Базовая настройка UFW на Ubuntu Server

Задача и общий подход

Материал посвящён теме «Базовая настройка UFW на Ubuntu Server» с акцентом на первичной установке и минимальной рабочей конфигурации.

Firewall не запускает сервис: он только разрешает или запрещает пакеты. Для соединения одновременно нужны listener, маршрут и подходящее правило.

Практический порядок одинаков для любой рабочей системы: зафиксировать исходное состояние, создать резервную точку, изменить один компонент, проверить результат и только затем переходить дальше.

Что должно получиться

После выполнения руководства по теме «Базовая настройка UFW на Ubuntu Server» результат должен быть измеримым:

• оставить наружу только необходимые интерфейсы и порты
• получить воспроизводимую конфигурацию, проверяемую командами
• исключить зависимость от временных правил и ручных действий
• зафиксировать логи и признаки успешного запуска

Как устроена схема

UFW формирует цепочки netfilter, где важен порядок правил. IPv4 и IPv6 обрабатываются отдельно, поэтому политика для двух семейств должна проверяться раздельно.

Важно разделять конфигурацию, процесс, сетевой сокет и внешний запрос. Успех на одном уровне не доказывает исправность следующего.

Подготовка перед изменениями

Подготовительный этап снижает риск потерять доступ и смешать несколько причин одной неисправности.

• Проверьте свободное место, DNS и системное время.
• Подготовьте команду отката до применения изменений.
• Откройте вторую административную сессию и не закрывайте текущую.
• Сохраните копии изменяемых файлов с датой и временем.
• Зафиксируйте текущие порты, процессы и состояние службы.

Пошаговая настройка

Выполняйте блоки последовательно и после каждого шага проверяйте код возврата команды.

sudo ufw status numbered
sudo ss -lntup

sudo ufw allow from 203.0.113.10 to any port 22 proto tcp comment 'SSH admin only'

sudo ufw allow 443/tcp comment 'HTTPS public'

sudo iptables -L ufw-user-input -n --line-numbers
sudo ip6tables -L ufw6-user-input -n --line-numbers

nc -vz -w 3 127.0.0.1 443
curl -vk https://example.org/

Имена доменов, адреса, порты и пути в примерах условные. Перед выполнением замените их фактическими значениями.

Проверка результата

Проверка должна охватывать конфигурацию, процесс, listener и реальный запрос.

• SSH разрешён текущему IP
• вторая SSH-сессия работает
• сервис слушает нужный адрес
• IPv4 и IPv6 ожидаемы
• ненужные порты закрыты

systemctl is-active SERVICE
systemctl status SERVICE --no-pager
journalctl -u SERVICE -n 80 --no-pager
ss -lntup

Диагностика, если не заработало

Диагностика строится как последовательное исключение уровней, а не случайный набор перезапусков.

1. Подтвердите симптом точной командой и запишите время.
2. Проверьте конфигурацию штатным тестом.
3. Проверьте процесс и последние записи журнала.
4. Убедитесь, что нужный адрес и порт слушаются.
5. Сравните локальный запрос с запросом извне.
6. Только затем проверяйте firewall, DNS и маршрут.
7. Меняйте одну переменную и повторяйте тот же тест.

Для темы «Базовая настройка UFW на Ubuntu Server» важно не путать открытый firewall с запущенным сервисом: правило доступа не создаёт listener, а активный процесс не гарантирует доступность извне.

Дальнейшее сопровождение

Рабочая конфигурация со временем устаревает и требует контроля.

• контролируйте таймеры, сертификаты и автоматические задания
• после обновления повторяйте тест конфигурации и портов
• документируйте нестандартные пути и зависимости
• проверяйте журналы ошибок и их размер
• периодически выполняйте тестовое восстановление

Безопасность

После получения рабочего результата уменьшите количество исключений и временных разрешений.

• выдавайте файлам конфигурации минимальные права
• ограничивайте административный доступ доверенными IP или VPN
• не храните секреты в публикуемых конфигурациях и журналах
• просматривайте журналы аутентификации и ошибки запуска
• используйте принцип минимально необходимых прав

Типичные ошибки

Чаще всего восстановление усложняют следующие действия:

• игнорирование различий правил IPv4 и IPv6
• проверка только локального подключения без внешнего теста
• открытие административного порта для всего интернета
• использование устаревшей команды без проверки версии пакета
• изменение нескольких компонентов одной командой без промежуточных тестов
• удаление рабочей конфигурации до успешного запуска новой

Откат изменений

Откат выполняется в обратном порядке и с теми же проверками, что использовались после настройки.

