Pasang UFW: Cara Menyediakan Firewall Asas pada Linux

UFW (Uncomplicated Firewall) memudahkan pengurusan firewall Linux dengan menyediakan antara muka yang mudah digunakan untuk iptables. Panduan ini merangkumi pemasangan dan konfigurasi UFW pada pengedaran berasaskan Debian, dari setup asas hingga konfigurasi firewall praktikal untuk desktop dan pelayan web.

Dalam tutorial ini anda akan belajar:

• Cara memasang UFW pada pengedaran berasaskan Debian
• Cara mengkonfigurasi polisi firewall lalai
• Cara membenarkan dan menyekat trafik mengikut perkhidmatan, port, dan IP
• Cara menggunakan profil aplikasi UFW
• Cara menetapkan peraturan firewall untuk desktop dan pelayan

Ringkasan artikel: Pasang UFW dengan sudo apt install ufw, kemudian konfigurasikan polisi lalai dan aktifkan firewall.

sudo apt install ufw

sudo ufw allow ssh

sudo ufw enable

Pasang UFW

UFW terdapat dalam repositori lalai bagi pengedaran berasaskan Debian. Pasangnya menggunakan pengurus pakej apt:

$ sudo apt install ufw

Selepas pemasangan, UFW tidak aktif secara lalai. Ini membolehkan anda mengkonfigurasi peraturan anda sebelum mengaktifkan firewall, bagi mengelakkan terkunci secara tidak sengaja daripada sistem jauh.

Tetapkan Pilihan Lalai Anda

Seperti dengan iptables, adalah lebih baik untuk mula dengan menetapkan tingkah laku lalai anda. Pada komputer meja, anda biasanya ingin menolak trafik masuk sambil membenarkan sambungan keluar.

$ sudo ufw default deny incoming

Sintaks untuk membenarkan trafik adalah serupa:

$ sudo ufw default allow outgoing

Tetapan lalai ini memastikan bahawa sambungan masuk yang tidak diminta disekat sementara sistem anda masih boleh mengakses internet dan perkhidmatan luaran.

Penggunaan Asas

Sekarang anda sudah bersedia untuk mula menetapkan peraturan dan menguruskan firewall anda. Arahan UFW direka untuk mudah dibaca dan intuitif.

Memulakan dan Menghentikan

Walaupun anda boleh menggunakan systemd untuk mengawal UFW, ia mempunyai kawalan tersendiri yang lebih mudah. Mulakan dengan mengaktifkan UFW:

$ sudo ufw enable

Untuk menghentikan dan menyahaktifkan UFW semasa permulaan:

$ sudo ufw disable

Periksa jika UFW sedang berjalan dan lihat peraturan yang aktif:

$ sudo ufw status

Untuk output yang lebih terperinci termasuk nombor peraturan:

$ sudo ufw status numbered

Arahan

Benarkan trafik HTTP masuk menggunakan nama perkhidmatan:

$ sudo ufw allow http

Benarkan sambungan SSH:

$ sudo ufw allow ssh

Anda boleh mencapai hasil yang sama menggunakan nombor port. Arahan ini membenarkan trafik HTTPS masuk pada port 443:

$ sudo ufw allow 443

Benarkan trafik dari alamat IP tertentu atau julat rangkaian. Contoh ini membenarkan semua trafik dari rangkaian tempatan:

$ sudo ufw allow from 192.168.1.0/24

Untuk beberapa pelabuhan, nyatakan protokol (TCP atau UDP):

$ sudo ufw allow 56881:56889/tcp

Gunakan deny instead of allow untuk menyekat trafik:

$ sudo ufw deny from 192.168.1.110

Untuk menyasarkan sambungan keluar secara khusus, sertakan out:

$ sudo ufw allow out ssh

Untuk memadam peraturan, gunakan nombor peraturan dari ufw status numbered:

$ sudo ufw delete 3

Profil Aplikasi UFW

UFW termasuk profil aplikasi yang menentukan peraturan firewall untuk perkhidmatan biasa. Profil ini memudahkan konfigurasi dengan menggabungkan tetapan port dan protokol di bawah nama aplikasi yang dikenali.

Senaraikan profil aplikasi yang tersedia:

$ sudo ufw app list

Lihat butiran mengenai profil aplikasi tertentu:

$ sudo ufw app info OpenSSH

Ini memaparkan port dan protokol yang digunakan oleh aplikasi. Untuk membenarkan aplikasi melalui firewall:

$ sudo ufw allow OpenSSH

Profil aplikasi yang biasa termasuk OpenSSH, Apache, Apache Full, Nginx Full, dan lain-lain bergantung pada perisian yang dipasang. Profil aplikasi disimpan di /etc/ufw/applications.d/ dan anda boleh membuat profil tersuai untuk aplikasi anda sendiri.

