So richten Sie eine Firewall mit UFW unter Ubuntu ein 14.04

UFW oder Uncomplicated Firewall ist eine Schnittstelle zuiptables, die darauf abzielt, die Konfiguration einer Firewall zu vereinfachen. Währendiptables ein solides und flexibles Tool ist, kann es für Anfänger schwierig sein, zu lernen, wie man es verwendet, um eine Firewall richtig zu konfigurieren. Wenn Sie mit der Sicherung Ihres Netzwerks beginnen möchten und nicht sicher sind, welches Tool Sie verwenden sollen, ist UFW möglicherweise die richtige Wahl für Sie.

Dieses Tutorial zeigt Ihnen, wie Sie eine Firewall mit UFW unter Ubuntu 14.04 einrichten.

Bevor Sie dieses Tutorial verwenden, sollten Sie ein separates Superuser-Konto (Benutzer mit Sudo-Rechten) auf Ihrem Ubuntu-Server einrichten. Sie können dies lernen, indem Sie mindestens die Schritte 1 bis 3 im Lernprogramm vonInitial Server Setup with Ubuntu 14.04ausführen.

UFW ist standardmäßig auf Ubuntu installiert. Wenn es aus irgendeinem Grund deinstalliert wurde, können Sie es mitapt-get installieren:

Mit diesem Befehl können Sie jederzeit den Status von UFW überprüfen:

Standardmäßig ist UFW deaktiviert, daher sollte Folgendes angezeigt werden:

Wenn UFW aktiv ist, wird in der Ausgabe angezeigt, dass es aktiv ist, und es werden alle festgelegten Regeln aufgelistet. Wenn die Firewall beispielsweise so eingestellt ist, dass SSH-Verbindungen (Port 22) von überall möglich sind, sieht die Ausgabe möglicherweise folgendermaßen aus:

Verwenden Sie daher den Befehl status, wenn Sie jemals überprüfen müssen, wie UFW die Firewall konfiguriert hat.

Bevor Sie UFW aktivieren, müssen Sie sicherstellen, dass Ihre Firewall so konfiguriert ist, dass Sie eine Verbindung über SSH herstellen können. Beginnen wir mit dem Festlegen der Standardrichtlinien.

Wenn Sie gerade erst mit Ihrer Firewall beginnen, müssen Sie als Erstes Ihre Standardrichtlinien definieren. Diese Regeln steuern, wie Datenverkehr behandelt wird, der nicht explizit mit anderen Regeln übereinstimmt. Standardmäßig verweigert UFW alle eingehenden Verbindungen und lässt alle ausgehenden Verbindungen zu. Dies bedeutet, dass jeder, der versucht, Ihren Cloud-Server zu erreichen, keine Verbindung herstellen kann, während jede Anwendung innerhalb des Servers die Außenwelt erreichen kann.

Setzen Sie Ihre UFW-Regeln auf die Standardeinstellungen zurück, damit Sie dieses Lernprogramm mitverfolgen können. Verwenden Sie die folgenden Befehle, um die von UFW verwendeten Standardeinstellungen festzulegen:

Wie Sie vielleicht erraten haben, setzen diese Befehle die Standardeinstellungen so, dass eingehende und ausgehende Verbindungen verweigert werden. Diese Firewall-Standardeinstellungen können für einen Personalcomputer ausreichen, Server müssen jedoch in der Regel auf eingehende Anforderungen von externen Benutzern reagieren. Wir werden uns das als nächstes ansehen.

Wenn wir unsere UFW-Firewall jetzt aktivieren würden, würden alle eingehenden Verbindungen verweigert. Dies bedeutet, dass wir Regeln erstellen müssen, die explizit legitime eingehende Verbindungen zulassen, z. B. SSH- oder HTTP-Verbindungen, wenn unser Server auf diese Art von Anforderungen antworten soll. Wenn Sie einen Cloud-Server verwenden, möchten Sie wahrscheinlich eingehende SSH-Verbindungen zulassen, damit Sie eine Verbindung zu Ihrem Server herstellen und diesen verwalten können.

Mit dem folgenden UFW-Befehl können Sie Ihren Server so konfigurieren, dass eingehende SSH-Verbindungen zugelassen werden:

Dadurch werden Firewall-Regeln erstellt, die alle Verbindungen an Port 22 zulassen. Dies ist der Port, den der SSH-Dämon überwacht. UFW weiß, was "ssh" und eine Reihe anderer Dienstnamen bedeuten, da es als Dienst aufgeführt ist, der Port 22 in der/etc/services-Datei verwendet.

