Installera UFW: Hur man ställer in en grundläggande brandvägg på Linux

UFW (Uncomplicated Firewall) förenklar hanteringen av Linux-brandväggar genom att erbjuda ett lättanvänt gränssnitt för iptables. Denna guide täcker installation och konfiguration av UFW på Debian-baserade distributioner, från grundläggande inställningar till praktiska brandväggskonfigurationer för stationära datorer och webbservrar.

I den här handledningen kommer du att lära dig:

• Hur man installerar UFW på Debian-baserade distributioner
• Hur man konfigurerar standardbrandväggspolicys
• Hur man tillåter och blockerar trafik efter tjänst, port och IP
• Hur man använder UFW-applikationsprofiler
• Hur man ställer in brandväggsregler för datorer och servrar

Sammanfattning av artikeln: Installera UFW med sudo apt install ufw, konfigurera sedan standardpolicyer och aktivera brandväggen.

sudo apt install ufw

sudo ufw allow ssh

sudo ufw enable

Installera UFW

UFW finns i standardarkiven för Debian-baserade distributioner. Installera det med hjälp av pakethanteraren apt:

$ sudo apt install ufw

Efter installationen är UFW inaktiv som standard. Detta gör att du kan konfigurera dina regler innan du aktiverar brandväggen, vilket förhindrar oavsiktliga avstängningar från fjärrsystem.

Ställ in dina standardinställningar

Som med iptables är det bäst att börja med att ställa in ditt standardbeteende. På skrivbord brukar du normalt sett vilja neka inkommande trafik samtidigt som du tillåter utgående anslutningar.

$ sudo ufw default deny incoming

Syntaxen för att tillåta trafik är liknande:

$ sudo ufw default allow outgoing

Dessa standardinställningar säkerställer att oönskade inkommande anslutningar blockeras medan ditt system fortfarande kan nå internet och externa tjänster.

Grundläggande användning

Nu är du redo att börja sätta upp regler och hantera din brandvägg. UFW-kommandon är utformade för att vara läsbara och intuitiva.

Starta och stoppa

Även om du kan använda systemd för att styra UFW, har det egna kontroller som är enklare. Börja med att aktivera UFW:

$ sudo ufw enable

För att stoppa och inaktivera UFW vid start:

$ sudo ufw disable

Kontrollera om UFW körs och visa aktiva regler:

$ sudo ufw status

För mer detaljerad utdata inklusive regelnummer:

$ sudo ufw status numbered

Kommandon

Tillåt inkommande HTTP-trafik med hjälp av tjänstens namn:

$ sudo ufw allow http

Tillåt SSH-anslutningar:

$ sudo ufw allow ssh

Du kan uppnå samma resultat med hjälp av portnummer. Detta kommando tillåter inkommande HTTPS-trafik på port 443:

$ sudo ufw allow 443

Tillåt trafik från en specifik IP-adress eller nätverksområde. Det här exemplet tillåter all trafik från det lokala nätverket:

$ sudo ufw allow from 192.168.1.0/24

För en rad portar, ange protokoll (TCP eller UDP):

$ sudo ufw allow 56881:56889/tcp

Använd deny istället för allow för att blockera trafik:

$ sudo ufw deny from 192.168.1.110

För att specifikt rikta in sig på utgående anslutningar, inkludera out:

$ sudo ufw allow out ssh

För att ta bort en regel, använd regelnummret från ufw status numrerad:

$ sudo ufw delete 3

UFW-programprofiler

UFW inkluderar applikationsprofiler som definierar brandväggsregler för vanliga tjänster. Dessa profiler förenklar konfigurationen genom att samla portar och protokollinställningar under igenkännbara applikationsnamn.

Lista tillgängliga applikationsprofiler:

$ sudo ufw app list

Visa detaljer om en specifik applikationsprofil:

$ sudo ufw app info OpenSSH

Detta visar de portar och protokoll som applikationen använder. För att tillåta en applikation genom brandväggen:

$ sudo ufw allow OpenSSH

Vanliga applikationsprofiler inkluderar OpenSSH, Apache, Apache Full, Nginx Full och andra beroende på installerad programvara. Applikationsprofiler lagras i /etc/ufw/applications.d/ och du kan skapa egna profiler för dina egna applikationer.

