Просмотр исходного текста страницы Настройка файрвола (iptables/ufw)

= Настройка файрвола (iptables/ufw) =

== 1. Подготовка системы ==

* Войдите в систему под учетной записью с правами '''root''' или пользователя с правами '''sudo'''.
* Убедитесь, что у вас есть доступ к серверу через консоль (не только SSH).

== 2. Настройка UFW (Ubuntu/Debian) ==

=== Установка и активация UFW ===

1. Проверьте статус UFW:
<pre>sudo ufw status</pre>

2. Если UFW не установлен, установите его:
<pre>sudo apt update</pre>
<pre>sudo apt install ufw</pre>

3. Включите UFW:
<pre>sudo ufw enable</pre>

=== Базовая настройка UFW ===

1. Разрешите SSH подключения (ВАЖНО!):
<pre>sudo ufw allow ssh</pre>

2. Разрешите HTTP и HTTPS трафик:
<pre>sudo ufw allow 80/tcp</pre>
<pre>sudo ufw allow 443/tcp</pre>

3. Разрешите трафик на конкретный порт:
<pre>sudo ufw allow 8080/tcp</pre>

4. Разрешите трафик с конкретного IP:
<pre>sudo ufw allow from 192.168.1.100</pre>

=== Дополнительные правила UFW ===

1. Запретите трафик на порт:
<pre>sudo ufw deny 23/tcp</pre>

2. Разрешите трафик только на определенный порт:
<pre>sudo ufw allow 3306/tcp</pre>

3. Настройте правила для конкретного интерфейса:
<pre>sudo ufw allow in on eth0 to any port 80</pre>

=== Управление UFW ===

1. Просмотрите статус:
<pre>sudo ufw status verbose</pre>

2. Просмотрите нумерованные правила:
<pre>sudo ufw status numbered</pre>

3. Удалите правило по номеру:
<pre>sudo ufw delete 1</pre>

4. Сбросьте все правила:
<pre>sudo ufw --force reset</pre>

== 3. Настройка iptables ==

=== Основы iptables ===

1. Просмотрите текущие правила:
<pre>sudo iptables -L -n -v</pre>

2. Просмотрите правила с номерами строк:
<pre>sudo iptables -L -n -v --line-numbers</pre>

=== Базовая настройка iptables ===

1. Очистите все правила:
<pre>sudo iptables -F</pre>
<pre>sudo iptables -X</pre>
<pre>sudo iptables -t nat -F</pre>
<pre>sudo iptables -t nat -X</pre>

2. Установите политики по умолчанию:
<pre>sudo iptables -P INPUT DROP</pre>
<pre>sudo iptables -P FORWARD DROP</pre>
<pre>sudo iptables -P OUTPUT ACCEPT</pre>

3. Разрешите loopback трафик:
<pre>sudo iptables -A INPUT -i lo -j ACCEPT</pre>
<pre>sudo iptables -A OUTPUT -o lo -j ACCEPT</pre>

=== Настройка правил для веб-сервера ===

1. Разрешите установленные соединения:
<pre>sudo iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT</pre>

2. Разрешите SSH (ВАЖНО!):
<pre>sudo iptables -A INPUT -p tcp --dport 22 -j ACCEPT</pre>

3. Разрешите HTTP и HTTPS:
<pre>sudo iptables -A INPUT -p tcp --dport 80 -j ACCEPT</pre>
<pre>sudo iptables -A INPUT -p tcp --dport 443 -j ACCEPT</pre>

4. Разрешите ping:
<pre>sudo iptables -A INPUT -p icmp --icmp-type echo-request -j ACCEPT</pre>

=== Дополнительные правила iptables ===

1. Ограничьте количество соединений:
<pre>sudo iptables -A INPUT -p tcp --dport 22 -m connlimit --connlimit-above 3 -j DROP</pre>

2. Заблокируйте подозрительный трафик:
<pre>sudo iptables -A INPUT -p tcp --tcp-flags ALL NONE -j DROP</pre>
<pre>sudo iptables -A INPUT -p tcp --tcp-flags ALL ALL -j DROP</pre>

