So richten Sie eine Firewall mit ufw unter Debian 9 ein

Debian enthält mehrere Pakete, die Tools zum Verwalten einer Firewall mit iptables bereitstellen, die als Teil des Basissystems installiert sind. Es kann für Anfänger schwierig sein, zu lernen, wie man das iptables-Tool verwendet, um eine Firewall richtig zu konfigurieren und zu verwalten, aber UFW vereinfacht es.

UFW (Uncomplicated Firewall) ist ein benutzerfreundliches Front-End für die Verwaltung von iptables-Firewall-Regeln. Das Hauptziel besteht darin, die Verwaltung von iptables zu vereinfachen oder, wie der Name schon sagt, unkompliziert zu gestalten.

In diesem Tutorial zeigen wir Ihnen, wie Sie eine Firewall mit UFW unter Debian 9 einrichten.

Voraussetzungen

Bevor Sie mit diesem Lernprogramm fortfahren, stellen Sie sicher, dass der Benutzer, unter dem Sie angemeldet sind, über Sudo-Berechtigungen verfügt.

Installieren Sie UFW

UFW ist in Debian 9 nicht standardmäßig installiert. Sie können das ufw Paket installieren, indem Sie ufw eingeben:

sudo apt install ufw

Überprüfen Sie den UFW-Status

Nach Abschluss des Installationsvorgangs können Sie den Status von UFW mit dem folgenden Befehl überprüfen:

sudo ufw status verbose

Die Ausgabe sieht folgendermaßen aus:

Status: inactive

UFW ist standardmäßig deaktiviert. Die Installation aktiviert die Firewall nicht automatisch, um eine Sperrung des Servers zu vermeiden.

Wenn UFW aktiviert ist, sieht die Ausgabe folgendermaßen aus:

UFW-Standardrichtlinien

Standardmäßig blockiert UFW alle eingehenden Verbindungen und lässt alle ausgehenden Verbindungen zu. Dies bedeutet, dass jeder, der versucht, auf Ihren Server zuzugreifen, keine Verbindung herstellen kann, es sei denn, Sie öffnen speziell den Port, während alle Anwendungen und Dienste, die auf Ihrem Server ausgeführt werden, auf die Außenwelt zugreifen können.

Die Standardrichtlinien sind in der Datei /etc/default/ufw und können mit dem sudo ufw default geändert werden Befehl.

Firewall-Richtlinien bilden die Grundlage für die Erstellung detaillierterer und benutzerdefinierter Regeln. In den meisten Fällen sind die anfänglichen UFW-Standardrichtlinien ein guter Ausgangspunkt.

Anwendungsprofile

Bei der Installation eines Pakets mit apt wird ein Anwendungsprofil zum Verzeichnis /etc/ufw/applications.d , das den Dienst beschreibt und UFW-Einstellungen enthält.

So listen Sie alle auf Ihrem Systemtyp verfügbaren Anwendungsprofile auf:

sudo ufw app list

Abhängig von den auf Ihrem System installierten Paketen sieht die Ausgabe folgendermaßen aus:

Available applications: DNS IMAP IMAPS OpenSSH POP3 POP3S Postfix Postfix SMTPS Postfix Submission…

Verwenden Sie den folgenden Befehl, um weitere Informationen zu einem bestimmten Profil und den darin enthaltenen Regeln zu erhalten:

sudo ufw app info OpenSSH

Profile: OpenSSH Title: Secure shell server, an rshd replacement Description: OpenSSH is a free implementation of the Secure Shell protocol. Port: 22/tcp

ADie Ausgabe oben sagt uns, dass das OpenSSH-Profil Port 22 öffnet.

SSH-Verbindungen zulassen

Bevor Sie die UFW-Firewall aktivieren, müssen Sie eingehende SSH-Verbindungen zulassen.

Wenn Sie von einem entfernten Standort aus eine Verbindung zu Ihrem Server herstellen, was fast immer der Fall ist und Sie die UFW-Firewall aktivieren, bevor Sie eingehende SSH-Verbindungen explizit zulassen, können Sie keine Verbindung mehr zu Ihrem Debian-Server herstellen.

Führen Sie den folgenden Befehl aus, um Ihre UFW-Firewall so zu konfigurieren, dass eingehende SSH-Verbindungen zugelassen werden:

sudo ufw allow OpenSSH

Rules updated Rules updated (v6)

Wenn der SSH-Server einen anderen Port als den Standardport 22 überwacht, müssen Sie diesen Port öffnen.

Wenn Ihr SSH-Server beispielsweise Port 8822 , können Sie den folgenden Befehl verwenden, um Verbindungen an diesem Port zuzulassen:

sudo ufw allow 8822/tcp

Aktivieren Sie UFW

Nachdem Ihre UFW-Firewall so konfiguriert wurde, dass eingehende SSH-Verbindungen zugelassen werden, können Sie sie aktivieren, indem Sie Folgendes ausführen:

sudo ufw enable

Command may disrupt existing ssh connections. Proceed with operation (y|n)? y Firewall is active and enabled on system startup

Sie werden gewarnt, dass durch das Aktivieren der Firewall möglicherweise vorhandene SSH-Verbindungen Enter . Enter einfach y und drücken Sie die Enter .

Erlaube Verbindungen an anderen Ports

Abhängig von den Anwendungen, die auf Ihrem Server ausgeführt werden, und Ihren spezifischen Anforderungen müssen Sie auch den eingehenden Zugriff auf einige andere Ports zulassen.

