Cum configurezi un firewall UFW pe un VPS

Configurează un firewall simplu și eficient cu UFW: permiți întâi SSH (ca să nu te încui afară), deschizi doar porturile de care ai nevoie și îl pornești. Un firewall curat, cu blocare implicită, în câteva comenzi.

Un firewall decide ce porturi de pe serverul tău acceptă conexiuni din exterior. Tot ce nu deschizi explicit ar trebui să fie închis — asta e blocarea implicită și îți reduce suprafața de atac doar la serviciile pe care chiar le rulezi. UFW face asta simplu. Singurul lucru de făcut corect e ordinea: permiți SSH înainte să pornești firewallul, altfel te încui afară.

1. Instalează UFW (de obicei e deja instalat)

sudo apt update && sudo apt install -y ufw

2. Permite SSH ÎNTÂI — înaintea oricărui alt lucru

Ăsta e pasul care previne încuierea pe dinafară. Fă-l înainte de enable:

sudo ufw allow OpenSSH
# or, if you use a custom SSH port:
# sudo ufw allow 22/tcp

3. Deschide doar porturile de care ai nevoie

sudo ufw allow 80/tcp     # HTTP, if you serve a website
sudo ufw allow 443/tcp    # HTTPS
# add app-specific ports only as needed, e.g.:
# sudo ufw allow 51820/udp   # WireGuard VPN

4. Setează politica implicită și pornește-l

sudo ufw default deny incoming
sudo ufw default allow outgoing
sudo ufw enable           # asks for confirmation

5. Verifică

sudo ufw status verbose

Ar trebui să vezi permise SSH și porturile alese, iar restul, blocate. Verifică după fiecare schimbare.

Sarcini obișnuite

sudo ufw allow 3000/tcp        # open a port
sudo ufw delete allow 3000/tcp # close it again
sudo ufw status numbered       # list rules with numbers
sudo ufw delete 2              # delete rule #2
sudo ufw disable               # turn the firewall off

Avertismente cinstite

Permite SSH înainte de ufw enable. E singura greșeală care îi încuie pe oameni afară din propriul server. Dacă se întâmplă, o consolă de la furnizor te readuce înăuntru — EQVPS îi dă fiecărui VPS o consolă în browser.
Un firewall e un strat. Controlează porturile deschise, nu ce se întâmplă pe ele. Combină-l cu autentificarea cu cheie SSH și fail2ban.
Pe planurile NAT, porturile de intrare funcționează altfel — un firewall pe mașină tot ajută, dar doar un plan cu IP dedicat acceptă trafic de intrare pe orice port.

Pașii următori

Un firewall plus chei înseamnă cea mai mare parte dintr-o mașină întărită. Termină cu lista de securitate pentru un VPS nou. Deschizi 443 pentru o aplicație web? Vezi cum configurezi un reverse proxy nginx cu HTTPS.

Întrebări frecvente

Ce e UFW?

UFW (Uncomplicated Firewall) e o interfață prietenoasă pentru firewallul netfilter din Linux, standard pe Ubuntu și Debian. În loc să scrii reguli iptables brute, spui lucruri ca 'allow 443', iar UFW se ocupă de rest. E cea mai rapidă cale spre un firewall rezonabil, cu blocare implicită.

De ce trebuie să permit SSH înainte să pornesc UFW?

Pentru că, în clipa în care pornești un firewall cu blocare implicită, orice port care nu e permis explicit e blocat — inclusiv portul 22. Dacă pornești UFW fără să permiți întâi SSH, conexiunea curentă rămâne, dar următoarea autentificare e refuzată și ești încuiat afară. Rulează întotdeauna 'ufw allow OpenSSH' (sau 'ufw allow 22/tcp') înainte de 'ufw enable'.

Ce porturi să deschid?

Doar pe cele pe care le folosești efectiv. SSH (22) ca să administrezi mașina; 80 și 443 dacă rulezi un site sau un reverse proxy; și porturile concrete de care are nevoie aplicația ta. Restul rămân închise. Cu cât sunt mai puține porturi deschise, cu atât e mai mică suprafața de atac.

Mă protejează UFW de orice?

Nu — controlează ce porturi acceptă conexiuni, ceea ce e o parte mare a treabei, dar nu inspectează traficul de pe porturile pe care le-ai deschis. Combină-l cu chei SSH, cu fail2ban împotriva atacurilor brute-force și cu actualizarea software-ului. Un firewall e un strat, nu tot zidul.

Cum verific ce e permis acum?

Rulează 'sudo ufw status verbose'. Listează fiecare regulă activă și dacă UFW e pornit. Verifică după orice schimbare, ca să știi mereu exact ce e deschis.

Comentarii

Încă nu există comentarii. Fii primul.