前書き
UFW、またはUncomplicated Firewallは、ファイアウォールの設定プロセスを簡素化するための「+ iptables 」へのインターフェースです。 ` iptables +`は堅実で柔軟なツールですが、初心者がファイアウォールを適切に設定する方法を学ぶのは難しい場合があります。 ネットワークの保護を開始しようとしていて、使用するツールがわからない場合は、UFWが適切な選択である可能性があります。
このチュートリアルでは、Debian 9でUFWを使用してファイアウォールを設定する方法を示します。
前提条件
このチュートリアルを実行するには、sudoの非ルートユーザーを備えた1台のDebian 9サーバーが必要になります。これは、https：//www.digitalocean.com/community/tutorials/initial-serverの手順1〜3に従って設定できます。 -setup-with-debian-9 [Debian 9による初期サーバーセットアップチュートリアル]。
ステップ1 – UFWのインストール
DebianはデフォルトでUFWをインストールしません。 Initial Server Setup tutorial全体を実行した場合、UFWはすでにインストールされ、有効になっています。 そうでない場合は、 `+ apt +`を使用してインストールします。
sudo apt install ufwUFWをセットアップし、次の手順で有効にします。
ステップ2-UFWでのIPv6の使用（オプション）
このチュートリアルはIPv4を念頭に置いて書かれていますが、IPv6を有効にしている限り機能します。 DebianサーバーでIPv6が有効になっている場合、IPv4に加えてIPv6のファイアウォールルールを管理できるように、UFWがIPv6をサポートするように構成されていることを確認してください。 これを行うには、 `+ nano +`またはお好みのエディターでUFW設定を開きます。
sudo nano /etc/default/ufw次に、「+ IPV6 」の値が「 yes +」であることを確認します。 これは次のようになります。
/ etc / default / ufwの抜粋
IPV6=ファイルを保存して閉じます。 これで、UFWが有効になると、IPv4とIPv6の両方のファイアウォールルールを記述するように構成されます。 ただし、UFWを有効にする前に、SSH経由で接続できるようにファイアウォールを構成する必要があります。 デフォルトのポリシーの設定から始めましょう。
手順3-デフォルトポリシーの設定
ファイアウォールを使い始めたばかりの場合、最初に定義するルールはデフォルトのポリシーです。 これらのルールは、他のルールと明示的に一致しないトラフィックの処理方法を制御します。 デフォルトでは、UFWはすべての着信接続を拒否し、すべての発信接続を許可するように設定されています。 つまり、サーバーにアクセスしようとするユーザーは接続できず、サーバー内のアプリケーションは外部にアクセスできます。
UFWルールをデフォルトに戻して、このチュートリアルを確実に実行できるようにします。 UFWで使用されるデフォルトを設定するには、次のコマンドを使用します。
sudo ufw default deny incoming
sudo ufw default allow outgoingこれらのコマンドは、着信接続を拒否し、発信接続を許可するようにデフォルトを設定します。 これらのファイアウォールの既定値だけで、パーソナルコンピューターには十分かもしれませんが、サーバーは通常、外部ユーザーからの着信要求に応答する必要があります。 次にそのことを検討します。
ステップ4-SSH接続を許可する
ここでUFWファイアウォールを有効にすると、すべての着信接続が拒否されます。 これは、サーバーがこれらのタイプの要求に応答する場合、正当な着信接続（SSHまたはHTTP接続など）を明示的に許可するルールを作成する必要があることを意味します。 クラウドサーバーを使用している場合は、サーバーに接続して管理できるように、着信SSH接続を許可することをお勧めします。
着信SSH接続を許可するようにサーバーを構成するには、次のコマンドを使用できます。
sudo ufw allow sshこれにより、ポート `+ 22 `上のすべての接続を許可するファイアウォールルールが作成されます。これは、デフォルトでSSHデーモンがリッスンするポートです。 UFWは、 ` / etc / services `ファイルにサービスとしてリストされているため、 ` allow ssh +`の意味を知っています。
ただし、サービス名の代わりにポートを指定することで、実際に同等のルールを作成できます。 たとえば、このコマンドは上記のコマンドと同じように機能します。
