UFW (Uncomplicated Firewall) لینکس کے netfilter فائر وال کا ایک دوستانہ فرنٹ اینڈ ہے، جو Ubuntu اور Debian پر معیاری ہے۔ خام iptables رولز لکھنے کے بجائے، آپ بس 'allow 443' جیسی بات کہتے ہیں اور باقی UFW خود سنبھال لیتا ہے۔ یہ ایک سلجھے ہوئے ڈیفالٹ-ڈینائے فائر وال تک پہنچنے کا تیز ترین راستہ ہے۔

UFW فعال کرنے سے پہلے مجھے SSH کی اجازت کیوں دینی چاہیے؟

کیونکہ جیسے ہی آپ ڈیفالٹ-ڈینائے فائر وال فعال کرتے ہیں، کوئی بھی پورٹ جسے واضح طور پر اجازت نہ دی گئی ہو بلاک ہو جاتی ہے — بشمول پورٹ 22۔ اگر آپ پہلے SSH کی اجازت دیے بغیر UFW فعال کریں تو آپ کا موجودہ کنکشن بچ جاتا ہے مگر اگلا لاگ اِن مسترد ہو جاتا ہے، اور آپ لاک آؤٹ ہو جاتے ہیں۔ ہمیشہ 'ufw enable' سے پہلے 'ufw allow OpenSSH' (یا 'ufw allow 22/tcp') چلائیں۔

مجھے کون سی پورٹس کھولنی چاہئیں؟

صرف وہی جو آپ واقعی استعمال کرتے ہیں۔ سرور منظم کرنے کے لیے SSH (22)؛ اگر آپ ویب سائٹ یا ریورس پراکسی چلاتے ہیں تو 80 اور 443؛ اور جو بھی مخصوص پورٹس آپ کی ایپ کو درکار ہوں۔ باقی سب بند رہتا ہے۔ جتنی کم کھلی پورٹس، آپ کی حملہ سطح اتنی ہی چھوٹی۔

کیا UFW ہر چیز سے تحفظ دیتا ہے؟

نہیں — یہ کنٹرول کرتا ہے کہ کون سی پورٹس کنکشن قبول کرتی ہیں، جو کام کا بڑا حصہ ہے، مگر یہ آپ کی کھولی گئی پورٹس پر ٹریفک کا معائنہ نہیں کرتا۔ اسے SSH کلیدوں، بروٹ فورس تحفظ کے لیے fail2ban، اور سافٹ ویئر کو اپ ڈیٹ رکھنے کے ساتھ جوڑیں۔ فائر وال ایک تہہ ہے، پوری دیوار نہیں۔

میں یہ کیسے چیک کروں کہ فی الحال کیا اجازت یافتہ ہے؟

'sudo ufw status verbose' چلائیں۔ یہ ہر فعال رول اور یہ کہ UFW فعال ہے یا نہیں، دونوں دکھاتا ہے۔ ہر تبدیلی کے بعد اسے چیک کریں تاکہ آپ کو ہمیشہ صحیح معلوم رہے کہ کیا کھلا ہے۔

VPS پر UFW فائر وال کیسے کنفیگر کریں

UFW کے ساتھ ایک سادہ، مؤثر فائر وال سیٹ کریں: پہلے SSH کی اجازت دیں (تاکہ آپ خود کو لاک آؤٹ نہ کریں)، صرف وہی پورٹس کھولیں جن کی ضرورت ہے، اور اسے فعال کریں۔ چند کمانڈز میں ایک صاف ستھرا ڈیفالٹ-ڈینائے فائر وال۔

ایک فائر وال طے کرتا ہے کہ آپ کے سرور پر کون سی پورٹس باہر سے کنکشن قبول کرتی ہیں۔ جو کچھ آپ واضح طور پر نہیں کھولتے وہ بند رہنا چاہیے — یہی ڈیفالٹ-ڈینائے ہے، اور یہ آپ کی حملہ سطح کو صرف انہی سروسز تک محدود کر دیتا ہے جو آپ واقعی چلاتے ہیں۔ UFW اسے آسان بنا دیتا ہے۔ صرف ایک چیز کا خیال رکھنا ہے: ترتیب — فائر وال آن کرنے سے پہلے SSH کی اجازت دیں، ورنہ آپ خود کو لاک آؤٹ کر لیں گے۔

1. UFW انسٹال کریں (عام طور پر پہلے سے موجود ہوتا ہے)

sudo apt update && sudo apt install -y ufw

2. سب سے پہلے SSH کی اجازت دیں — کسی اور چیز سے پہلے

یہ وہ قدم ہے جو لاک آؤٹ سے بچاتا ہے۔ اسے enable سے پہلے کریں:

sudo ufw allow OpenSSH
# یا، اگر آپ کسٹم SSH پورٹ استعمال کرتے ہیں:
# sudo ufw allow 22/tcp

3. صرف وہی پورٹس کھولیں جن کی ضرورت ہے

sudo ufw allow 80/tcp     # HTTP، اگر آپ ویب سائٹ سرو کرتے ہیں
sudo ufw allow 443/tcp    # HTTPS
# صرف ضرورت کے مطابق ایپ کی مخصوص پورٹس شامل کریں، مثلاً:
# sudo ufw allow 51820/udp   # WireGuard VPN

4. ڈیفالٹ پالیسی سیٹ کریں اور فعال کریں

sudo ufw default deny incoming
sudo ufw default allow outgoing
sudo ufw enable           # تصدیق طلب کرتا ہے

5. تصدیق کریں

sudo ufw status verbose

آپ کو SSH اور آپ کی منتخب کردہ پورٹس کو اجازت یافتہ، اور باقی سب کو مسترد دیکھنا چاہیے۔ ہر تبدیلی کے بعد اسے چیک کریں۔

عام کام

sudo ufw allow 3000/tcp        # ایک پورٹ کھولیں
sudo ufw delete allow 3000/tcp # اسے دوبارہ بند کریں
sudo ufw status numbered       # نمبروں کے ساتھ رولز کی فہرست
sudo ufw delete 2              # رول نمبر 2 حذف کریں
sudo ufw disable               # فائر وال بند کریں

ایماندار احتیاطیں

ufw enable سے پہلے SSH کی اجازت دیں۔ یہی وہ واحد غلطی ہے جو لوگوں کو ان کے اپنے سرور سے لاک آؤٹ کر دیتی ہے۔ اگر ایسا ہو جائے تو فراہم کنندہ کا کنسول آپ کو واپس اندر لے آتا ہے — EQVPS ہر VPS کو براؤزر کنسول دیتا ہے۔
فائر وال ایک تہہ ہے۔ یہ کھلی پورٹس کو کنٹرول کرتا ہے، نہ کہ ان پر کیا ہوتا ہے۔ اسے SSH کلید تصدیق اور fail2ban کے ساتھ ملائیں۔
NAT پلانز پر ان باؤنڈ پورٹس مختلف طریقے سے کام کرتی ہیں — سرور پر فائر وال پھر بھی مددگار ہے، مگر صرف dedicated-IP پلان ہی من مانی ان باؤنڈ قبول کرتا ہے۔

اگلے قدم

فائر وال کے ساتھ کلیدیں ایک سخت کیے گئے سرور کا زیادہ تر حصہ ہیں۔ نئے VPS کی سیکیورٹی چیک لسٹ کے ساتھ اسے مکمل کریں۔ ویب ایپ کے لیے 443 کھول رہے ہیں؟ دیکھیں HTTPS کے ساتھ nginx ریورس پراکسی کیسے سیٹ کریں۔