Generator reguł UFW

Generator reguł UFW

UFW (Uncomplicated Firewall) to prosta nakładka na iptables, instalowana domyślnie w Ubuntu. Generator reguł UFW składa z zaznaczonych opcji gotowy skrypt bash: ustawia IPv6, polityki domyślne, dopuszcza SSH (z limitem prób albo tylko z wybranego adresu), porty 80 i 443 oraz Twoje reguły niestandardowe, a na końcu włącza firewall.

Podstawowe zasady

Bezpieczne wdrożenie

1. dodaj regułę na SSH przed włączeniem firewalla – w skrypcie z generatora ufw --force enable stoi zawsze na końcu, po regułach,
2. zostaw otwartą drugą sesję SSH, dopóki nie zalogujesz się ponownie w nowym oknie,
3. sprawdź ufw status verbose,
4. w razie potrzeby włącz logi: ufw logging on (plik /var/log/ufw.log),
5. nie blokuj sobie dostępu – trzymaj konsolę awaryjną (VNC/KVM w panelu dostawcy serwera).

Jak działa generator reguł UFW

Generator nie filtruje ruchu sam z siebie – zbiera wybrane opcje (politykę domyślną, porty, adresy źródłowe) i składa je w gotowy skrypt z komendami ufw, który wykonujesz na serwerze: wklejasz w terminalu albo zapisujesz jako ufw.sh i uruchamiasz poleceniem bash ufw.sh. UFW sprawdza reguły od góry, a pakiet zatrzymuje się na pierwszej pasującej regule. Polityka domyślna stanowi więc tło, a każdy wyjątek to osobny wpis dopisany ponad nią. Skrypt zaczyna się od set -euo pipefail, więc zatrzyma się na pierwszym błędzie, np. gdy pakiet ufw nie jest zainstalowany (w Debianie: sudo apt install ufw).

Reguła default deny incoming ustawia domyślną politykę dla ruchu przychodzącego: wszystko, co nie pasuje do żadnej reguły dopuszczającej, zostaje odrzucone. Ruch wychodzący pozostaje bez zmian, więc serwer nadal może pobierać aktualizacje i wysyłać odpowiedzi na nawiązane połączenia. Kolejność poleceń w skrypcie jest stała: wpis IPV6=yes lub IPV6=no w /etc/default/ufw, polityki domyślne dla ruchu wychodzącego i przychodzącego, reguła SSH, HTTP, HTTPS, reguły niestandardowe, opcjonalne reguły wychodzące i logowanie, a na końcu sudo ufw --force enable i sudo ufw status verbose. Przełącznik --force pomija pytanie o potwierdzenie, które UFW zadaje przy aktywnej sesji SSH. Gdy odznaczysz „Włącz UFW na końcu skryptu”, generator pominie ustawienie IPv6, polityki i włączenie firewalla – zostaną same reguły do dopisania w działającej konfiguracji.

Osobny mechanizm to limit. Zamiast zwykłego dopuszczenia UFW dopina regułę śledzącą i liczy próby połączeń z danego adresu. Adres, który w ciągu 30 sekund spróbuje nawiązać 6 lub więcej połączeń, jest blokowany. Dlatego limit nadaje się do SSH, gdzie nikt nie potrzebuje wielu równoległych sesji, ale nie do portów 80 i 443, przez które za jednym adresem NAT może kryć się wielu użytkowników. Generator stosuje go tylko do SSH. Limit nie zastępuje logowania kluczem.

Trzy gotowe ustawienia przyspieszają start: „Serwer WWW” (deny incoming, SSH, HTTP i HTTPS), „API (tylko HTTPS)” (bez portu 80) oraz „Sieć lokalna” (allow incoming, bez reguł WWW). Nad skryptem widać liczbę reguł, stan obu polityk i port SSH, a pod nimi ostrzeżenia: brak SSH przy włączanym firewallu, port inny niż 22, przychodzące allow, blokada ruchu wychodzącego bez DNS i HTTP(S) oraz pominięte, błędnie zapisane reguły.

