Εγκατάσταση UFW: Πώς να Ρυθμίσετε ένα Βασικό Τείχος Προστασίας στο Linux

Το UFW (Uncomplicated Firewall) απλοποιεί τη διαχείριση του firewall στο Linux παρέχοντας μια εύχρηστη διεπαφή για τα iptables. Αυτός ο οδηγός καλύπτει την εγκατάσταση και τη διαμόρφωση του UFW σε διανομές βασισμένες στο Debian, από τη βασική ρύθμιση έως πρακτικές διαμορφώσεις firewall για επιτραπέζιους υπολογιστές και διακομιστές ιστού.

Σε αυτό το σεμινάριο θα μάθετε:

• Πώς να εγκαταστήσετε το UFW σε διανομές βασισμένες σε Debian
• Πώς να ρυθμίσετε τις προεπιλεγμένες πολιτικές του τείχους προστασίας
• Πώς να επιτρέπετε και να αποκλείετε την κίνηση ανά υπηρεσία, θύρα και IP
• Πώς να χρησιμοποιείτε τα προφίλ εφαρμογών UFW
• Πώς να ρυθμίσετε κανόνες τείχους προστασίας για υπολογιστές και διακομιστές

Περίληψη του άρθρου: Εγκαταστήστε το UFW με sudo apt install ufw, στη συνέχεια ρυθμίστε τις προεπιλεγμένες πολιτικές και ενεργοποιήστε το τείχος προστασίας.

sudo apt install ufw

sudo ufw allow ssh

sudo ufw enable

Εγκατάσταση UFW

Το UFW είναι διαθέσιμο στα προεπιλεγμένα αποθετήρια των διανομών βασισμένων σε Debian. Εγκαταστήστε το χρησιμοποιώντας τον διαχειριστή πακέτων apt:

$ sudo apt install ufw

Μετά την εγκατάσταση, το UFW είναι ανενεργό από προεπιλογή. Αυτό σας επιτρέπει να διαμορφώσετε τους κανόνες σας πριν ενεργοποιήσετε το τείχος προστασίας, αποτρέποντας τυχαίο αποκλεισμό από απομακρυσμένα συστήματα.

Ορίστε τις Προεπιλογές σας

Όπως και με τα iptables, είναι καλύτερο να ξεκινήσετε καθορίζοντας την προεπιλεγμένη συμπεριφορά σας. Στους υπολογιστές γραφείου, συνήθως θέλετε να αρνηθείτε την εισερχόμενη κυκλοφορία ενώ επιτρέπετε τις εξερχόμενες συνδέσεις.

$ sudo ufw default deny incoming

Η σύνταξη για την επιτρεψή της κυκλοφορίας είναι παρόμοια:

$ sudo ufw default allow outgoing

Αυτές οι προεπιλογές εξασφαλίζουν ότι οι ανεπιθύμητες εισερχόμενες συνδέσεις μπλοκάρονται ενώ το σύστημά σας μπορεί ακόμα να έχει πρόσβαση στο διαδίκτυο και σε εξωτερικές υπηρεσίες.

Βασική Χρήση

Τώρα είστε έτοιμοι να ξεκινήσετε να ορίζετε κανόνες και να διαχειρίζεστε το τείχος προστασίας σας. Οι εντολές του UFW έχουν σχεδιαστεί για να είναι κατανοητές και διαισθητικές.

Έναρξη και Διακοπή

Ενώ μπορείτε να χρησιμοποιήσετε το systemd για να ελέγξετε το UFW, έχει τους δικούς του ελέγχους που είναι πιο εύκολοι. Ξεκινήστε ενεργοποιώντας το UFW:

$ sudo ufw enable

Για να σταματήσετε και να απενεργοποιήσετε το UFW κατά την εκκίνηση:

$ sudo ufw disable

Ελέγξτε αν το UFW λειτουργεί και δείτε τους ενεργούς κανόνες:

$ sudo ufw status

Για πιο λεπτομερή αποτελέσματα που περιλαμβάνουν αριθμούς κανόνων:

$ sudo ufw status numbered

Εντολές

Επιτρέψτε την εισερχόμενη κυκλοφορία HTTP χρησιμοποιώντας το όνομα της υπηρεσίας:

$ sudo ufw allow http

Επιτρέψτε συνδέσεις SSH:

