Как настроить брандмауэр с UFW в Ubuntu 16.04

Вы можете указать диапазоны портов с UFW. Некоторые приложения используют несколько портов вместо одного.

Например, чтобы разрешить соединения X11, которые используют порты6000 -6007, используйте следующие команды:

При указании диапазонов портов с помощью UFW необходимо указать протокол (tcp илиudp), к которому должны применяться правила. Мы не упоминали об этом раньше, потому что отсутствие указания протокола просто позволяет использовать оба протокола, что в большинстве случаев нормально.

При работе с UFW вы также можете указать IP-адреса. Например, если вы хотите разрешить соединения с определенного IP-адреса, такого как рабочий или домашний IP-адрес15.15.15.51, вам необходимо указатьfrom, а затем IP-адрес:

Вы также можете указать конкретный порт, к которому IP-адрес может подключаться, добавивto any port, за которым следует номер порта. Например, если вы хотите разрешить15.15.15.51 подключаться к порту22 (SSH), используйте эту команду:

Если вы хотите разрешить подсеть из IP-адресов, вы можете сделать это, используя нотацию CIDR, чтобы указать маску сети. Например, если вы хотите разрешить все IP-адреса в диапазоне от15.15.15.1 до15.15.15.254, вы можете использовать эту команду:

Точно так же вы также можете указать порт назначения, к которому подсеть15.15.15.0/24 может подключаться. Опять же, в качестве примера мы будем использовать порт22 (SSH):

Если вы хотите создать правило брандмауэра, которое применяется только к определенному сетевому интерфейсу, вы можете сделать это, указав «allow in on», а затем имя сетевого интерфейса.

Вы можете посмотреть свои сетевые интерфейсы, прежде чем продолжить. Для этого используйте эту команду:

Выделенный вывод указывает имена сетевых интерфейсов. Обычно они называются что-то вродеeth0 илиeth1.

Итак, если на вашем сервере есть общедоступный сетевой интерфейс с именемeth0, вы можете разрешить ему HTTP-трафик (порт80) с помощью этой команды:

Это позволит вашему серверу получать HTTP-запросы из общедоступного Интернета.

Или, если вы хотите, чтобы ваш сервер базы данных MySQL (порт3306), например, прослушивал соединения на частном сетевом интерфейсеeth1, вы можете использовать эту команду:

Это позволит другим серверам в вашей частной сети подключаться к вашей базе данных MySQL.

[[step-6 -—- denying-connections]] == Шаг 6 - Запрещение подключений

Если вы не изменили политику по умолчанию для входящих подключений, UFW настроен на запрет всех входящих подключений. Как правило, это упрощает процесс создания политики безопасного брандмауэра, требуя от вас создания правил, которые явно пропускают определенные порты и IP-адреса.

Однако иногда вам может потребоваться запретить определенные подключения на основе исходного IP-адреса или подсети, возможно, потому что вы знаете, что ваш сервер подвергается атаке оттуда. Кроме того, если вы хотите изменить свою политику входящего трафика по умолчанию наallow (что не рекомендуется в интересах безопасности), вам нужно будет создать правилаdeny для любых служб или IP-адресов, которые вы не используете. Я не хочу разрешать подключения для.

Чтобы написать правилаdeny, вы можете использовать команды, описанные выше, заменивallow наdeny.

Например, чтобы запретить HTTP-соединения, вы можете использовать эту команду:

Или, если вы хотите запретить все соединения от15.15.15.51, вы можете использовать эту команду:

Теперь давайте посмотрим, как удалять правила.

[[step-7 -—- deleting-rules]] == Шаг 7 - Удаление правил

Знать, как удалять правила брандмауэра, так же важно, как знать, как их создавать. Есть два разных способа указать, какие правила удалять: по номеру правила или по фактическому правилу (аналогично тому, как правила были указаны при их создании). Мы начнем с методаdelete by rule number, потому что это проще, чем писать фактические правила удаления, если вы новичок в UFW.

Если вы используете номер правила для удаления правил брандмауэра, первое, что вам нужно сделать, - это получить список правил брандмауэра. Команда состояния UFW имеет возможность отображать числа рядом с каждым правилом, как показано здесь:

Если мы решим, что хотим удалить правило 2, которое разрешает соединения через порт 80 (HTTP), мы можем указать его в команде удаления UFW, например так:

Это покажет запрос подтверждения и затем удалит правило 2, разрешающее HTTP-соединения. Обратите внимание, что если у вас включен IPv6, вы также можете удалить соответствующее правило IPv6.

Альтернативой номерам правил является указание фактического правила для удаления. Например, если вы хотите удалить правилоallow http, вы можете написать его так:

Вы также можете указать правилоallow 80 вместо имени службы:

Этот метод удалит правила IPv4 и IPv6, если они существуют.

[[step-8 -—- verify-ufw-status-and-rules]] == Шаг 8. Проверка статуса и правил UFW

В любое время вы можете проверить состояние UFW с помощью этой команды:

Если UFW отключен, что по умолчанию, вы увидите что-то вроде этого:

Если UFW активен, что и должно быть, если вы выполнили шаг 3, в выходных данных будет указано, что он активен, и будут перечислены все установленные правила. Например, если брандмауэр настроен на разрешение подключений SSH (порт22) из любого места, вывод может выглядеть примерно так:

Используйте командуstatus, если хотите проверить, как UFW настроил брандмауэр.

[[step-9 -—- dishibited-or-resetting-ufw-optional]] == Шаг 9 - Отключение или сброс UFW (необязательно)

Если вы решите, что не хотите использовать UFW, вы можете отключить его с помощью этой команды:

Любые правила, которые вы создали с помощью UFW, больше не будут активными. Вы всегда можете запуститьsudo ufw enable, если вам понадобится активировать его позже.

Если у вас уже настроены правила UFW, но вы решили, что хотите начать все сначала, вы можете использовать команду сброса:

Это отключит UFW и удалит все ранее определенные правила. Имейте в виду, что политики по умолчанию не изменятся на свои первоначальные настройки, если вы изменили их в любой момент. Это должно дать вам новый старт с UFW.