sudo ufw allow 22別のポートを使用するようにSSHデーモンを構成した場合、適切なポートを指定する必要があります。 たとえば、SSHサーバーがポート `+ 2222 +`でリッスンしている場合、このコマンドを使用してそのポートでの接続を許可できます。
sudo ufw allowファイアウォールが着信SSH接続を許可するように設定されたので、有効にすることができます。
ステップ5-UFWを有効にする
UFWを有効にするには、次のコマンドを使用します。
sudo ufw enableコマンドが既存のSSH接続を中断する可能性があるという警告が表示されます。 SSH接続を許可するファイアウォールルールを既に設定しているため、続行しても問題ありません。 `+ y `でプロンプトに応答し、 ` ENTER +`を押します。
ファイアウォールがアクティブになりました。 設定されているルールを確認するには、 `+ sudo ufw status verbose +`コマンドを実行します。 このチュートリアルの残りの部分では、さまざまな種類の接続を許可または拒否するなど、UFWをより詳細に使用する方法について説明します。
ステップ6-他の接続を許可する
この時点で、サーバーが応答する必要がある他のすべての接続を許可する必要があります。 許可する接続は、特定のニーズによって異なります。 幸いなことに、サービス名またはポートに基づいて接続を許可するルールを作成する方法はすでに知っています。すでにポート `+ 22 +`のSSHに対してこれを行っています。 これは次の場合にも実行できます。
-
ポート80のHTTP（暗号化されていないWebサーバーが使用するもの）、「+ sudo ufw allow http 」または「 sudo ufw allow 80+」を使用
-
ポート443上のHTTPS（暗号化されたWebサーバーが使用するもの）、「+ sudo ufw allow https 」または「 sudo ufw allow 443+」を使用
ポートまたは既知のサービスを指定する以外に、他の接続を許可する方法がいくつかあります。
特定のポート範囲
UFWでポート範囲を指定できます。 一部のアプリケーションは、単一のポートではなく複数のポートを使用します。
たとえば、ポート + 6000 + -` + 6007 + `を使用するX11接続を許可するには、次のコマンドを使用します。
sudo ufw allow :/tcp
sudo ufw allow :/udpUFWでポート範囲を指定する場合、ルールを適用するプロトコル（ + tcp +`または `+ udp +）を指定する必要があります。 プロトコルを自動的に指定しないと両方のプロトコルが許可されるため、これについてはこれまで言及していませんでしたが、ほとんどの場合は問題ありません。
特定のIPアドレス
UFWを使用する場合、IPアドレスも指定できます。 たとえば、職場または自宅のIPアドレス「203.0.113.4」など、特定のIPアドレスからの接続を許可する場合は、「+ from +」、次にIPアドレスを指定する必要があります。
sudo ufw allow from+ to any port +`の後にポート番号を追加することにより、IPアドレスが接続できる特定のポートを指定することもできます。 たとえば、 `+ 203.0.113.4 +`がポート `+ 22 +（SSH）に接続できるようにするには、次のコマンドを使用します。
sudo ufw allow from to any portサブネット
IPアドレスのサブネットを許可する場合は、CIDR表記を使用してネットマスクを指定できます。 たとえば、「+ 203.0.113.1+」から「203.0.113.254」の範囲のすべてのIPアドレスを許可する場合、次のコマンドを使用できます。
sudo ufw allow from /同様に、サブネット「+ 203.0.113.0 / 24 +」が接続できる宛先ポートを指定することもできます。 ここでも、例としてポート「+22 +」（SSH）を使用します。
sudo ufw allow from / to any port 22特定のネットワークインターフェイスへの接続
特定のネットワークインターフェースにのみ適用されるファイアウォールルールを作成する場合は、「allow in on」の後にネットワークインターフェースの名前を指定することで作成できます。
続行する前に、ネットワークインターフェイスを検索することをお勧めします。 これを行うには、次のコマンドを使用します。
ip addrOutput Excerpt2: : <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast state
. . .
