آموزش فایروال UFW در اوبونتو (بدون قفل شدن)

چرا فایروال لازم است؟

هر سرویسی که روی سرور اجرا می‌کنید — دیتابیس، پنل مدیریت، Redis، سرویس آزمایشی — ممکن است ناخواسته روی همهٔ آی‌پی‌ها گوش دهد و از اینترنت در دسترس باشد. فایروال تضمین می‌کند فقط پورت‌هایی که آگاهانه باز کرده‌اید قابل دسترسی‌اند. برای دیدن پورت‌هایی که الان باز هستند:

sudo ss -tulpn

گام ۱: نصب و سیاست پیش‌فرض

UFW معمولاً روی اوبونتو نصب است؛ اگر نیست:

sudo apt install -y ufw
sudo ufw default deny incoming
sudo ufw default allow outgoing

گام ۲: باز کردن SSH (پیش از هر چیز)

sudo ufw allow OpenSSH          # پورت ۲۲
# اگر پورت SSH را تغییر داده‌اید:
sudo ufw allow 2222/tcp

برای امنیت بیشتر، تعداد تلاش‌های اتصال را محدود کنید (بیش از ۶ اتصال در ۳۰ ثانیه از یک آی‌پی رد می‌شود):

sudo ufw limit OpenSSH

گام ۳: باز کردن سرویس‌ها

sudo ufw allow 80/tcp
sudo ufw allow 443/tcp
# یا با پروفایل Nginx:
sudo ufw allow 'Nginx Full'

گام ۴: فعال‌سازی و بررسی

sudo ufw enable
sudo ufw status verbose
sudo ufw status numbered

پس از فعال‌سازی، در یک پنجرهٔ جدید SSH وصل شوید تا مطمئن شوید دسترسی دارید.

$ sudo ufw allow OpenSSH$ sudo ufw allow 80,443/tcp$ sudo ufw enable$ sudo ufw status verboseStatus: active$ 

قوانین پرکاربرد

الگوی امن برای دیتابیس

دیتابیس را هرگز برای همه باز نکنید. بهترین حالت این است که دیتابیس فقط روی 127.0.0.1 گوش دهد. اگر سرور دیگری باید به آن وصل شود، فقط آی‌پی همان سرور را مجاز کنید:

sudo ufw allow from 198.51.100.7 to any port 5432 proto tcp

IPv6

اگر سرور IPv6 دارد (مثل سرورهای ایران کلودیفای)، مطمئن شوید UFW قوانین را برای IPv6 هم اعمال می‌کند. در /etc/default/ufw مقدار IPV6=yes باشد (پیش‌فرض اوبونتو). در خروجی ufw status قوانین با برچسب (v6) هم دیده می‌شوند.

هشدار مهم: داکر و UFW

داکر برای پورت‌هایی که با -p یا ports: منتشر می‌کنید، مستقیماً قوانین iptables می‌سازد و این قوانین پیش از UFW بررسی می‌شوند. یعنی حتی اگر در UFW پورت ۵۴۳۲ را بسته باشید، -p 5432:5432 آن را برای کل اینترنت باز می‌کند.

راه‌حل‌ها: - پورت‌های داخلی را فقط روی localhost منتشر کنید: "127.0.0.1:5432:5432". - سرویس‌های داخلی را بدون انتشار پورت و از طریق شبکهٔ داخلی Docker Compose به هم وصل کنید. - فقط سرویس‌های عمومی (مثل وب‌سرور) را روی آی‌پی عمومی منتشر کنید.

جزئیات بیشتر در نصب Docker روی اوبونتو.

لاگ فایروال

sudo ufw logging low
sudo tail -f /var/log/ufw.log

لاگ نشان می‌دهد چه بسته‌هایی مسدود شده‌اند؛ برای عیب‌یابی سرویسی که در دسترس نیست مفید است.

اگر قفل شدید

• اگر پنجرهٔ SSH قبلی باز است: sudo ufw allow OpenSSH یا sudo ufw disable.
• در سرورهای خارج، اگر پلن حالت Rescue دارد، سرور را در Rescue بوت کنید و فایل /etc/ufw/ufw.conf را با ENABLED=no ویرایش کنید.
• در غیر این صورت تیکت پشتیبانی ثبت کنید.

سؤالات متداول