مقدمه

یکی از اولین اقداماتی که پس از راه‌اندازی یک سرور لینوکسی باید انجام دهید، پیکربندی فایروال است. حتی اگر سیستم‌عامل و سرویس‌های شما به‌روز باشند، باز بودن پورت‌های غیرضروری می‌تواند سرور را در معرض حملات مختلف قرار دهد.

در توزیع‌های مبتنی بر Ubuntu و Debian، یکی از ساده‌ترین و محبوب‌ترین ابزارهای مدیریت فایروال، UFW (Uncomplicated Firewall) است.

UFW یک رابط ساده برای مدیریت قوانین iptables و nftables است که بدون نیاز به نوشتن قوانین پیچیده، امکان کنترل ترافیک ورودی و خروجی را فراهم می‌کند.

در این مقاله، نحوه نصب، راه‌اندازی، مدیریت و استفاده صحیح از UFW را به‌صورت کامل بررسی خواهیم کرد.

UFW چیست؟

UFW مخفف Uncomplicated Firewall است.

هدف اصلی آن، ساده کردن مدیریت فایروال لینوکس است.

با UFW می‌توانید:

• پورت‌ها را باز یا بسته کنید.
• دسترسی بر اساس IP تعریف کنید.
• پروتکل‌های TCP و UDP را مدیریت کنید.
• قوانین ورودی و خروجی ایجاد کنید.
• وضعیت فایروال را بررسی کنید.

UFW چگونه کار می‌کند؟

UFW به‌صورت مستقیم ترافیک شبکه را مدیریت نمی‌کند.

در واقع، دستورات شما را به قوانین iptables یا nftables تبدیل می‌کند و آن‌ها را روی سیستم اعمال می‌کند.

بررسی نصب UFW

در Ubuntu معمولاً UFW به‌صورت پیش‌فرض نصب است.

برای بررسی:

ufw version

نصب UFW

اگر نصب نبود:

sudo apt update

sudo apt install ufw -y

بررسی وضعیت فایروال

برای مشاهده وضعیت:

sudo ufw status

اگر خروجی زیر را مشاهده کردید:

Status: inactive

یعنی هنوز فعال نشده است.

فعال کردن UFW

قبل از فعال کردن، اگر از طریق SSH به سرور متصل هستید، ابتدا پورت SSH را مجاز کنید.

sudo ufw allow OpenSSH

یا اگر پورت SSH تغییر کرده است:

sudo ufw allow 2222/tcp

سپس:

sudo ufw enable

غیرفعال کردن UFW

در صورت نیاز:

sudo ufw disable

مشاهده قوانین

برای مشاهده قوانین فعال:

sudo ufw status verbose

یا همراه با شماره قوانین:

sudo ufw status numbered

اجازه دسترسی به یک پورت

برای مثال:

HTTP

sudo ufw allow 80/tcp

HTTPS

sudo ufw allow 443/tcp

SSH

sudo ufw allow 22/tcp

باز کردن چند پورت

sudo ufw allow 80/tcp

sudo ufw allow 443/tcp

sudo ufw allow 22/tcp

باز کردن پورت UDP

برای مثال DNS:

sudo ufw allow 53/udp

باز کردن بازه‌ای از پورت‌ها

برای مثال:

sudo ufw allow 6000:6010/tcp

مسدود کردن یک پورت

برای مثال:

sudo ufw deny 25/tcp

حذف یک قانون

اگر قانون را با شماره مشاهده کرده‌اید:

sudo ufw delete 3

یا:

sudo ufw delete allow 80/tcp

اجازه دسترسی فقط از یک IP

برای مثال:

sudo ufw allow from 203.0.113.10

اجازه دسترسی به یک سرویس از IP مشخص

برای مثال SSH:

sudo ufw allow from 203.0.113.10 to any port 22

اجازه دسترسی به یک شبکه

sudo ufw allow from 192.168.10.0/24

مسدود کردن یک IP

sudo ufw deny from 198.51.100.25

تنظیم سیاست پیش‌فرض

معمولاً بهترین تنظیم برای سرور:

