วิธีกำหนดค่าไฟร์วอลล์ UFW ใน Linux

UFW ย่อมาจาก Uncomplicated Firewall ไม่ใช่ Ubuntu firewall อย่างที่หลายคนเชื่อ ชื่อนี้สะท้อนให้เห็นว่าการกำหนดค่านั้นง่ายอย่างน่าประหลาดใจ ผู้ใช้ส่วนใหญ่จะต้องตั้งค่าตัวเลือกสามตัวก่อนจึงจะปลอดภัย ผู้ที่ต้องการตั้งค่าตัวเลือกการกำหนดค่าขั้นสูงบางอย่างจะไม่ต้องทำอะไรมากไปกว่าการแก้ไขไฟล์ข้อความ ในขณะที่นักพัฒนาโครงการ Ubuntu ออกแบบซอฟต์แวร์ไฟร์วอลล์ชิ้นนี้โดยเฉพาะ ufw ก็มีจำหน่ายในรุ่นอื่น ๆ เช่นกัน ผู้ใช้ Debian, Arch, Linux Mint, Lubuntu และ Xubuntu มากกว่าที่จะติดตั้งไว้แล้ว

ปัญหาคือมีผู้ใช้เพียงไม่กี่คนที่เปิดเครื่อง ในขณะที่ผู้ใช้ไม่จำเป็นต้องทำงานโดยตรงกับ iptables อีกต่อไป แต่ Ubuntu ก็บังคับให้ ufw เป็นค่าเริ่มต้นเป็นสถานะปิด การใช้งาน Debian จำนวนมากไม่มีแม้แต่แพ็คเกจที่ติดตั้งไว้ตามค่าเริ่มต้น ข่าวดีก็คือใครก็ตามที่มีประสบการณ์เทอร์มินัลเพียงเล็กน้อยสามารถทำให้ระบบของพวกเขาแข็งตัวได้

วิธีที่ 1: การเปิด UFW จาก Command Prompt

สมมติว่าคุณติดตั้งแพ็คเกจ ufw ก่อนที่จะพยายามติดตั้งแยกต่างหาก เรียกใช้คำสั่งเหล่านี้ก่อนสิ่งอื่นใด หากคุณพบข้อผิดพลาดระหว่างทางคุณสามารถย้อนกลับและติดตั้งแพ็คเกจ ufw ได้ตลอดเวลาโดยไม่มีปัญหาใด ๆ

หากคุณกำลังทำงานจากบัญชีผู้ใช้มาตรฐานให้เรียกใช้ sudo ufw เปิดใช้งาน และพิมพ์รหัสผ่านผู้ดูแลระบบของคุณหากได้รับแจ้ง คุณควรได้รับแจ้งว่า ufw ถูกเปิดใช้งานและจะทำงานโดยอัตโนมัติเมื่อเริ่มต้น วิ่ง สถานะ sudo ufw อย่างไรก็ตามเพื่อความแน่ใจ คุณควรได้รับเอาต์พุตบรรทัดเดียวที่อ่าน 'สถานะ: ใช้งานอยู่' โดยไม่มีอะไรเลย

ในทางกลับกันคุณอาจได้รับแจ้งว่า ufw ไม่ได้ติดตั้ง ผู้ใช้การแจกแจงแบบ apt เช่น Debian ควรเรียกใช้ sudo apt-get ติดตั้ง ufw . คุณอาจต้องการเรียกใช้ อัปเดต sudo apt-get แล้ว sudo apt-get อัพเกรด เพื่อให้แน่ใจว่าแพ็คเกจอื่น ๆ ของคุณเป็นไปตามลำดับเมื่อติดตั้ง ผู้ใช้ Arch Linux จะต้องเรียกใช้ sudo pacman -Syu หากพวกเขาต้องการรับพัสดุตามลำดับแล้ว sudo pacman -S ufw เพื่อติดตั้ง ufw แต่ผู้ใช้ทุกคนจะสามารถดำเนินการต่อได้เหมือนปกติในภายหลัง ทำตามขั้นตอนด้านบนและตรวจสอบให้แน่ใจว่ากำลังทำงานอยู่ sudo ufw เปิดใช้งาน ส่งคืน 'ดังกล่าวข้างต้น' สถานะ: ใช้งานอยู่ ' ไลน์.