$ sudo ufw allow ssh

Μπορείτε να επιτύχετε το ίδιο αποτέλεσμα χρησιμοποιώντας αριθμούς θυρών. Αυτή η εντολή επιτρέπει την εισερχόμενη κίνηση HTTPS στη θύρα 443:

$ sudo ufw allow 443

Επιτρέψτε την κυκλοφορία από μια συγκεκριμένη διεύθυνση IP ή εύρος δικτύου. Αυτό το παράδειγμα επιτρέπει όλη την κυκλοφορία από το τοπικό δίκτυο:

$ sudo ufw allow from 192.168.1.0/24

Για μια σειρά θυρών, καθορίστε το πρωτόκολλο (TCP ή UDP):

$ sudo ufw allow 56881:56889/tcp

Χρησιμοποιήστε deny αντί για allow για να αποκλείσετε την κίνηση:

$ sudo ufw deny from 192.168.1.110

Για να στοχεύσετε συγκεκριμένα τις εξερχόμενες συνδέσεις, συμπεριλάβετε out:

$ sudo ufw allow out ssh

Για να διαγράψετε έναν κανόνα, χρησιμοποιήστε τον αριθμό κανόνα από το ufw status numbered:

$ sudo ufw delete 3

Προφίλ Εφαρμογών UFW

Το UFW περιλαμβάνει προφίλ εφαρμογών που ορίζουν κανόνες τείχους προστασίας για κοινές υπηρεσίες. Αυτά τα προφίλ απλοποιούν τη διαμόρφωση συνδυάζοντας τις ρυθμίσεις θυρών και πρωτοκόλλων υπό αναγνωρίσιμα ονόματα εφαρμογών.

Λίστα διαθέσιμων προφίλ εφαρμογών:

$ sudo ufw app list

Δείτε λεπτομέρειες για ένα συγκεκριμένο προφίλ εφαρμογής:

$ sudo ufw app info OpenSSH

Αυτό εμφανίζει τις θύρες και τα πρωτόκολλα που χρησιμοποιεί η εφαρμογή. Για να επιτρέψετε σε μια εφαρμογή να περάσει από το τείχος προστασίας:

$ sudo ufw allow OpenSSH

Τα κοινά προφίλ εφαρμογών περιλαμβάνουν τα OpenSSH, Apache, Apache Full, Nginx Full και άλλα ανάλογα με το λογισμικό που είναι εγκατεστημένο. Τα προφίλ εφαρμογών αποθηκεύονται στο /etc/ufw/applications.d/ και μπορείτε να δημιουργήσετε προσαρμοσμένα προφίλ για τις δικές σας εφαρμογές.

Ρύθμιση ενός υπολογιστή γραφείου

Αυτό το παράδειγμα παρέχει ένα σημείο εκκίνησης για μια βασική διαμόρφωση τείχους προστασίας για υπολογιστή. Προσαρμόστε τους κανόνες σύμφωνα με τις συγκεκριμένες ανάγκες σας.

Ξεκινήστε καθορίζοντας τις προεπιλογές:

$ sudo ufw default deny incoming
$ sudo ufw default allow outgoing

Επιτρέψτε την κυκλοφορία HTTP και HTTPS για περιήγηση στον ιστό:

$ sudo ufw allow http
$ sudo ufw allow https

Ενεργοποίηση πρόσβασης SSH:

$ sudo ufw allow ssh

Επιτρέψτε το NTP για συγχρονισμό του συστήματος ώρας:

$ sudo ufw allow ntp

Εάν δεν χρησιμοποιείτε στατική IP, επιτρέψτε το DHCP στις θύρες 67 και 68:

$ sudo ufw allow 67:68/udp

Επιτρέψτε την κυκλοφορία DNS για την επίλυση ονομάτων domain:

$ sudo ufw allow 53

Για προγράμματα πελατών torrent όπως το Deluge:

$ sudo ufw allow 56881:56889/tcp

Το Steam απαιτεί πολλαπλές θύρες:

$ sudo ufw allow 27000:27036/udp
$ sudo ufw allow 27036:27037/tcp
$ sudo ufw allow 4380/udp

Ρύθμιση ενός Διακομιστή Ιστού

Οι διακομιστές ιστού απαιτούν πιο περιορισμένη διαμόρφωση για να ελαχιστοποιηθεί η επιφάνεια επίθεσης ενώ ταυτόχρονα διασφαλίζεται ότι η νόμιμη κυκλοφορία ρέει χωρίς εμπόδια.