Im Folgenden finden Sie einige Beispiele, wie Sie eingehende Verbindungen zu einigen der gängigsten Dienste zulassen:

Öffnen Sie Port 80 - HTTP

HTTP-Verbindungen können mit dem folgenden Befehl zugelassen werden:

sudo ufw allow

Anstelle des http Profils können Sie die Portnummer 80 :

sudo ufw allow 80/tcp

Öffnen Sie Port 443 - HTTPS

HTTP-Verbindungen können mit dem folgenden Befehl zugelassen werden:

sudo ufw allow

Um dasselbe anstelle von https , können Sie die Portnummer 443 :

sudo ufw allow 443/tcp

Öffnen Sie den Port 8080

sudo ufw allow 8080/tcp

Portbereiche zulassen

Mit UFW können Sie auch den Zugriff auf Portbereiche zulassen. Wenn Sie Portbereiche mit UFW zulassen, müssen Sie das Protokoll entweder tcp oder udp angeben.

Führen Sie zum Beispiel den folgenden Befehl aus, um Ports von 7100 bis 7200 auf tcp und udp zuzulassen:

sudo ufw allow 7100:7200/tcp sudo ufw allow 7100:7200/udp

Bestimmte IP-Adressen zulassen

sudo ufw allow from 64.63.62.61

Bestimmte IP-Adressen für bestimmten Port zulassen

Um den Zugriff auf einen bestimmten Port zuzulassen, nehmen wir an, dass Port 22 von Ihrem Arbeitscomputer mit der IP-Adresse 64.63.62.61 den folgenden Befehl verwendet:

sudo ufw allow from 64.63.62.61 to any port 22

Subnetze zulassen

Der Befehl zum Zulassen der Verbindung zu einem Teilnetz von IP-Adressen ist der gleiche wie bei Verwendung einer einzelnen IP-Adresse. Der einzige Unterschied besteht darin, dass Sie die Netzmaske angeben müssen. Wenn Sie beispielsweise den Zugriff auf IP-Adressen von 192.168.1.1 bis 192.168.1.254 für Port 3360 (MySQL) zulassen möchten, können Sie diesen Befehl verwenden:

sudo ufw allow from 192.168.1.0/24 to any port 3306

Verbindungen zu einer bestimmten Netzwerkschnittstelle zulassen

Um den Zugriff auf einen bestimmten Port zuzulassen, sagen wir Port 3360 nur für die bestimmte Netzwerkschnittstelle eth2 , verwenden Sie allow in on und den Namen der Netzwerkschnittstelle:

sudo ufw allow in on eth2 to any port 3306

Verbindungen verweigern

Die Standardrichtlinie für alle eingehenden Verbindungen ist auf " deny eingestellt. deny bedeutet, dass UFW alle eingehenden Verbindungen blockiert, sofern Sie die Verbindung nicht speziell öffnen.

23.24.25.0/24 , Sie haben die Ports 80 und 443 geöffnet und Ihr Server wird vom 23.24.25.0/24 . Verwenden Sie den folgenden Befehl, um alle Verbindungen von 23.24.25.0/24 zu verweigern:

sudo ufw deny from 23.24.25.0/24

sudo ufw deny from 23.24.25.0/24 to any port 80 sudo ufw deny from 23.24.25.0/24 to any port 443

Das Schreiben von Ablehnungsregeln entspricht dem Schreiben von Zulassungsregeln. Sie müssen lediglich allow durch deny ersetzen.

Löschen Sie die UFW-Regeln

Es gibt zwei verschiedene Möglichkeiten, um UFW-Regeln zu löschen, und zwar nach Regelnummer und Angabe der tatsächlichen Regel.

Das Löschen von UFW-Regeln anhand der Regelnummer ist einfacher, insbesondere wenn Sie mit UFW noch nicht vertraut sind.

Um eine Regel anhand einer Regelnummer zu löschen, müssen Sie zunächst die Nummer der Regel ermitteln, die Sie löschen möchten. Führen Sie dazu den folgenden Befehl aus:

sudo ufw status numbered

Status: active To Action From -- ------ ---- 22/tcp ALLOW IN Anywhere 80/tcp ALLOW IN Anywhere 8080/tcp ALLOW IN Anywhere

Verwenden Sie den folgenden Befehl, um Regel 3 zu löschen, die Verbindungen zu Port 8080 zulässt:

sudo ufw delete 2

Die zweite Methode besteht darin, eine Regel durch Angabe der tatsächlichen Regel zu löschen. Wenn Sie beispielsweise eine Regel zum Öffnen von Port 8069 , können Sie diese löschen mit:

sudo ufw delete allow 8069

UFW deaktivieren

Wenn Sie UFW aus irgendeinem Grund stoppen und alle ausgeführten Regeln deaktivieren möchten:

sudo ufw disable

Wenn Sie später UTF wieder aktivieren und alle Regeln aktivieren möchten, geben Sie einfach Folgendes ein:

sudo ufw enable

UFW zurücksetzen

Durch das Zurücksetzen von UFW wird UFW deaktiviert und alle aktiven Regeln werden gelöscht. Dies ist hilfreich, wenn Sie alle Änderungen rückgängig machen und neu starten möchten.

Um UFW zurückzusetzen, geben Sie einfach den folgenden Befehl ein:

sudo ufw reset

Fazit

Sie haben gelernt, wie Sie die UFW-Firewall auf Ihrem Debian 9-Rechner installieren und konfigurieren. Stellen Sie sicher, dass alle eingehenden Verbindungen zugelassen sind, die für den ordnungsgemäßen Betrieb Ihres Systems erforderlich sind, und begrenzen Sie alle unnötigen Verbindungen.

ufw firewall iptables debian security