Poznawanie zapór sieciowych (UFW/firewalld)

Proszę wyobrazić sobie serwer jako dom. Zapora sieciowa działa jak strażnik przy drzwiach, decydując, kto może wejść i wyjść. Jest kluczowym elementem bezpieczeństwa serwera.

Zapory sieciowe zapobiegają nieautoryzowanemu dostępowi i chronią serwer przed złośliwymi atakami, kontrolując ruch sieciowy.

Zapory sieciowe korzystają z zestawu reguł do sprawdzania przychodzącego i wychodzącego ruchu sieciowego. Reguły te opierają się na:

• Adresie IP źródłowym/docelowym: miejscu, z którego ruch pochodzi lub do którego zmierza.
• Numerach portów: określonych „drzwiach” dla usług (np. port 22 dla SSH, port 80 dla HTTP).
• Protokołach: takich jak TCP lub UDP.

Ruch pasujący do tych reguł jest dozwolony albo odrzucany.

W systemach opartych na Debianie, takich jak Ubuntu, najczęściej używanym narzędziem zapory sieciowej jest UFW, czyli „Uncomplicated Firewall”.

Narzędzie UFW zostało zaprojektowane z myślą o łatwej obsłudze, dzięki czemu początkujący mogą prosto zarządzać regułami zapory bez konieczności bezpośredniego zagłębiania się w złożone polecenia `iptables`.

Domyślna konfiguracja UFW jest nastawiona na bezpieczeństwo:

• Odrzucanie ruchu przychodzącego: wszystkie połączenia przychodzące są blokowane, chyba że zostaną jawnie dozwolone.
• Zezwalanie na ruch wychodzący: serwer może inicjować połączenia ze światem zewnętrznym.

Oznacza to, że należy otworzyć konkretne porty dla usług, które mają być dostępne z Internetu, takich jak serwer WWW lub SSH.

Przed włączeniem UFW należy koniecznie zezwolić na dostęp SSH, ponieważ w przeciwnym razie można odciąć sobie dostęp do serwera! Po zezwoleniu na SSH można włączyć UFW.

Proszę wykonać następujące polecenia:

UFW może zezwalać na ruch dla typowych usług na podstawie ich nazwy (jeśli jest zdefiniowana w pliku /etc/services) lub numeru portu. Zezwólmy na HTTP (ruch WWW) i SSH:

Czasami trzeba otworzyć konkretny port, który nie jest standardową nazwaną usługą, na przykład port 8080 dla niestandardowej aplikacji. Można również określić protokół (TCP lub UDP).

Oto sposób zezwolenia na ruch TCP przez port 8080:

W systemach opartych na Red Hat, takich jak CentOS i Fedora, narzędziem do zarządzania zaporą sieciową jest firewalld. Jest to dynamiczny demon zapory, co oznacza, że można zmieniać reguły bez ponownego uruchamiania całej usługi zapory.

firewalld korzysta z koncepcji „stref” do zarządzania regułami, co zapewnia bardziej elastyczne podejście do bezpieczeństwa.

firewalld organizuje reguły zapory sieciowej w strefy. Każda strefa ma domyślny zestaw reguł i może być przypisana do interfejsów sieciowych.

Typowe strefy to:

• public: dla niezaufanych sieci (domyślna dla interfejsów zewnętrznych).
• home/internal: dla zaufanych sieci.
• trusted: akceptowane są wszystkie połączenia sieciowe.

Pozwala to stosować różne poziomy bezpieczeństwa w zależności od stopnia zaufania do sieci.

Aby zezwolić na usługi w firewalld, należy określić usługę i strefę oraz użyć flagi --permanent, aby reguła zachowała się po ponownym uruchomieniu systemu. Następnie trzeba przeładować firewalld.

Otwórzmy SSH i HTTP w strefie public:

Poznali Państwo UFW i firewalld. Które z poniższych stwierdzeń dotyczących tych narzędzi zapory sieciowej są prawdziwe?

Świetna praca! Poznali Państwo kluczową rolę zapór sieciowych w bezpieczeństwie serwera. Teraz rozumieją Państwo:

• czym są zapory sieciowe i dlaczego są niezbędne;
• jak działa UFW w systemach Ubuntu/Debian, w tym jak je włączać i zezwalać na usługi;
• jak działa firewalld w systemach CentOS/RHEL, na czym polega koncepcja stref i jak dodawać usługi.

Opanowanie tych narzędzi ma kluczowe znaczenie dla kontrolowania dostępu do sieci i utrzymania bezpieczeństwa serwera. W następnej części zajmiemy się zarządzaniem konkretnymi portami i związanymi z nimi zagrożeniami!