3: : <BROADCAST,MULTICAST> mtu 1500 qdisc noop state DOWN group default
. . .強調表示された出力は、ネットワークインターフェイス名を示しています。 通常、これらは「+ eth0 」や「 enp3s2 +」などの名前が付けられます。
したがって、サーバーに「+ eth0 」というパブリックネットワークインターフェイスがある場合、次のコマンドを使用して、HTTPトラフィック（ポート「+80」）を許可できます。
sudo ufw allow in on to any portそうすることで、サーバーはパブリックインターネットからHTTPリクエストを受信できるようになります。
または、MySQLデータベースサーバー（ポート + 3306 +）がプライベートネットワークインターフェイス `+ eth1 +`で接続をリッスンするようにしたい場合は、次のコマンドを使用できます。
sudo ufw allow in on to any portこれにより、プライベートネットワーク上の他のサーバーがMySQLデータベースに接続できるようになります。
ステップ7-接続の拒否
着信接続のデフォルトポリシーを変更していない場合、UFWはすべての着信接続を拒否するように設定されます。 一般に、これにより、特定のポートとIPアドレスを明示的に許可するルールを作成する必要があるため、安全なファイアウォールポリシーの作成プロセスが簡素化されます。
ただし、ソースIPアドレスまたはサブネットに基づいて特定の接続を拒否したい場合があります。おそらく、サーバーがそこから攻撃されていることがわかっているためです。 また、デフォルトの受信ポリシーを*許可*（推奨されません）に変更する場合は、接続を許可しないサービスまたはIPアドレスに対して*拒否*ルールを作成する必要があります。
拒否*ルールを作成するには、上記のコマンドを使用して、 allow を deny *に置き換えます。
たとえば、HTTP接続を拒否するには、次のコマンドを使用できます。
sudo ufw deny httpまたは、「+ 203.0.113.4+」からのすべての接続を拒否する場合は、次のコマンドを使用できます。
sudo ufw deny fromでは、ルールを削除する方法を見てみましょう。
ステップ8-ルールの削除
ファイアウォールルールを削除する方法を知ることは、ルールを作成する方法を知ることと同じくらい重要です。 削除するルールを指定するには、2つの異なる方法があります。ルール番号または実際のルール（ルールが作成されたときに指定された方法に似ています）。 簡単なため、*ルール番号で削除*メソッドから始めます。
ルール番号別
ルール番号を使用してファイアウォールルールを削除する場合、最初に行うことは、ファイアウォールルールのリストを取得することです。 UFWステータスコマンドには、以下に示すように、各ルールの横に数字を表示するオプションがあります。
sudo ufw status numberedNumbered Output:Status: active
To Action From
-- ------ ----
[ 1] 22 ALLOW IN 15.15.15.0/24
[ 2] 80 ALLOW IN Anywhereポート80（HTTP）接続を許可するルール2を削除することに決めた場合、次のようにUFWのdeleteコマンドで指定できます。
sudo ufw deleteこれにより、確認プロンプトが表示され、ルール2が削除され、HTTP接続が許可されます。 IPv6を有効にしている場合、対応するIPv6ルールも削除することに注意してください。
実際のルールによる
ルール番号の代わりに、削除する実際のルールを指定します。 たとえば、「+ allow http +」ルールを削除する場合、次のように記述できます。
sudo ufw deleteサービス名ではなく、「+ allow 80+」でルールを指定することもできます。
sudo ufw deleteこのメソッドは、IPv4とIPv6の両方のルールが存在する場合、それらを削除します。
ステップ9-UFWのステータスとルールの確認
次のコマンドを使用して、いつでもUFWのステータスを確認できます。
sudo ufw status verboseデフォルトでUFWが無効になっている場合、次のように表示されます。
OutputStatus: inactiveUFWがアクティブな場合（ステップ3を実行した場合）、出力にはアクティブであると表示され、設定されているすべてのルールがリストされます。 たとえば、どこからでもSSH（ポート + 22 +）接続を許可するようにファイアウォールが設定されている場合、出力は次のようになります。
OutputStatus: active
Logging: on (low)
Default: deny (incoming), allow (outgoing), disabled (routed)
New profiles: skip
To Action From
-- ------ ----
22/tcp ALLOW IN AnywhereUFWがファイアウォールをどのように設定したかを確認したい場合は、 `+ status +`コマンドを使用します。
ステップ10-UFWの無効化またはリセット（オプション）
UFWを使用したくない場合は、次のコマンドでUFWを無効にできます。
sudo ufw disableUFWで作成したルールは無効になります。 後で有効にする必要がある場合は、いつでも `+ sudo ufw enable +`を実行できます。
すでにUFWルールが設定されているが、最初からやり直すことにした場合は、resetコマンドを使用できます。
sudo ufw resetこれにより、UFWが無効になり、以前に定義されたルールが削除されます。 いずれかの時点でデフォルトのポリシーを変更した場合、デフォルトのポリシーは元の設定に変更されないことに注意してください。 これにより、UFWで新たなスタートを切ることができます。
結論
これで、ファイアウォールは（少なくとも）SSH接続を許可するように設定されました。 サーバーが機能し、安全であるように、不要な接続を制限しながら、サーバーの他の着信接続を必ず許可してください。
より一般的なUFW構成については、https：//www.digitalocean.com/community/tutorials/ufw-essentials-common-firewall-rules-and-commands [UFW Essentials：Common Firewall Rules and Commands]チュートリアルをご覧ください。