Menyiapkan Desktop

Contoh ini memberikan titik permulaan untuk konfigurasi firewall desktop asas. Sesuaikan peraturan mengikut keperluan khusus anda.

Mulakan dengan menetapkan tetapan lalai:

$ sudo ufw default deny incoming
$ sudo ufw default allow outgoing

Benarkan trafik HTTP dan HTTPS untuk pelayaran web:

$ sudo ufw allow http
$ sudo ufw allow https

Dayakan akses SSH:

$ sudo ufw allow ssh

Benarkan NTP untuk penyegerakan waktu sistem:

$ sudo ufw allow ntp

Kecuali anda menggunakan IP statik, benarkan DHCP pada port 67 dan 68:

$ sudo ufw allow 67:68/udp

Benarkan trafik DNS untuk penyelesaian nama domain:

$ sudo ufw allow 53

Untuk klien torrent seperti Deluge:

$ sudo ufw allow 56881:56889/tcp

Steam memerlukan pelbagai port:

$ sudo ufw allow 27000:27036/udp
$ sudo ufw allow 27036:27037/tcp
$ sudo ufw allow 4380/udp

Menubuhkan Pelayan Web

Pelayan web memerlukan konfigurasi yang lebih terhad untuk meminimumkan permukaan serangan sambil memastikan aliran trafik sah tidak terganggu.

Bagi pelayan, tolak semua trafik secara lalai. Lumpuhkan firewall sebelum membuat perubahan ini untuk mengelakkan kehilangan akses SSH:

$ sudo ufw default deny incoming
$ sudo ufw default deny outgoing
$ sudo ufw default deny forward

Dayakan kedua-dua trafik web masuk dan keluar:

$ sudo ufw allow http
$ sudo ufw allow out http
$ sudo ufw allow https
$ sudo ufw allow out https

Benarkan SSH untuk pentadbiran jauh:

$ sudo ufw allow ssh
$ sudo ufw allow out ssh

Dayakan NTP untuk penyegerakan masa:

$ sudo ufw allow ntp
$ sudo ufw allow out ntp

Benarkan DNS untuk kemas kini pakej dan penyelesaian domain:

$ sudo ufw allow 53
$ sudo ufw allow out 53

Kesimpulan

UFW menyediakan pendekatan yang mudah untuk pengurusan firewall pada sistem Linux. Walaupun ringkas, UFW sedia untuk digunakan dalam produksi kerana ia berfungsi sebagai antara muka hadapan kepada iptables, memberikan keselamatan yang kukuh yang sama. Contoh-contoh dalam panduan ini merangkumi konfigurasi desktop dan pelayan yang biasa, tetapi anda harus menyesuaikan peraturannya berdasarkan keperluan spesifik anda dan konfigurasi rangkaian. Untuk dokumentasi yang lengkap, rujuk manpage rasmi UFW.

Soalan Lazim

1. Bagaimana saya boleh menyemak jika UFW menyekat sambungan tertentu? Gunakan sudo ufw status verbose untuk melihat semua peraturan aktif dan polisi mereka. Anda juga boleh menyemak log UFW di /var/log/ufw.log untuk cubaan sambungan yang disekat. Aktifkan logging dengan sudo ufw logging on jika ia belum aktif.
2. Adakah saya boleh menetapkan semula UFW ke keadaan asal? Ya, jalankan sudo ufw reset untuk menghapus semua peraturan dan mematikan firewall. Ini mengembalikan UFW ke keadaan asal selepas pemasangan, yang berguna jika anda telah membuat kesilapan konfigurasi dan ingin bermula semula.
3. Apa perbezaan antara ufw allow dan ufw limit? Perintah allow membenarkan semua trafik yang sepadan, manakala limit menambah had kadar untuk mengelakkan serangan brute-force. Sebagai contoh, sudo ufw limit ssh membenarkan sambungan SSH tetapi menghalang alamat IP yang cuba membuat lebih daripada 6 sambungan dalam 30 saat.
4. Adakah UFW kekal selepas but semula? Ya, setelah diaktifkan dengan sudo ufw enable, UFW akan bermula secara automatik semasa boot dan memuatkan peraturan yang disimpan. Peraturan ini disimpan dalam /etc/ufw/ dan kekal walaupun selepas but semula tanpa konfigurasi tambahan.