Wir können die äquivalente Regel tatsächlich schreiben, indem wirport anstelle des Dienstnamens angeben. Dieser Befehl funktioniert zum Beispiel genauso wie der obige:

Wenn Sie Ihren SSH-Daemon so konfiguriert haben, dass er einen anderen Port verwendet, müssen Sie den entsprechenden Port angeben. Wenn Ihr SSH-Server beispielsweise Port 2222 überwacht, können Sie mit diesem Befehl Verbindungen an diesem Port zulassen:

Nachdem Ihre Firewall so konfiguriert ist, dass eingehende SSH-Verbindungen zugelassen werden, können wir sie aktivieren.

Verwenden Sie diesen Befehl, um UFW zu aktivieren:

Sie erhalten eine Warnung, die besagt, dass der Befehl möglicherweise vorhandene SSH-Verbindungen unterbricht. Wir haben bereits eine Firewall-Regel eingerichtet, die SSH-Verbindungen zulässt, sodass das Fortfahren in Ordnung sein sollte. Antworten Sie auf die Eingabeaufforderung mity.

Die Firewall ist jetzt aktiv. Fühlen Sie sich frei, den Befehlsudo ufw status verbose auszuführen, um die festgelegten Regeln anzuzeigen.

Jetzt sollten Sie alle anderen Verbindungen zulassen, auf die Ihr Server antworten muss. Welche Verbindungen Sie zulassen sollten, hängt von Ihren spezifischen Anforderungen ab. Glücklicherweise wissen Sie bereits, wie Sie Regeln schreiben, die Verbindungen basierend auf einem Dienstnamen oder Port zulassen. Dies haben wir bereits für SSH auf Port 22 durchgeführt.

Wir zeigen einige Beispiele für sehr häufige Dienste, die Sie möglicherweise zulassen müssen. Wenn Sie andere Dienste haben, für die Sie alle eingehenden Verbindungen zulassen möchten, befolgen Sie dieses Format.

[[http - Port-80]] === HTTP - Port 80

HTTP-Verbindungen, die von unverschlüsselten Webservern verwendet werden, können mit diesem Befehl zugelassen werden:

Wenn Sie lieber die Portnummer 80 verwenden möchten, verwenden Sie diesen Befehl:

[[https - Port-443]] === HTTPS - Port 443

HTTPS-Verbindungen, die von verschlüsselten Webservern verwendet werden, können mit diesem Befehl zugelassen werden:

Wenn Sie lieber die Portnummer 443 verwenden möchten, verwenden Sie diesen Befehl:

[[ftp - port-21]] === FTP - port 21

FTP-Verbindungen, die für unverschlüsselte Dateiübertragungen verwendet werden (die Sie wahrscheinlich sowieso nicht verwenden sollten), können mit diesem Befehl zugelassen werden:

Wenn Sie lieber die Portnummer 21 verwenden möchten, verwenden Sie diesen Befehl:

Sie können Portbereiche mit UFW angeben. Einige Anwendungen verwenden mehrere Ports anstelle eines einzelnen Ports.

Verwenden Sie die folgenden Befehle, um beispielsweise X11-Verbindungen zuzulassen, die die Ports 6000 bis 6007 verwenden:

Wenn Sie Portbereiche mit UFW angeben, müssen Sie das Protokoll (tcp oderudp) angeben, für das die Regeln gelten sollen. Wir haben dies zuvor noch nicht erwähnt, da die Nichtangabe des Protokolls einfach beide Protokolle zulässt, was in den meisten Fällen in Ordnung ist.

Bei der Arbeit mit UFW können Sie auch IP-Adressen angeben. Wenn Sie beispielsweise Verbindungen von einer bestimmten IP-Adresse zulassen möchten, z. B. einer Arbeits- oder Heim-IP-Adresse von15.15.15.51, müssen Sie "von" und dann die IP-Adresse angeben:

Sie können auch einen bestimmten Port angeben, zu dem die IP-Adresse eine Verbindung herstellen darf, indem Sie "zu einem beliebigen Port" gefolgt von der Portnummer hinzufügen. Wenn Sie beispielsweise zulassen möchten, dass15.15.15.51 eine Verbindung zu Port 22 (SSH) herstellen, verwenden Sie diesen Befehl:

Wenn Sie ein Subnetz von IP-Adressen zulassen möchten, können Sie dazu die CIDR-Notation verwenden, um eine Netzmaske anzugeben. Wenn Sie beispielsweise alle IP-Adressen von15.15.15.1 bis15.15.15.254 zulassen möchten, können Sie diesen Befehl verwenden:

Ebenso können Sie den Zielport angeben, zu dem das Subnetz15.15.15.0/24 eine Verbindung herstellen darf. Auch hier verwenden wir Port 22 (SSH) als Beispiel:

Wenn Sie eine Firewall-Regel erstellen möchten, die nur für eine bestimmte Netzwerkschnittstelle gilt, können Sie dies tun, indem Sie "Zulassen ein" gefolgt vom Namen der Netzwerkschnittstelle angeben.

