Instalar y configurar UFW en Ubuntu Top 10.Top 10 LTS
Este artículo le muestra cómo instalar y usar UFW en su Ubuntu 20.04 Sistema LTS.
Instalación
UFW viene preinstalado en la mayoría de los sistemas Ubuntu. Si su compilación no tiene este programa ya instalado, puede instalarlo utilizando los administradores de paquetes Snap o APT.$ sudo snap instalación UFW
$ sudo apt install UFW
Personalmente prefiero usar el Administrador de paquetes APT para hacer esto porque Snap es menos popular y no quiero tener esta complejidad adicional. Al momento de escribir este artículo, la versión publicada para UFW es 0.36 para los 20.04 lanzamiento.
Entrante vs. Tráfico saliente
Si usted es un principiante en el mundo de las redes, lo primero que debe aclarar es la diferencia entre el tráfico entrante y saliente.
Cuando instala actualizaciones con apt-get, navegue por Internet o verifique su correo electrónico, lo que está haciendo es enviar solicitudes "salientes" a los servidores, como Ubuntu, Google, etc. Para acceder a estos servicios, ni siquiera necesita una IP pública. Por lo general, se asigna una sola dirección IP pública para, por ejemplo, una conexión de banda ancha en el hogar, y cada dispositivo obtiene su propia IP privada. El enrutador luego maneja el tráfico usando algo conocido como NAT o traducción de direcciones de red.
Los detalles de las direcciones IP nat y privadas están más allá del alcance de este artículo, pero el video vinculado anteriormente es un excelente punto de partida. Volver a UFW, por defecto, UFW permitirá todo el tráfico web saliente regular. Sus navegadores, administradores de paquetes y otros programas eligen un número de puerto aleatorio, generalmente un número superior a 3000, y así es como cada aplicación puede realizar un seguimiento de sus conexión (s).
Cuando está ejecutando servidores en la nube, generalmente vienen con una dirección IP pública y las reglas anteriores de permitir que el tráfico saliente aún se mantenga. Debido a que todavía usará utilidades, como los gerentes de paquetes, que hablan con el resto del mundo como un "cliente", UFW lo permite de forma predeterminada.
La diversión comienza con el tráfico entrante. Aplicaciones, como el servidor OpenSSH que usa para iniciar sesión en su VM, escuche en puertos específicos (como 22) para entrante Solicitudes, al igual que otras aplicaciones. Los servidores web necesitan acceso a los puertos 80 y 443.
Es parte del trabajo de un firewall para permitir que las aplicaciones específicas escuchen sobre cierto tráfico entrante mientras bloquean todos los innecesarios. Es posible que tenga un servidor de base de datos instalado en su VM, pero generalmente no necesita escuchar las solicitudes entrantes en la interfaz con una IP pública. Por lo general, solo escucha la interfaz de bucle de bucle para las solicitudes.
Hay muchos bots en la web, que constantemente bombardean a los servidores con solicitudes falsas para la fuerza bruta, o para hacer un simple ataque de denegación de servicio. Un firewall bien configurado debería poder bloquear la mayoría de estas travesuras con la ayuda de complementos de terceros como Fail2Ban.
Pero, por ahora, nos centraremos en una configuración muy básica.
Uso básico
Ahora que tiene instalado UFW en su sistema, veremos algunos usos básicos para este programa. Dado que las reglas de firewall se aplican en todo el sistema, los comandos a continuación se ejecutan como usuario root. Si lo prefiere, puede usar sudo con privilegios adecuados para este procedimiento.
# Estado de UFW
Estado: inactivo
Por defecto, UFW está en un estado inactivo, que es algo bueno. No desea bloquear todo el tráfico entrante en el puerto 22, que es el puerto SSH predeterminado. Si ha iniciado sesión en un servidor remoto a través de SSH y bloquea el puerto 22, será bloqueado fuera del servidor.
UFW nos hace fácil hacer un agujero solo para OpenSsh. Ejecute el siguiente comando:
root@testubuntu: ~# UFW Lista de aplicaciones
Aplicaciones disponibles:
Abierro
Tenga en cuenta que todavía no he habilitado el firewall. Ahora agregaremos OpenSsh a nuestra lista de aplicaciones permitidas y luego habilitaremos el firewall. Para hacerlo, ingrese los siguientes comandos:
# UFW Permitir OpenSsh
Reglas actualizadas
Reglas actualizadas (V6)
# UFW Enable
El comando puede interrumpir las conexiones SSH existentes. Proceda con la operación (y | n)? Y.
El firewall ahora está activo y habilitado en el inicio del sistema.
Felicitaciones, UFW ahora está activo y ejecutado. UFW ahora solo permite que OpenSSH escuche las solicitudes entrantes en el puerto 22. Para verificar el estado de su firewall en cualquier momento, ejecute el siguiente código:
# Estado de UFW
Estado: Activo
A la acción de
-- ------ ----
OpenSsh Permitir en cualquier lugar
OpenSSH (V6) Permitir en cualquier lugar (V6)
Como puede ver, OpenSSH ahora puede recibir solicitudes desde cualquier lugar de Internet, siempre que lo alcance en el puerto 22. La línea V6 indica que las reglas también se aplican para IPv6.
Puede, por supuesto, prohibir rangos particulares de IP, o permitir solo una gama particular de IPS, dependiendo de las limitaciones de seguridad en las que está trabajando.
Agregar aplicaciones
Para las aplicaciones más populares, el comando UFW App List actualiza automáticamente su lista de políticas al instalar. Por ejemplo, tras la instalación del servidor web NGINX, verá aparecer las siguientes nuevas opciones:
# APT Instalar nginx
# Lista de aplicaciones de UFW
Aplicaciones disponibles:
Nginx lleno
Nginx http
Nginx https
Abierro
Adelante e intente experimentar con estas reglas. Tenga en cuenta que simplemente puede permitir los números de puerto, en lugar de esperar a que aparezca el perfil de una aplicación. Por ejemplo, para permitir el puerto 443 para el tráfico HTTPS, simplemente use el siguiente comando:
# UFW Permitir 443
# Estado de UFW
Estado: Activo
A la acción de
-- ------ ----
OpenSsh Permitir en cualquier lugar
443 Permitir en cualquier lugar
OpenSSH (V6) Permitir en cualquier lugar (V6)
443 (V6) Permitir en cualquier lugar (V6)
Conclusión
Ahora que tiene los conceptos básicos de UFW ordenados, puede explorar otras potentes capacidades de firewall, comenzando por permitir y bloquear rangos de IP. Tener políticas de firewall claras y seguras mantendrá sus sistemas seguros y protegidos.