3. Заблокируйте конкретный IP:
<pre>sudo iptables -A INPUT -s 192.168.1.100 -j DROP</pre>

== 4. Сохранение правил iptables ==

=== Для Ubuntu/Debian ===

1. Установите iptables-persistent:
<pre>sudo apt install iptables-persistent</pre>

2. Сохраните текущие правила:
<pre>sudo netfilter-persistent save</pre>

3. Включите автозапуск:
<pre>sudo systemctl enable netfilter-persistent</pre>

=== Для CentOS/RHEL ===

1. Сохраните правила:
<pre>sudo iptables-save > /etc/sysconfig/iptables</pre>

2. Включите автозапуск:
<pre>sudo systemctl enable iptables</pre>

=== Ручное сохранение ===

1. Сохраните правила в файл:
<pre>sudo iptables-save > /etc/iptables/rules.v4</pre>

2. Создайте скрипт для загрузки:
<pre>sudo nano /etc/rc.local</pre>

3. Добавьте строку:
<pre>iptables-restore < /etc/iptables/rules.v4</pre>

== 5. Настройка fail2ban ==

=== Установка fail2ban ===

1. Установите fail2ban:
<pre>sudo apt install fail2ban</pre>

2. Создайте локальную конфигурацию:
<pre>sudo cp /etc/fail2ban/jail.conf /etc/fail2ban/jail.local</pre>

=== Настройка fail2ban ===

1. Отредактируйте конфигурацию:
<pre>sudo nano /etc/fail2ban/jail.local</pre>

2. Настройте основные параметры:
<pre>[DEFAULT]</pre>
<pre>bantime = 3600</pre>
<pre>findtime = 600</pre>
<pre>maxretry = 3</pre>
<pre>ignoreip = 127.0.0.1/8 ::1</pre>
<pre>[sshd]</pre>
<pre>enabled = true</pre>
<pre>port = ssh</pre>
<pre>logpath = /var/log/auth.log</pre>
<pre>maxretry = 3</pre>

3. Запустите fail2ban:
<pre>sudo systemctl start fail2ban</pre>
<pre>sudo systemctl enable fail2ban</pre>

=== Мониторинг fail2ban ===

1. Проверьте статус:
<pre>sudo fail2ban-client status</pre>

2. Проверьте конкретную тюрьму:
<pre>sudo fail2ban-client status sshd</pre>

3. Разблокируйте IP:
<pre>sudo fail2ban-client set sshd unbanip 192.168.1.100</pre>

== 6. Настройка для конкретных сервисов ==

=== Настройка для веб-сервера ===

1. Разрешите трафик на порты веб-сервера:
<pre>sudo ufw allow 80/tcp</pre>
<pre>sudo ufw allow 443/tcp</pre>
<pre>sudo ufw allow 80/tcp</pre>
<pre>sudo ufw allow 443/tcp</pre>

2. Настройте iptables для веб-сервера:
<pre>sudo iptables -A INPUT -p tcp --dport 80 -j ACCEPT</pre>
<pre>sudo iptables -A INPUT -p tcp --dport 443 -j ACCEPT</pre>

=== Настройка для базы данных ===

1. Разрешите подключения к MySQL только с локальных адресов:
<pre>sudo ufw allow from 192.168.1.0/24 to any port 3306</pre>

2. Настройте iptables:
<pre>sudo iptables -A INPUT -s 192.168.1.0/24 -p tcp --dport 3306 -j ACCEPT</pre>

=== Настройка для FTP ===

1. Разрешите FTP трафик:
<pre>sudo ufw allow 21/tcp</pre>
<pre>sudo ufw allow 20/tcp</pre>
<pre>sudo ufw allow 1024:65535/tcp</pre>

2. Настройте iptables для пассивного FTP:
<pre>sudo iptables -A INPUT -p tcp --dport 21 -j ACCEPT</pre>
<pre>sudo iptables -A INPUT -p tcp --dport 20 -j ACCEPT</pre>
<pre>sudo iptables -A INPUT -p tcp --dport 1024:65535 -j ACCEPT</pre>