Möglicherweise möchten Sie Ihre Netzwerkschnittstellen nachschlagen, bevor Sie fortfahren. Verwenden Sie dazu diesen Befehl:

Die hervorgehobene Ausgabe zeigt die Namen der Netzwerkschnittstelle an. Sie werden normalerweise als "eth0" oder "eth1" bezeichnet.

Wenn Ihr Server über eine öffentliche Netzwerkschnittstelle mit dem Nameneth0 verfügt, können Sie mit diesem Befehl HTTP-Verkehr (Port 80) zulassen:

Andernfalls kann Ihr Server HTTP-Anforderungen aus dem öffentlichen Internet empfangen.

Wenn Sie beispielsweise möchten, dass Ihr MySQL-Datenbankserver (Port 3306) auf Verbindungen auf der privaten Netzwerkschnittstelleeth1 wartet, können Sie diesen Befehl verwenden:

Auf diese Weise können andere Server in Ihrem privaten Netzwerk eine Verbindung zu Ihrer MySQL-Datenbank herstellen.

Wenn Sie die Standardrichtlinie für eingehende Verbindungen nicht geändert haben, ist UFW so konfiguriert, dass alle eingehenden Verbindungen abgelehnt werden. Im Allgemeinen vereinfacht dies das Erstellen einer sicheren Firewallrichtlinie, indem Sie Regeln erstellen müssen, die bestimmte Ports und IP-Adressen explizit zulassen. Manchmal möchten Sie jedoch bestimmte Verbindungen basierend auf der Quell-IP-Adresse oder dem Subnetz verweigern, möglicherweise weil Sie wissen, dass Ihr Server von dort aus angegriffen wird. Wenn Sie Ihre Standardrichtlinie für eingehende Nachrichten inallow ändern möchten (was aus Sicherheitsgründen nicht empfohlen wird), müssen Siedeny Regeln für alle Dienste oder IP-Adressen erstellen, die Sie nicht verwenden. Ich möchte keine Verbindungen für zulassen.

Umdeny Regeln zu schreiben, können Sie die oben beschriebenen Befehle verwenden, außer dass Sie "erlauben" durch "verweigern" ersetzen müssen.

Um beispielsweise HTTP-Verbindungen zu verweigern, können Sie den folgenden Befehl verwenden:

Oder wenn Sie alle Verbindungen von15.15.15.51 verweigern möchten, können Sie diesen Befehl verwenden:

Wenn Sie Hilfe beim Schreiben andererdeny-Regeln benötigen, sehen Sie sich einfach die vorherigenallow-Regeln an und aktualisieren Sie sie entsprechend.

Schauen wir uns nun an, wie Sie Regeln löschen.

Es ist genauso wichtig zu wissen, wie Firewall-Regeln gelöscht werden, wie zu wissen, wie sie erstellt werden. Es gibt zwei Möglichkeiten, um festzulegen, welche Regeln gelöscht werden sollen: nach Regelnummer oder nach der tatsächlichen Regel (ähnlich wie die Regeln beim Erstellen angegeben wurden). Wir beginnen mit derdelete by rule number-Methode, da es einfacher ist, die tatsächlichen zu löschenden Regeln zu schreiben, wenn Sie UFW noch nicht kennen.

Wenn Sie UFW aus irgendeinem Grund nicht verwenden möchten, können Sie es mit folgendem Befehl deaktivieren:

Alle Regeln, die Sie mit UFW erstellt haben, sind nicht mehr aktiv. Sie könnensudo ufw enable jederzeit ausführen, wenn Sie es später aktivieren müssen.

Ihre Firewall sollte jetzt so konfiguriert sein, dass (mindestens) SSH-Verbindungen zugelassen werden. Achten Sie darauf, andere eingehende Verbindungen zuzulassen, während Sie unnötige Verbindungen einschränken, damit Ihr Server funktionsfähig und sicher ist.

Weitere Informationen zu gängigen UFW-Konfigurationen finden Sie in diesem Lernprogramm:UFW Essentials: Common Firewall Rules and Commands

Viel Glück!