Te-ai încuiat afară din VPS cu ufw? Intră înapoi fără reinstalare

Există un ritual de trecere pentru oricine începe să-și ruleze propriul server: decizi să configurezi un firewall, tastezi câteva comenzi ufw, dai enable — iar terminalul tace. SSH-ul a dispărut. N-ai stricat nimic, n-ai fost spart. Doar ai încuiat ușa cu tine afară.

Li se întâmplă și administratorilor buni. I s-a întâmplat săptămâna trecută unuia dintre clienții noștri, de aceea scriu asta. Vestea bună: se recuperează complet în mai puțin de un minut și nu trebuie să reinstalezi sau să pierzi vreun fișier. Iată cum.

Ce a mers de fapt prost

ufw (Uncomplicated Firewall) are ca implicit blochează tot ce intră. În clipa în care rulezi ufw enable, tot ce n-ai permis explicit e aruncat — inclusiv sesiunea SSH în care stai. Dacă ai uitat să faci întâi ufw allow pentru portul SSH, ți-ai tăiat propria conexiune exact în momentul în care regula intră în vigoare.

Asta e versiunea clasică. Mai există două variante care îi prind pe oameni:

• Ai permis portul greșit. O greșeală de tastare sau ai permis portul serviciului (de exemplu 8080) și ai uitat de 22.
• Ai permis 22, dar apoi ai pus mai sus în listă o regulă deny care o acoperă. ufw ține cont de ordine.

Oricum ar fi, serverul în sine e în regulă — rulează, discul e intact, aplicația ta merge mai departe în spatele zidului. E pur și simplu o problemă de acces la rețea. Exact de aceea soluția e ușoară.

Mișcarea greșită: reinstalarea

Primul instinct e adesea „resetez serverul și o iau de la capăt”. Nu — nu pentru asta. O reinstalare șterge tot ca să-ți dea înapoi un SSH funcțional, când lucrul care blochează SSH-ul e o singură comandă de firewall pe care o poți anula în zece secunde. Ai da foc casei pentru că ai încuiat ușa din față.

Reinstalarea e alegerea potrivită când vrei o tablă curată. Pentru o încuiere cu ufw, e prea mult.

Mișcarea corectă: consola web

Orice VPS care se respectă îți dă o consolă din afara benzii — o cale de intrare în mașină care nu trece prin SSH și nici măcar prin stiva de rețea. Pe EQVPS e butonul Consolă de pe pagina serverului. E o consolă serială: doar text, legată direct de VM, așa cum ar fi un monitor și o tastatură. O regulă de firewall nu are nicio putere asupra ei, pentru că nu e trafic de rețea.

Dă clic pe el, autentifică-te cu datele root (sau afișează parola din panou, dacă n-o ai la îndemână) și ești pe mașină — cu firewall sau fără.

Acum anulează paguba. Calea cea mai rapidă:

sudo ufw disable

Asta oprește firewallul și îți păstrează regulile, ca să-l poți reporni mai târziu, după ce ai reparat greșeala. SSH-ul revine imediat.

Dacă ai prefera să nu renunți complet la firewall, deschide doar portul pe care l-ai ratat:

sudo ufw allow 22
sudo ufw status numbered

Merită o privire la status numbered — arată ordinea regulilor, unde se ascund cazurile de tipul „am permis 22, dar tot blochează”. Dacă un deny stă deasupra lui allow, șterge-l cu sudo ufw delete <număr>.

Capcana NAT pe care o ratează majoritatea ghidurilor

Dacă ești pe un plan NAT, aici e o capcană. Intri prin SSH pe un port mare — ceva ca 20266 —, așa că instinctul natural e ufw allow 20266. Nu face nimic.

Pe NAT, portul extern e redirecționat spre portul 22 din interiorul VM-ului. ufw rulează în VM și vede mereu doar 22. Așa că regula de care ai de fapt nevoie e:

sudo ufw allow 22

Permite 20266 și te vei uita la o conexiune tot stricată, întrebându-te de ce. Permite 22 și ești înăuntru. Aceeași idee pentru orice serviciu: permite portul pe care ascultă procesul în interiorul mașinii, nu pe cel redirecționat, la care te conectezi din exterior.

Cum nu mai faci niciodată asta

Soluția durează un minut, dar e mai plăcut să n-ai nevoie de ea. Două obiceiuri:

Permite portul SSH înainte să pornești firewallul. În ordinea asta, întotdeauna:

sudo ufw allow 22
sudo ufw enable

Fă-o invers și te întorci în consolă.

Ține deschisă o a doua sesiune cât schimbi regulile de firewall. Autentifică-te de două ori. Faci schimbările într-o fereastră; dacă moare SSH-ul, cealaltă fereastră e încă vie ca să repari. Truc vechi, te salvează de fiecare dată.

Iar dacă configurezi o mașină nouă, lista noastră de securitate pentru un VPS nou acoperă ufw în ordinea corectă, alături de cheile SSH și de celelalte câteva lucruri care contează cu adevărat în primele zece minute.

Concluzia

O încuiere cu ufw arată înfricoșător și nu e aproape nimic. Serverul n-a plecat nicăieri; îți trebuie doar o ușă pe care un firewall n-o poate trânti — consola web — și o comandă. Ține la îndemână ufw disable și consola, permite portul înainte de enable data viitoare și n-o să mai transpiri niciodată din cauza asta.