VPS-এ UFW ফায়ারওয়াল কীভাবে কনফিগার করবেন

UFW দিয়ে একটি সহজ, কার্যকর ফায়ারওয়াল সেট করুন: প্রথমে SSH অনুমোদন দিন (যাতে নিজেকে লক না করে ফেলেন), কেবল প্রয়োজনীয় পোর্ট খুলুন, এবং সক্রিয় করুন। কয়েকটি কমান্ডে একটি পরিষ্কার default-deny ফায়ারওয়াল।

একটি ফায়ারওয়াল ঠিক করে দেয় আপনার সার্ভারের কোন পোর্ট বাইরে থেকে সংযোগ গ্রহণ করবে। আপনি স্পষ্টভাবে না খুললে সবকিছু বন্ধ থাকা উচিত — এটাই default-deny, আর এটি আপনার আক্রমণ-পৃষ্ঠ কেবল আপনি সত্যিই যেসব সার্ভিস চালান তাতেই সীমিত করে দেয়। UFW এটি সহজ করে দেয়। ঠিকভাবে করার একমাত্র বিষয় হলো ক্রম: ফায়ারওয়াল চালু করার আগে SSH অনুমোদন দিন, নইলে নিজেকেই লক করে ফেলবেন।

1. UFW ইনস্টল করুন (সাধারণত আগে থেকেই থাকে)

sudo apt update && sudo apt install -y ufw

2. প্রথমেই SSH অনুমোদন দিন — অন্য কিছুর আগে

এটিই লকআউট ঠেকানোর ধাপ। enable-এর আগেই করুন:

sudo ufw allow OpenSSH
# অথবা, কাস্টম SSH পোর্ট ব্যবহার করলে:
# sudo ufw allow 22/tcp

3. কেবল প্রয়োজনীয় পোর্ট খুলুন

sudo ufw allow 80/tcp     # HTTP, ওয়েবসাইট চালালে
sudo ufw allow 443/tcp    # HTTPS
# প্রয়োজন হলেই অ্যাপ-নির্দিষ্ট পোর্ট যোগ করুন, যেমন:
# sudo ufw allow 51820/udp   # WireGuard VPN

4. ডিফল্ট নীতি সেট করুন এবং সক্রিয় করুন

sudo ufw default deny incoming
sudo ufw default allow outgoing
sudo ufw enable           # নিশ্চিতকরণ চাইবে

5. যাচাই করুন

sudo ufw status verbose

SSH ও আপনার বেছে নেওয়া পোর্টগুলো অনুমোদিত এবং বাকি সব প্রত্যাখ্যাত দেখা উচিত। প্রতিটি পরিবর্তনের পর এটি পরীক্ষা করুন।

সাধারণ কাজ

sudo ufw allow 3000/tcp        # একটি পোর্ট খুলুন
sudo ufw delete allow 3000/tcp # আবার বন্ধ করুন
sudo ufw status numbered       # নম্বরসহ নিয়ম তালিকা
sudo ufw delete 2              # নিয়ম #2 মুছুন
sudo ufw disable               # ফায়ারওয়াল বন্ধ করুন

সৎ সতর্কতা

ufw enable-এর আগে SSH অনুমোদন দিন। এই একটি ভুলই মানুষকে নিজের সার্ভার থেকে লক করে দেয়। এটি ঘটলে, প্রোভাইডার কনসোল আপনাকে ফিরিয়ে আনে — EQVPS প্রতিটি VPS-এ ব্রাউজার কনসোল দেয়।
ফায়ারওয়াল একটি স্তর মাত্র। এটি খোলা পোর্ট নিয়ন্ত্রণ করে, তাতে কী ঘটে তা নয়। এটিকে SSH কী প্রমাণীকরণ ও fail2ban-এর সঙ্গে মেলান।
NAT প্ল্যানে, ইনবাউন্ড পোর্ট ভিন্নভাবে কাজ করে — বক্সের ফায়ারওয়াল তবু সাহায্য করে, কিন্তু কেবল ডেডিকেটেড-IP প্ল্যানই যথেচ্ছ ইনবাউন্ড গ্রহণ করে।

পরবর্তী ধাপ

ফায়ারওয়াল ও কী মিলে একটি কঠোরকৃত বক্সের বেশিরভাগ কাজ। নতুন-VPS নিরাপত্তা চেকলিস্ট দিয়ে শেষ করুন। ওয়েব অ্যাপের জন্য 443 খুলছেন? দেখুন HTTPS-সহ nginx রিভার্স প্রক্সি কীভাবে সেট করবেন।

FAQ

UFW কী?

UFW (Uncomplicated Firewall) হলো Linux netfilter ফায়ারওয়ালের একটি বন্ধুত্বপূর্ণ ফ্রন্ট-এন্ড, Ubuntu ও Debian-এ স্ট্যান্ডার্ড। কাঁচা iptables নিয়ম লেখার বদলে আপনি বলেন 'allow 443'-এর মতো কিছু, আর বাকিটা UFW সামলায়। এটি একটি সুস্থ default-deny ফায়ারওয়াল পাওয়ার দ্রুততম উপায়।

UFW সক্রিয় করার আগে SSH অনুমোদন দিতে হবে কেন?

কারণ default-deny ফায়ারওয়াল সক্রিয় করার মুহূর্তেই, স্পষ্টভাবে অনুমোদিত নয় এমন প্রতিটি পোর্ট ব্লক হয়ে যায় — পোর্ট 22-সহ। আগে SSH অনুমোদন না দিয়ে UFW সক্রিয় করলে আপনার বর্তমান সংযোগ টিকে যায়, কিন্তু পরের লগইন প্রত্যাখ্যাত হয়, আর আপনি লকআউট হয়ে যান। সবসময় 'ufw enable'-এর আগে 'ufw allow OpenSSH' (বা 'ufw allow 22/tcp') চালান।

কোন পোর্টগুলো খোলা উচিত?

কেবল যেগুলো আপনি সত্যিই ব্যবহার করেন। বক্স পরিচালনার জন্য SSH (22); ওয়েবসাইট বা রিভার্স প্রক্সি চালালে 80 ও 443; আর আপনার অ্যাপের প্রয়োজনীয় নির্দিষ্ট পোর্ট। বাকি সব বন্ধ থাকে। যত কম পোর্ট খোলা, আক্রমণ-পৃষ্ঠ তত ছোট।

UFW কি সবকিছু থেকে রক্ষা করে?

না — এটি নিয়ন্ত্রণ করে কোন পোর্ট সংযোগ গ্রহণ করবে, যা কাজের একটি বড় অংশ, কিন্তু যেসব পোর্ট আপনি খুলেছেন তাতে ট্র্যাফিক পরীক্ষা করে না। এটিকে SSH কী, ব্রুট-ফোর্স সুরক্ষার জন্য fail2ban, এবং সফটওয়্যার প্যাচড রাখার সঙ্গে জোড়া দিন। ফায়ারওয়াল একটি স্তর, পুরো দেয়াল নয়।

বর্তমানে কী কী অনুমোদিত তা কীভাবে দেখব?

'sudo ufw status verbose' চালান। এটি প্রতিটি সক্রিয় নিয়ম এবং UFW সক্রিয় কিনা তা তালিকাভুক্ত করে। প্রতিটি পরিবর্তনের পর এটি পরীক্ষা করুন, যাতে ঠিক কী খোলা আছে তা সবসময় জানেন।