วิธีที่ 2: ส่ง UFW ชุดกฎพื้นฐาน

เครื่องมือไฟร์วอลล์ใช้ชุดของกฎเพื่อตรวจสอบว่าจะยอมรับแพ็กเก็ตที่ส่งไปยังคอมพิวเตอร์ของคุณผ่านเครือข่ายหรือไม่ คุณแทบจะต้องการเรียกใช้สองคำสั่งนี้ต่อไป:

sudo ufw default อนุญาตให้ส่งออก

sudo ufw default ปฏิเสธขาเข้า

เพื่อให้แน่ใจว่า ufw อนุญาตให้คุณส่งทราฟฟิกขาออกไปยังอะแดปเตอร์เครือข่ายของคุณได้เสมอซึ่งเป็นสิ่งสำคัญหากคุณทำงานออนไลน์ โดยปกติคุณไม่ควรคิดว่าคำขอส่งออกใด ๆ เป็นอันตราย นอกจากนี้ยังห้ามคำขอที่เข้ามาจากการทำอันตรายใด ๆ ซึ่งเป็นการตั้งค่าที่ถูกต้องสำหรับผู้ใช้ตามบ้านและธุรกิจเกือบทั้งหมด แม้แต่นักเล่นเกมส่วนใหญ่ที่เล่นเกม FPS ออนไลน์แบบเข้มข้นก็ไม่ควรต้องการอะไรมากไปกว่านี้ คนส่วนใหญ่สามารถหยุดที่นี่ได้ตราบเท่าที่เรียกใช้สถานะ sudo ufw ยังคงส่งคืนข้อความที่เปิดใช้งานแม้ว่าคุณจะรีบูตเครื่องก็ตาม ขั้นตอนการกำหนดค่ามีอย่างอื่นอีกไม่มาก ผู้ใช้ที่มีเป้าหมายด้าน ssh หรือเครือข่ายขั้นสูงจำเป็นต้องดำเนินการต่อไป

วิธีที่ 3: ตัวเลือกการกำหนดค่า UFW ขั้นสูง

ผู้ใช้ส่วนใหญ่ไม่จำเป็นต้องอ่านเป็นต้นไป แต่กฎเหล่านี้อาจมีประโยชน์สำหรับบางคน ตัวอย่างเช่นหากคุณต้องการอนุญาตการเชื่อมต่อ tcp บนพอร์ต 80 ทั่วไปคุณสามารถเรียกใช้:

sudo ufw อนุญาต 80 / tcp

คุณยังสามารถใช้ sudo ufw อนุญาตจาก ###. ##. ##. ## / ## ด้วยที่อยู่ IP จริงและหมายเลขเครือข่ายย่อยจริงหลังเครื่องหมายสแลช โปรดทราบว่า 80 เป็นตัวเลขที่ถูกต้องสำหรับการใช้งานนี้หากคุณต้องการสร้างเครือข่าย ใช้สิ่งที่ชอบ sudo ufw อนุญาต http / tcp ยังใช้ได้และอาจจำเป็นในสถานการณ์เซิร์ฟเวอร์ แต่สิ่งนี้จะเริ่มเปิดเวิร์มได้มากพอ ๆ กับการอนุญาตการเชื่อมต่อประเภทต่างๆ

หนึ่งในการตั้งค่ายอดนิยมคือ sudo ufw อนุญาต 22 ซึ่งจะเปิดพอร์ตสำหรับการเชื่อมต่อ ssh ผู้ใช้บางคนใช้วลีนี้แทน sudo ufw อนุญาต ssh ซึ่งใช้งานได้ดีเช่นกัน แม้ว่าคำแนะนำบางอย่างอาจแนะนำให้คุณเพิ่มทั้งสองบรรทัด แต่สิ่งนี้ไม่จำเป็นในกรณีส่วนใหญ่และอาจมีส่วนทำให้ค่าใช้จ่ายจำนวนมากโดยไม่จำเป็นในตอนท้าย

เมื่อคุณต้องการลบกฎข้อใดข้อหนึ่งของคุณในอนาคตคุณสามารถเรียกใช้ sudo ufw delete ตามด้วยชื่อกฎ ตัวอย่างเช่น sudo ufw ลบอนุญาต 80 / tcp จะปิดหนึ่งในตัวอย่างที่เราทำไว้ข้างต้น

ตอนนี้เมื่อคุณเรียกใช้ sudo ufw สถานะ verbose คุณอาจเห็นตารางที่สมบูรณ์กว่านี้หากคุณได้สร้างกฎเพิ่มเติม หากคุณต้องการปิดการใช้งานไฟร์วอลล์ในอนาคตคุณสามารถเรียกใช้ sudo ufw disable แต่มีสถานการณ์น้อยมากที่คุณต้องทำเช่นนี้