Για τους διακομιστές, αρνηθείτε όλη την κίνηση εξ ορισμού. Απενεργοποιήστε το τείχος προστασίας πριν κάνετε αυτές τις αλλαγές για να αποφύγετε την απώλεια πρόσβασης μέσω SSH:

$ sudo ufw default deny incoming
$ sudo ufw default deny outgoing
$ sudo ufw default deny forward

Ενεργοποιήστε τόσο την εισερχόμενη όσο και την εξερχόμενη διαδικτυακή κίνηση:

$ sudo ufw allow http
$ sudo ufw allow out http
$ sudo ufw allow https
$ sudo ufw allow out https

Επιτρέψτε το SSH για απομακρυσμένη διαχείριση:

$ sudo ufw allow ssh
$ sudo ufw allow out ssh

Ενεργοποιήστε το NTP για συγχρονισμό ώρας:

$ sudo ufw allow ntp
$ sudo ufw allow out ntp

Επιτρέψτε το DNS για ενημερώσεις πακέτων και επίλυση τομέα:

$ sudo ufw allow 53
$ sudo ufw allow out 53

Συμπέρασμα

Το UFW παρέχει μια απλή προσέγγιση στη διαχείριση firewall σε συστήματα Linux. Παρά την απλότητά του, το UFW είναι έτοιμο για παραγωγή, καθώς λειτουργεί ως frontend για το iptables, παρέχοντας την ίδια ισχυρή ασφάλεια. Τα παραδείγματα σε αυτόν τον οδηγό καλύπτουν κοινές ρυθμίσεις για επιτραπέζιους υπολογιστές και διακομιστές, αλλά θα πρέπει να προσαρμόσετε τους κανόνες σύμφωνα με τις συγκεκριμένες απαιτήσεις και τη διαμόρφωση του δικτύου σας. Για πλήρη τεκμηρίωση, ανατρέξτε στην επίσημη σελίδα man του UFW.

Συχνές Ερωτήσεις

1. Πώς μπορώ να ελέγξω αν το UFW μπλοκάρει μια συγκεκριμένη σύνδεση; Χρησιμοποιήστε sudo ufw status verbose για να δείτε όλους τους ενεργούς κανόνες και τις πολιτικές τους. Μπορείτε επίσης να ελέγξετε τα αρχεία καταγραφής του UFW στο /var/log/ufw.log για απόπειρες μπλοκαρισμένων συνδέσεων. Ενεργοποιήστε την καταγραφή με sudo ufw logging on αν δεν είναι ήδη ενεργή.
2. Μπορώ να επαναφέρω το UFW στην προεπιλεγμένη του κατάσταση; Ναι, εκτελέστε sudo ufw reset για να αφαιρέσετε όλους τους κανόνες και να απενεργοποιήσετε το τείχος προστασίας. Αυτό επαναφέρει το UFW στην αρχική του κατάσταση μετά την εγκατάσταση, κάτι που είναι χρήσιμο αν κάνατε λάθη στη διαμόρφωση και θέλετε να ξεκινήσετε από την αρχή.
3. Ποια είναι η διαφορά μεταξύ του ufw allow και του ufw limit; Η εντολή allow επιτρέπει όλη την αντίστοιχη κίνηση, ενώ η εντολή limit προσθέτει περιορισμό ρυθμού για να αποτρέψει επιθέσεις brute-force. Για παράδειγμα, sudo ufw limit ssh επιτρέπει συνδέσεις SSH αλλά μπλοκάρει μια διεύθυνση IP που προσπαθεί περισσότερες από 6 συνδέσεις μέσα σε 30 δευτερόλεπτα.
4. Η UFW παραμένει ενεργή μετά την επανεκκίνηση; Ναι, μόλις ενεργοποιηθεί με sudo ufw enable, η UFW ξεκινά αυτόματα κατά την εκκίνηση και φορτώνει τους αποθηκευμένους κανόνες σας. Οι κανόνες αποθηκεύονται στο /etc/ufw/ και παραμένουν ενεργοί μετά από επανεκκινήσεις χωρίς επιπλέον ρυθμίσεις.