämä oletusasetukset varmistavat, että ei-toivotut saapuvat yhteydet estetään samalla kun järjestelmäsi pääsee silti internetiin ja ulkoisiin palveluihin.

Peruskäyttö

Nyt olet valmis aloittamaan sääntöjen määrittämisen ja palomuurisi hallinnan. UFW-komennot on suunniteltu luettaviksi ja helppokäyttöisiksi.

Aloittaminen ja lopettaminen

Vaikka voit käyttää systemdiä UFW:n hallintaan, sillä on omat ohjauskeinonsa, jotka ovat helpompia. Aloita ottamalla UFW käyttöön:

$ sudo ufw enable

UFW:n pysäyttäminen ja poistaminen käytöstä käynnistyksen aikana:

$ sudo ufw disable

Tarkista, onko UFW käynnissä, ja katso aktiiviset säännöt:

$ sudo ufw status

Yksityiskohtaisempaa tulosta, mukaan lukien sääntönumerot:

$ sudo ufw status numbered

Komennot

Salli saapuva HTTP-liikenne käyttämällä palvelun nimeä:

$ sudo ufw allow http

Salli SSH-yhteydet:

$ sudo ufw allow ssh

Voit saavuttaa saman tuloksen käyttämällä porttinumeroita. Tämä komento sallii saapuvan HTTPS-liikenteen portissa 443:

$ sudo ufw allow 443

Salli liikenne tietystä IP-osoitteesta tai verkkoalueelta. Tämä esimerkki sallii kaiken liikenteen paikallisverkosta:

$ sudo ufw allow from 192.168.1.0/24

Määritä porttien valikoimalle protokolla (TCP tai UDP):

$ sudo ufw allow 56881:56889/tcp

Käytä deny sen sijaan, että käyttäisit allow, estääksesi liikenteen:

$ sudo ufw deny from 192.168.1.110

Voit kohdentaa nimenomaan lähtöyhteyksiä lisäämällä out:

$ sudo ufw allow out ssh

Poistaaksesi säännön, käytä sääntönumeroa komennosta ufw status numbered:

$ sudo ufw delete 3

UFW-sovellusprofiilit

UFW sisältää sovellusprofiileja, jotka määrittelevät palomuurisäännöt yleisille palveluille. Nämä profiilit yksinkertaistavat asetusten määrittämistä niputtamalla portti- ja protokolla-asetukset tunnistettavien sovellusnimien alle.

Lista saatavilla olevista sovellusprofiileista:

$ sudo ufw app list

Näytä tietoja tietystä sovellusprofiilista:

$ sudo ufw app info OpenSSH

Tämä näyttää sovelluksen käyttämät portit ja protokollat. Sovelluksen sallimiseksi palomuurin läpi:

$ sudo ufw allow OpenSSH

Yleisiä sovellusprofiileja ovat muun muassa OpenSSH, Apache, Apache Full, Nginx Full ja muut asennetusta ohjelmistosta riippuen. Sovellusprofiilit tallennetaan hakemistoon /etc/ufw/applications.d/, ja voit luoda mukautettuja profiileja omille sovelluksillesi.

Työpöydän pystyttäminen

Tämä esimerkki tarjoaa lähtökohdan perus työpöytätulipalon asetuksille. Säädä sääntöjä omien tarpeidesi mukaan.

Aloita asettamalla oletukset:

$ sudo ufw default deny incoming
$ sudo ufw default allow outgoing

Salli HTTP- ja HTTPS-liikenne verkkoselausta varten:

$ sudo ufw allow http
$ sudo ufw allow https

Ota SSH-yhteys käyttöön:

$ sudo ufw allow ssh

Salli NTP järjestelmän ajan synkronointia varten:

$ sudo ufw allow ntp

Ellet käytä staattista IP-osoitetta, salli DHCP porteissa 67 ja 68:

