Firewall для Linux VPS — UFW або iptables

Налаштування фаєрвола UFW та iptables

Фаєрвол закриває все, що не має бути доступним ззовні. Базова гігієна сервера: відкритими лишаються тільки потрібні порти, решта не відповідає взагалі.

Що входить

• політика за замовчуванням: заборонити все вхідне, дозволити потрібне;
• правила для веб-сервера, SSH і сервісів, які справді використовуються;
• обмеження доступу до бази й кешу лише локальним інтерфейсом;
• доступ до адміністративних портів з певних адрес, якщо є статична IP;
• захист від перебору на рівні фаєрвола;
• збереження правил після перезавантаження — без цього все скидається.

Головне застереження

Фаєрволом легко замкнути себе ззовні. Найпоширеніша аварія: правило застосовано, SSH закрито, доступу до сервера більше немає. Тому налаштування завжди робиться так, щоб мати запасний шлях, а нові правила застосовуються з перевіркою в окремій сесії до того, як закрити стару.

Типові знахідки

База даних доступна з інтернету. Redis без пароля слухає всі інтерфейси. Панель керування хостингом відкрита всьому світу. Службові порти, про які власник не знав, бо їх відкрив якийсь інсталятор.

Фаєрвол не замінює оновлення й нормальні паролі — він лише зменшує площу атаки. У парі з ним зазвичай іде захист від перебору й аудит безпеки сервера.