Принципы работы межсетевых экранов (UFW/firewalld)

Представьте, что Ваш сервер — это дом. Сетевой экран действует как охранник у двери: он решает, кому разрешён вход и выход. Это важнейшая часть защиты сервера.

Сетевые экраны предотвращают несанкционированный доступ и защищают сервер от вредоносных атак, контролируя сетевой трафик.

Сетевые экраны используют набор правил для проверки входящего и исходящего сетевого трафика. Эти правила учитывают:

• IP-адрес источника или назначения: откуда приходит трафик или куда направляется.
• Номера портов: определённые «двери» для служб (например, порт 22 для SSH и порт 80 для HTTP).
• Протоколы: например, TCP или UDP.

Трафик, соответствующий этим правилам, либо разрешается, либо блокируется.

В системах на основе Debian, таких как Ubuntu, наиболее распространённым инструментом сетевого экрана является UFW — «простой сетевой экран».

UFW разработан с учётом удобства использования, поэтому начинающие могут легко управлять правилами сетевого экрана, не погружаясь непосредственно в сложные команды `iptables`.

По умолчанию UFW настроен с учётом требований безопасности:

• Запрещать входящие подключения: все входящие подключения блокируются, если для них явно не задано разрешение.
• Разрешать исходящие подключения: сервер может устанавливать подключения с внешними ресурсами.

Это означает, что для служб, к которым должен быть доступ из Интернета, необходимо явно открыть порты — например, для веб-сервера или SSH.

Перед включением UFW крайне важно разрешить доступ по SSH, иначе Вы можете потерять доступ к серверу! После разрешения SSH можно включить UFW.

Попробуйте выполнить следующие команды:

UFW может разрешать трафик для распространённых служб по их имени (если оно определено в /etc/services) или по номеру порта. Разрешим HTTP (веб-трафик) и SSH:

Иногда требуется открыть определённый порт, который не соответствует стандартной именованной службе, например порт 8080 для пользовательского приложения. Можно также указать протокол — TCP или UDP.

Вот как разрешить TCP-трафик на порту 8080:

В системах на основе Red Hat, таких как CentOS и Fedora, инструментом управления сетевым экраном является firewalld. Это динамическая служба сетевого экрана: правила можно изменять без перезапуска всей службы.

Для управления правилами firewalld использует концепцию «зон», что обеспечивает более гибкий подход к безопасности.

firewalld распределяет правила сетевого экрана по зонам. Для каждой зоны задан собственный набор правил по умолчанию, а сама зона может быть назначена сетевым интерфейсам.

Распространённые зоны:

• public: для ненадёжных сетей (по умолчанию для внешних интерфейсов).
• home/internal: для доверенных сетей.
• trusted: принимаются все сетевые подключения.

Это позволяет применять разные уровни защиты в зависимости от степени доверия к сети.

Чтобы разрешить службы в firewalld, укажите службу и зону, а также используйте флаг --permanent, чтобы правило сохранилось после перезагрузки. Затем необходимо перезагрузить конфигурацию firewalld.

Откроем SSH и HTTP в зоне public:

Вы узнали о UFW и firewalld. Какие из следующих утверждений об этих инструментах сетевого экрана являются верными?

Отличная работа! Вы узнали о важной роли сетевых экранов в защите сервера. Теперь Вы понимаете:

• что такое сетевые экраны и почему они необходимы;
• как работает UFW в Ubuntu/Debian, включая его включение и разрешение служб;
• как работает firewalld в CentOS/RHEL, что такое его зоны и как добавлять службы.

Умение пользоваться этими инструментами необходимо для контроля сетевого доступа и защиты сервера. Далее мы подробно рассмотрим отдельные порты и связанные с ними последствия для безопасности!