رد کردن تمام ارتباطات ورودی:

sudo ufw default deny incoming

اجازه دادن به ارتباطات خروجی:

sudo ufw default allow outgoing

ریست کردن کامل UFW

برای حذف تمام قوانین:

sudo ufw reset

بررسی لاگ‌های UFW

فعال‌سازی لاگ:

sudo ufw logging on

مشاهده لاگ‌ها:

sudo tail -f /var/log/ufw.log

سطح لاگ

برای مثال:

sudo ufw logging medium

حالت‌های مختلف:

• off
• low
• medium
• high
• full

مشاهده برنامه‌های شناخته‌شده

sudo ufw app list

نمونه خروجی:

Apache
Apache Full
Apache Secure
OpenSSH

اجازه دسترسی به برنامه‌ها

برای مثال:

sudo ufw allow OpenSSH

یا:

sudo ufw allow "Apache Full"

ترتیب قوانین

UFW قوانین را به ترتیب بررسی می‌کند.

اگر چند قانون متناقض وجود داشته باشد، ترتیب آن‌ها اهمیت خواهد داشت.

برای مشاهده شماره قوانین:

sudo ufw status numbered

سناریوی پیشنهادی برای یک Web Server

sudo ufw default deny incoming

sudo ufw default allow outgoing

sudo ufw allow OpenSSH

sudo ufw allow 80/tcp

sudo ufw allow 443/tcp

sudo ufw enable

سناریوی پیشنهادی برای سرور دیتابیس

اگر دیتابیس فقط توسط سرور وب استفاده می‌شود:

sudo ufw allow from 192.168.10.5 to any port 3306

بهتر است هرگز پورت MySQL را برای تمام اینترنت باز نکنید.

سناریوی پیشنهادی برای SSH

اگر IP ثابتی دارید:

sudo ufw allow from 203.0.113.10 to any port 22

سپس:

sudo ufw deny 22/tcp

اشتباهات رایج

برخی از خطاهای متداول عبارت‌اند از:

• فعال کردن UFW قبل از باز کردن پورت SSH
• باز گذاشتن تمام پورت‌ها
• باز کردن پورت دیتابیس برای اینترنت
• ایجاد قوانین تکراری
• فراموش کردن بررسی قوانین
• غیرفعال کردن کامل فایروال هنگام عیب‌یابی و فراموش کردن فعال‌سازی مجدد آن

بهترین روش‌ها

برای افزایش امنیت:

• سیاست پیش‌فرض را روی deny incoming قرار دهید.
• فقط پورت‌های موردنیاز را باز کنید.
• SSH را در صورت امکان به IPهای مشخص محدود کنید.
• قوانین اضافی را حذف کنید.
• لاگ‌های UFW را به‌صورت دوره‌ای بررسی کنید.
• پس از هر تغییر، وضعیت فایروال را کنترل کنید.

چک‌لیست

پس از راه‌اندازی UFW، موارد زیر را بررسی کنید:

• UFW فعال است.
• سیاست پیش‌فرض روی deny incoming قرار دارد.
• فقط پورت‌های موردنیاز باز هستند.
• پورت SSH قبل از فعال‌سازی UFW مجاز شده است.
• قوانین اضافی حذف شده‌اند.
• لاگ‌ها فعال هستند.
• اتصال به سرویس‌های اصلی بدون مشکل برقرار می‌شود.

جمع‌بندی

UFW یکی از ساده‌ترین و در عین حال قدرتمندترین ابزارهای مدیریت فایروال در لینوکس است. با چند دستور ساده می‌توان دسترسی به سرویس‌های مختلف را کنترل کرد، پورت‌های غیرضروری را بست و امنیت سرور را به شکل قابل توجهی افزایش داد.

در سرورهای عملیاتی، بهتر است سیاست پیش‌فرض فایروال بر پایه اصل حداقل دسترسی (Least Privilege) باشد؛ یعنی تمام ارتباطات ورودی به‌صورت پیش‌فرض مسدود شوند و تنها پورت‌ها و IPهایی که واقعاً موردنیاز هستند، اجازه دسترسی داشته باشند.

کیان پور