Конфигурация брандмауэра UFW

UFW (Uncomplicated Firewall) — это встроенный брандмауэр Linux, который позволяет контролировать входящие сетевые подключения к серверу.

С помощью UFW можно разрешить доступ только к необходимым сервисам и автоматически блокировать все остальные подключения.

Для проектов iEXExchanger использование брандмауэра является обязательной мерой безопасности и рекомендуется для всех серверов без исключения.

---

Что защищает UFW

После настройки UFW позволяет:

• ограничить доступ к серверу только необходимыми портами;
• скрыть неиспользуемые сервисы от внешней сети;
• снизить количество автоматических атак и сканирований;
• ограничить доступ к панели управления сервером;
• защитить внутренние сервисы от прямого доступа из Интернета.

---

Перед началом

Перед настройкой убедитесь, что:

• сервер работает под управлением Debian 12;
• установлен FastPanel;
• имеется SSH-доступ к серверу;
• вы знаете используемый SSH-порт.

Если используется стандартный SSH-порт, обычно это:

22

Если ранее порт был изменён, используйте свой номер порта.

---

Важное предупреждение

Перед включением UFW обязательно разрешите доступ к SSH.

Если включить брандмауэр без открытия SSH-порта, сервер станет недоступен и потребуется доступ через консоль хостинг-провайдера.

---

Подключение к серверу

Подключитесь к серверу по SSH.

Подключение к серверу по SSH

Пример:

ssh root@IP_АДРЕС_СЕРВЕРА

После подключения выполните настройку.

---

Установка UFW

Обновите список пакетов:

apt update

Установите UFW:

apt install ufw -y

Проверьте состояние:

ufw status

Если брандмауэр ещё не включён, будет отображено:

Status: inactive

---

Сброс старых правил

Если сервер использовался ранее и вы не уверены в существующих настройках, рекомендуется очистить конфигурацию.

ufw reset

Подтвердите действие:

y

---

Настройка политики безопасности

Запретить все входящие подключения по умолчанию:

ufw default deny incoming

Разрешить исходящие подключения:

ufw default allow outgoing

Проверить настройки:

ufw status verbose

---

Разрешение SSH

Если используется стандартный SSH-порт:

ufw allow 22/tcp

или

ufw allow ssh

Если используется нестандартный порт, например:

2222

выполните:

ufw allow 2222/tcp

---

Разрешение доступа к сайтам

Для работы сайта необходимо открыть HTTP и HTTPS.

ufw allow 80/tcp

ufw allow 443/tcp

---

Разрешение доступа к FastPanel

По умолчанию FastPanel использует порт:

8888

или

8080

в зависимости от версии панели.

Если панель работает через порт 8888:

ufw allow 8888/tcp

Если используется порт 8080:

ufw allow 8080/tcp

Если доступ к панели управления ограничен по IP, рекомендуется разрешать доступ только со своего IP-адреса.

Пример:

ufw allow from 203.0.113.10 to any port 8888 proto tcp

---

Redis

Если Redis используется только внутри сервера, открывать порт Redis не требуется.

Порт:

6379

должен быть доступен только локально.

Проверить:

ss -tulpn | grep 6379

Если Redis слушает:

127.0.0.1:6379

дополнительная настройка не требуется.

---

Laravel Reverb и WebSocket

Если используется Laravel Reverb, обычно применяется порт:

8080

или другой внутренний порт.

Если подключение происходит через Nginx Proxy Pass, открывать данный порт в UFW не требуется.

Рекомендуется оставлять WebSocket доступным только локально:

127.0.0.1

---

Включение брандмауэра

После добавления всех необходимых правил включите UFW:

ufw enable

Подтвердите действие:

y

После включения появится сообщение:

Firewall is active and enabled on system startup

---

Проверка правил

Посмотреть текущие правила:

ufw status numbered

Пример:

Status: active

[1] 22/tcp      ALLOW IN Anywhere
[2] 80/tcp      ALLOW IN Anywhere
[3] 443/tcp     ALLOW IN Anywhere
[4] 8888/tcp    ALLOW IN Anywhere

---

Удаление правила

Чтобы удалить правило:

ufw status numbered

Найдите номер правила.

Например:

[4] 8888/tcp

Удалите его:

ufw delete 4

---

Временное отключение UFW

При необходимости:

ufw disable

Повторное включение:

ufw enable

---

Проверка открытых портов

Проверить активные сервисы:

ss -tulpn

Проверить прослушиваемые порты:

ss -tulpn | grep LISTEN

После настройки рекомендуется убедиться, что открыты только необходимые порты.

---

Рекомендуемая конфигурация для iEXExchanger

Для большинства проектов достаточно следующего набора:

Порт	Назначение
22	SSH
80	HTTP
443	HTTPS
8888 или 8080	FastPanel

Все остальные входящие подключения рекомендуется блокировать.

---

Дополнительная защита

Для повышения безопасности рекомендуется дополнительно настроить:

• Fail2Ban;
• Cloudflare;
• ограничение доступа к административной панели по IP;
• двухфакторную аутентификацию;
• защиту Origin Server от прямого доступа;
• регулярное обновление системы.