Installera en stationär dator

Detta exempel ger en utgångspunkt för en grundläggande skrivbordsbrandväggskonfiguration. Justera reglerna enligt dina specifika behov.

Börja med att ställa in standardinställningarna:

$ sudo ufw default deny incoming
$ sudo ufw default allow outgoing

Tillåt HTTP- och HTTPS-trafik för webbsurfning:

$ sudo ufw allow http
$ sudo ufw allow https

Aktivera SSH-åtkomst:

$ sudo ufw allow ssh

Tillåt NTP för systemtidssynkronisering:

$ sudo ufw allow ntp

Om du inte använder en statisk IP, tillåt DHCP på portar 67 och 68:

$ sudo ufw allow 67:68/udp

Tillåt DNS-trafik för domännamnsupplösning:

$ sudo ufw allow 53

För torrentklienter som Deluge:

$ sudo ufw allow 56881:56889/tcp

Steam kräver flera portar:

$ sudo ufw allow 27000:27036/udp
$ sudo ufw allow 27036:27037/tcp
$ sudo ufw allow 4380/udp

Ställa in en webbserver

Webbservrar kräver en mer restriktiv konfiguration för att minimera angreppsyta samtidigt som legitim trafik kan flöda utan hinder.

För servrar, neka all trafik som standard. Inaktivera brandväggen innan du gör dessa ändringar för att undvika att förlora SSH-åtkomst:

$ sudo ufw default deny incoming
$ sudo ufw default deny outgoing
$ sudo ufw default deny forward

Aktivera både inkommande och utgående webbtrafik:

$ sudo ufw allow http
$ sudo ufw allow out http
$ sudo ufw allow https
$ sudo ufw allow out https

Tillåt SSH för fjärradministration:

$ sudo ufw allow ssh
$ sudo ufw allow out ssh

Aktivera NTP för tidsynchronisering:

$ sudo ufw allow ntp
$ sudo ufw allow out ntp

Tillåt DNS för paketuppdateringar och domänupplösning:

$ sudo ufw allow 53
$ sudo ufw allow out 53

Slutsats

UFW erbjuder ett enkelt sätt att hantera brandväggar på Linux-system. Trots sin enkelhet är UFW produktionsklart eftersom det fungerar som ett gränssnitt till iptables och levererar samma robusta säkerhet. Exemplen i denna guide täcker vanliga skrivbords- och serverkonfigurationer, men du bör anpassa reglerna utifrån dina specifika krav och nätverkskonfiguration. För omfattande dokumentation, se den officiella UFW-manualen.

Vanliga frågor

1. Hur kontrollerar jag om UFW blockerar en specifik anslutning? Använd sudo ufw status verbose för att se alla aktiva regler och deras policyer. Du kan också kolla UFW-loggarna på /var/log/ufw.log för blockerade anslutningsförsök. Aktivera loggning med sudo ufw logging on om det inte redan är aktiverat.
2. Kan jag återställa UFW till dess standardläge? Ja, kör sudo ufw reset för att ta bort alla regler och inaktivera brandväggen. Detta återställer UFW till dess ursprungliga tillstånd efter installation, vilket är användbart om du har gjort konfigurationsfel och vill börja om från början.
3. Vad är skillnaden mellan ufw allow och ufw limit? allow-kommandot tillåter all matchande trafik, medan limit lägger till trafikbegränsning för att förhindra brute force-attacker. Till exempel, sudo ufw limit ssh tillåter SSH-anslutningar men blockerar en IP-adress som försöker fler än 6 anslutningar inom 30 sekunder.
4. Behåller UFW inställningarna efter omstart? Ja, när det är aktiverat med sudo ufw enable startar UFW automatiskt vid uppstart och laddar dina sparade regler. Reglerna lagras i /etc/ufw/ och behålls över omstarter utan ytterligare konfiguration.