ในบางครั้งคุณอาจพบว่าคุณได้รับข้อผิดพลาดการหมดเวลาเกตเวย์ 504 หากคุณใช้ ufw ในลักษณะนี้เพื่อปกป้องเซิร์ฟเวอร์ การเปลี่ยนลำดับของกฎสองสามข้ออาจช่วยได้หากเป็นกรณีนี้ ต้องป้อนกฎอนุญาตก่อนปฏิเสธกฎเนื่องจาก ufw จะค้นหารายการที่ตรงกันก่อนเสมอเมื่อแยกวิเคราะห์รายการของคุณด้วยเหตุผลด้านความปลอดภัย การลบคู่ของกฎแล้วเพิ่มกลับโดยพิมพ์ sudo ufw default allow บรรทัดแรกควรแก้ไขปัญหานี้ คุณอาจต้องการลบบรรทัดที่ซ้ำกันเพิ่มเติมด้วยเหตุผลด้านประสิทธิภาพเช่นกัน

วิ่ง sudo ufw verbose และให้ความสนใจเป็นอย่างยิ่งว่าบรรทัด DENY IN และ ALLOW IN ของคุณอยู่ในลำดับใดหากคุณมีบางอย่างในพอร์ตทั่วไปเช่น 80 หรือ 22 ที่อ่าน DENY IN ตามด้วย Anywhere บนแผนภูมิก่อนการอ้างอิงอื่น ๆ ไปยังพอร์ตเหล่านั้นคุณอาจจะ พยายามปิดกั้นการเชื่อมต่อก่อนที่จะมีโอกาสผ่านไป การจัดลำดับใหม่จะช่วยแก้ปัญหาได้ การวางคำสั่งเหล่านี้ตามลำดับที่ถูกต้องตั้งแต่แรกจะช่วยป้องกันไม่ให้เกิดปัญหาในภายหลัง

ผู้ใช้ root prompt ที่เพิ่มขึ้นจะไม่ต้องใช้ sudo ก่อนแต่ละคำสั่ง หากคุณได้รับข้อผิดพลาดบางอย่างเกี่ยวกับเรื่องนั้นนี่อาจเป็นปัญหาของคุณ ตรวจสอบท้ายข้อความแจ้งเพื่อดูว่าคุณมี # หรือ $ ก่อนเคอร์เซอร์ ผู้ใช้ tcsh ที่มีเพียง% สำหรับข้อความแจ้งควรเรียกใช้ whoami เพื่อดูว่าพวกเขากำลังดำเนินการในฐานะผู้ใช้รายใด

ผู้ใช้ทั่วไปที่เรียกใช้ sudo ufw สถานะ verbose มักจะยังคงได้รับการตอบรับค่อนข้างน้อยหลังจากที่ได้รับแจ้ง คุณอาจจะเห็นบรรทัดเดียวกับที่คุณเคยมีมาก่อน

เนื่องจากผู้ใช้เหล่านี้ทำงานโดยใช้กฎน้อยมาก อย่างไรก็ตามคำเตือนอาจมีความสำคัญเกี่ยวกับกฎเหล่านี้ แม้ว่าคำสั่งเริ่มต้น ufw จะช่วยให้คุณใช้พารามิเตอร์ปฏิเสธได้อีกด้วย แต่คุณสามารถล็อกตัวเองออกจากโครงสร้างเซิร์ฟเวอร์ส่วนตัวของคุณเองหรือทำสิ่งแปลก ๆ อื่น ๆ ได้อย่างง่ายดาย หากคุณจำเป็นต้องมีไฟล์ sudo ufw อนุญาต ssh หรือบรรทัดอื่น ๆ ที่คล้ายกันในชุดกฎของคุณสิ่งนี้จะต้องเกิดขึ้นก่อนที่คุณจะใช้กฎการปฏิเสธหรือการปฏิเสธเริ่มต้น

แม้ว่าเครื่องมือกราฟิกบางอย่างจะมีอยู่เช่น Gufw และ kmyfirewall ที่ใช้ Qt แต่ก็ง่ายพอที่จะกำหนดค่า ufw จากบรรทัดคำสั่งที่คุณไม่จำเป็นต้องใช้จริงๆ หากคุณจำเป็นต้องแก้ไขไฟล์กำหนดค่าโดยตรงแทนให้ใช้ไฟล์ เพื่อย้ายไปยังไดเร็กทอรีที่เหมาะสมจากนั้นใช้ sudo nanofw เพื่อแก้ไข คุณอาจต้องการใช้ ufw มากขึ้นหรือน้อยลงในตอนแรกเพื่อดูข้อความก่อนที่จะทำการเปลี่ยนแปลงใด ๆ

นักพัฒนาใช้เวลาในการแสดงความคิดเห็นที่เหมาะสมดังนั้นคุณจะไม่หลงทางเมื่อแก้ไขแม้ว่าคุณอาจต้องการลบสิ่งนี้ออกหากคุณรู้สึกว่าจำเป็น