Przykład krok po kroku: SSH, WWW i baza w sieci wewnętrznej

1. Wybierz ustawienie „Serwer WWW”. Polityka przychodząca to deny, zaznaczone są SSH, HTTP i HTTPS. Ruch wychodzący zostaje na allow, więc aktualizacje i DNS działają bez dodatkowych reguł.
2. Zawęź SSH. Wpisz port 2222, a w polu „Tylko z adresu” swój stały adres, np. 203.0.113.10. Przy zaznaczonym limicie powstaje reguła sudo ufw limit from 203.0.113.10 to any port 2222 proto tcp comment 'SSH z limitem prób'. Generator ostrzeże, że port różni się od 22 – przed uruchomieniem sprawdź dyrektywę Port w /etc/ssh/sshd_config.
3. Dodaj bazę danych. W polu reguł niestandardowych zastąp dwa przykładowe wiersze jednym: 3306/tcp; 10.0.0.0/8; MySQL. Wynik: sudo ufw allow from 10.0.0.0/8 to any port 3306 proto tcp comment 'MySQL'.
4. Sprawdź licznik. SSH, HTTP, HTTPS i MySQL dają 4 reguły w skrypcie. Polityki domyślne i logowanie nie są wliczane.
5. Uruchom i zweryfikuj. Po bash ufw.sh skrypt sam wywoła ufw status verbose. Przy włączonym IPv6 reguły HTTP i HTTPS pojawią się dwa razy, drugi raz z dopiskiem (v6). Reguły z adresem IPv4 w źródle (SSH i MySQL) mają tylko wersję IPv4.

Tabela referencyjna reguł

Reguły niestandardowe wpisujesz po jednej w wierszu, w formacie port/protokół; źródło; komentarz. Źródło to adres IP albo sieć CIDR, IPv4 lub IPv6; puste pole oznacza dowolny adres. Komentarz jest skracany do 60 znaków, a znaki spoza liter, cyfr i podstawowej interpunkcji są usuwane. Generator przyjmuje do 100 reguł.

Praktyczne wskazówki użycia

• Najpierw SSH, potem firewall. Regułę na port SSH dodaj przed włączeniem filtrowania i trzymaj otwartą drugą konsolę. Zamknięcie ruchu przychodzącego bez wyjątku na SSH oznacza utratę dostępu do serwera.
• Do SSH używaj limit, nie allow. Próg 6 połączeń w 30 sekund wystarcza do normalnej pracy, a skutecznie utrudnia automatyczne zgadywanie hasła. Zwykłe allow 22/tcp nie daje żadnego licznika.
• Porty 80 i 443 zostaw jako allow. Za jednym adresem NAT może stać wielu użytkowników, więc limit na porcie WWW blokowałby normalnych odwiedzających, a nie atakujących.
• Zawężaj źródło, kiedy to możliwe. Bazę danych czy Redis lepiej ograniczyć wpisem z adresem 10.0.0.0/8 niż otwierać dla wszystkich. Każdy adres spoza podanego zakresu nie przejdzie.
• Przy polityce deny dla ruchu wychodzącego zostaw zaznaczone DNS, HTTP, HTTPS i NTP. Generator dopisze wtedy 4 reguły allow out (53, 80/tcp, 443/tcp, 123/udp); bez nich apt nie pobierze aktualizacji.
• Po każdej zmianie zajrzyj do ufw status numbered. Zbędną regułę usuniesz poleceniem ufw delete z jej numerem.

Ograniczenia generatora

• Brak geolokalizacji. UFW nie filtruje ruchu po kraju pochodzenia. Generator nie zbuduje reguły typu „tylko Polska” – potrzebne są ipset lub zewnętrzne listy adresów, a źle dobrana lista potrafi odciąć własnych użytkowników.
• Nie zna stanu serwera. Narzędzie nie sprawdza, na jakim porcie faktycznie nasłuchuje SSH ani czy port 80 jest w ogóle używany. Wartości wpisujesz ręcznie, więc pomyłka w numerze portu daje regułę, która niczego nie otwiera.
• Nie analizuje istniejących reguł. UFW dopisuje nowe do tych, które już są (identycznych nie dubluje), więc stare wpisy zostają. Aby zacząć od zera, wykonaj wcześniej sudo ufw reset.
• Reguły niestandardowe są zawsze typu allow i zawsze dotyczą portu. Blokadę adresu, np. sudo ufw deny from 203.0.113.5, dopisz do skryptu ręcznie.