$ sudo ufw allow 67:68/udp

Salli DNS-liikenne verkkotunnuksen nimeämisen ratkaisemiseksi:

$ sudo ufw allow 53

Torrent-asiakasohjelmille kuten Deluge:

$ sudo ufw allow 56881:56889/tcp

Steam vaatii useita portteja:

$ sudo ufw allow 27000:27036/udp
$ sudo ufw allow 27036:27037/tcp
$ sudo ufw allow 4380/udp

Web-palvelimen pystyttäminen

Verkkopalvelimet tarvitsevat rajoittavampaa määritystä minimoidakseen hyökkäyspinta-alan samalla kun varmistetaan, että laillinen liikenne kulkee esteettä.

Palvelimille estä kaikki liikenne oletuksena. Poista palomuuri käytöstä ennen näiden muutosten tekemistä, jotta et menetä SSH-yhteyttä:

$ sudo ufw default deny incoming
$ sudo ufw default deny outgoing
$ sudo ufw default deny forward

Ota käyttöön sekä saapuva että lähtevä verkkoliikenne:

$ sudo ufw allow http
$ sudo ufw allow out http
$ sudo ufw allow https
$ sudo ufw allow out https

Salli SSH etähallintaa varten:

$ sudo ufw allow ssh
$ sudo ufw allow out ssh

Ota NTP käyttöön ajan synkronointia varten:

$ sudo ufw allow ntp
$ sudo ufw allow out ntp

Salli DNS-pyynnöt pakettipäivityksille ja verkkotunnuksen ratkaisemiselle:

$ sudo ufw allow 53
$ sudo ufw allow out 53

Johtopäätös

UFW tarjoaa suoraviivaisen tavan palomuurin hallintaan Linux-järjestelmissä. Yksinkertaisuudestaan huolimatta UFW on tuotantovalmiina, koska se toimii iptablesin käyttöliittymänä tarjoten samalla vahvan tietoturvan. Tämän oppaan esimerkit kattavat yleisiä työpöytä- ja palvelinasetuksia, mutta sinun tulisi mukauttaa säännöt oman erityistarpeesi ja verkkokonfiguraatiosi mukaan. Tarkempaa dokumentaatiota varten katso virallinen UFW-manuaalisivu.

Usein Kysytyt Kysymykset

1. Miten tarkistan, estääkö UFW tietyn yhteyden? Käytä sudo ufw status verbose nähdäksesi kaikki aktiiviset säännöt ja niiden käytännöt. Voit myös tarkistaa UFW-lokit kohdasta /var/log/ufw.log estettyjä yhteyden yrityksiä varten. Ota lokitus käyttöön komennolla sudo ufw logging on, jos se ei ole jo aktiivinen.
2. Voinko palauttaa UFW:n oletustilaan? Kyllä, suorita sudo ufw reset poistaaksesi kaikki säännöt ja poistaaksesi palomuurin käytöstä. Tämä palauttaa UFW:n alkuperäiseen asennuksen jälkeiseen tilaan, mikä on hyödyllistä, jos olet tehnyt konfiguraatiovirheitä ja haluat aloittaa alusta.
3. Mikä on ero komennon ufw allow ja ufw limit välillä? allow-komento sallii kaiken vastaavan liikenteen, kun taas limit lisää nopeusrajoituksen estääkseen brute-force-hyökkäyksiä. Esimerkiksi sudo ufw limit ssh sallii SSH-yhteydet, mutta estää IP-osoitteen, joka yrittää tehdä yli 6 yhteyttä 30 sekunnin sisällä.
4. Pysyikö UFW uudelleenkäynnistyksen jälkeen? Kyllä, kun UFW on otettu käyttöön komennolla sudo ufw enable, se käynnistyy automaattisesti käynnistyksen yhteydessä ja lataa tallennetut sääntönsä. Säännöt tallennetaan hakemistoon /etc/ufw/ ja ne säilyvät uudelleenkäynnistysten yli ilman lisäasetuksia.