== 7. Мониторинг и логирование ==

=== Просмотр логов ===

1. Просмотрите логи UFW:
<pre>sudo tail -f /var/log/ufw.log</pre>

2. Просмотрите логи iptables:
<pre>sudo dmesg | grep iptables</pre>

3. Просмотрите логи fail2ban:
<pre>sudo tail -f /var/log/fail2ban.log</pre>

=== Мониторинг подключений ===

1. Просмотрите активные соединения:
<pre>sudo netstat -tulpn</pre>

2. Просмотрите соединения по протоколам:
<pre>sudo ss -tulpn</pre>

3. Просмотрите статистику трафика:
<pre>sudo iptables -L -n -v</pre>

== 8. Устранение неполадок ==

=== Частые проблемы ===

1. '''Заблокирован доступ к серверу''':
* Подключитесь через консоль
* Отключите файрвол: <pre>sudo ufw disable</pre>
* Или сбросьте iptables: <pre>sudo iptables -F</pre>

2. '''SSH не работает''':
* Проверьте правила: <pre>sudo ufw status</pre>
* Разрешите SSH: <pre>sudo ufw allow ssh</pre>

3. '''Веб-сайт недоступен''':
* Проверьте правила для портов 80 и 443
* Убедитесь, что веб-сервер запущен

=== Диагностика ===

1. Проверьте статус файрвола:
<pre>sudo ufw status verbose</pre>
<pre>sudo iptables -L -n -v</pre>

2. Проверьте открытые порты:
<pre>sudo nmap -sT -O localhost</pre>

3. Проверьте сетевые интерфейсы:
<pre>ip addr show</pre>

== 9. Дополнительные настройки безопасности ==

=== Ограничение по времени ===

1. Создайте скрипт для временного открытия порта:
<pre>sudo nano /usr/local/bin/temp-open-port.sh</pre>

2. Добавьте содержимое:
<pre>PORT=$1</pre>
<pre>DURATION=$2</pre>
<pre>sudo ufw allow $PORT/tcp</pre>
<pre>echo "sudo ufw delete allow $PORT/tcp" | at now + $DURATION minutes</pre>
<pre>echo "Порт $PORT будет открыт в течение $DURATION минут"</pre>

3. Сделайте скрипт исполняемым:
<pre>sudo chmod +x /usr/local/bin/temp-open-port.sh</pre>

=== Настройка геоблокировки ===

1. Установите geoip модуль:
<pre>sudo apt install xtables-addons-common</pre>

2. Заблокируйте трафик из определенных стран:
<pre>sudo iptables -A INPUT -m geoip --src-cc CN,KR -j DROP</pre>

== 10. Автоматизация и скрипты ==

=== Скрипт для быстрой настройки ===

1. Создайте скрипт настройки:
<pre>sudo nano /usr/local/bin/firewall-setup.sh</pre>

2. Добавьте содержимое:
<pre>sudo ufw --force reset</pre>
<pre>sudo ufw default deny incoming</pre>
<pre>sudo ufw default allow outgoing</pre>
<pre>sudo ufw allow ssh</pre>
<pre>sudo ufw allow 80/tcp</pre>
<pre>sudo ufw allow 443/tcp</pre>
<pre>sudo ufw enable</pre>
<pre>echo "Файрвол настроен и включен"</pre>

3. Сделайте скрипт исполняемым:
<pre>sudo chmod +x /usr/local/bin/firewall-setup.sh</pre>

== Заключение ==

Файрвол успешно настроен! Теперь ваш сервер защищен от нежелательного трафика.

'''Для размещения ваших защищенных проектов на надежном хостинге рекомендуем воспользоваться услугами [ARK-HOSTER.RU](https://ark-hoster.ru):'''

* '''[Выделенные серверы](https://ark-hoster.ru/dedicated/)''' - для корпоративных проектов с продвинутой защитой
* '''[VPS/VDS серверы](https://ark-hoster.ru/vpsgame/)''' - для небольших и средних проектов

Наши специалисты помогут с настройкой файрвола и обеспечением безопасности вашего сервера!