1. не закрывать текущую SSH-сессию
2. удалять только точное последнее правило
3. при потере доступа использовать консоль
4. не делать ufw reset без копии

Не удаляйте неудачную конфигурацию до выяснения причины: она полезна для diff и разбора инцидента.

Контрольный список

Перед тем как считать тему «Базовая настройка UFW на Ubuntu Server» закрытой, пройдите список:

Что дополнительно сверить в документации

При подготовке материала были сопоставлены разделы русскоязычной документации. Для углублённой проверки полезно изучить:

• Firewall
• Содержание
• Netfilter
• Ссылки

Проверка синтаксиса и мягкое применение

Используйте встроенную команду проверки до reload или restart. Мягкое перечитывание предпочтительно, когда программа его поддерживает и изменение не требует полного перезапуска.

Сразу после применения проверяйте журнал и реальный запрос, а не только код возврата systemctl.

Данные, которые нужно сохранить до изменения

Перед работой по теме «Базовая настройка UFW на Ubuntu Server» сохраните состояние именно тех компонентов, которые участвуют в схеме: активную конфигурацию, статус процесса, открытые порты, последние ошибки и результат контрольного запроса. Этот набор позволит отличить последствия новой правки от ранее существовавшего поведения.

Полезно хранить вывод в одном каталоге с временной меткой и коротким README. При разборе инцидента это быстрее, чем повторно собирать сведения после нескольких перезапусков.

sudo ufw allow from 203.0.113.10 to any port 22 proto tcp comment 'SSH admin only'

Критерий отката для текущей задачи

Для темы «Базовая настройка UFW на Ubuntu Server» заранее определите признаки неудачи: штатная проверка не проходит, процесс не запускается, ожидаемый listener исчез, внешний клиент получает неверный ответ или в журнале растёт число ошибок. После достижения лимита времени выполняйте откат, а не продолжайте добавлять неподтверждённые изменения.

Откат считается завершённым только после возврата исходных проверок. Само копирование старого файла не гарантирует, что служба перечитала его и снова обслуживает клиентов.

• не закрывать текущую SSH-сессию
• удалять только точное последнее правило
• при потере доступа использовать консоль
• не делать ufw reset без копии

Изменяемый файл и итоговая конфигурация

Определите, какой файл действительно читает процесс и какие include или переменные дополняют его. Редактирование похожего, но неактивного файла создаёт ложное ощущение применения.

Сохраните diff и владельца файла. После автоматического обновления пакет может заменить шаблон или создать новый вариант рядом.

Побочные эффекты и соседние компоненты

Изменение по теме «Базовая настройка UFW на Ubuntu Server» может затронуть соседние части схемы: права файлов, DNS, firewall, reverse proxy, сертификаты, автоматические задания или порядок запуска. До работы перечислите эти связи и выберите по одной короткой проверке для каждой критичной зависимости.

После получения основного результата убедитесь, что ранее работавшие функции не ухудшились. Такая регрессионная проверка особенно важна на сервере, где один публичный порт или веб-сервер обслуживает несколько независимых сервисов.

Результаты регрессионной проверки записывайте теми же командами, которые использовались до изменения. Это делает сравнение объективным и помогает быстро доказать, что соседний компонент не пострадал.

• основной сервис отвечает тем же способом, что и до изменения
• административный доступ и аварийная консоль остаются доступны
• временные listeners и правила не заняли рабочие порты
• журналы не показывают новые повторяющиеся ошибки

Постоянные и временные правила

Правило, добавленное напрямую через iptables, может исчезнуть после ufw reload или перезагрузки. Это удобно для короткого теста, но опасно считать такую настройку постоянной.

После успешной проверки перенесите решение в управляемую конфигурацию UFW и зафиксируйте назначение правила в комментарии.

sudo ufw allow from ADMIN_IP to any port PORT proto tcp comment 'service admin access'
sudo ufw status numbered

Источники и документация

Источники использованы для выбора терминов, контрольных вопросов и команд. Полные абзацы чужих публикаций не копируются.

• Firewall | Русскоязычная документация по Ubuntu