Firewall w strefie klienta: reguły dla Twojego VPS

Firewall w strefie klienta decyduje, jaki ruch w ogóle dociera do Twojego VPS. Konfigurujesz go klikaniem, działa niezależnie od systemu VPS, a jeśli się odetniesz, naprawisz to jednym kliknięciem. Pokażemy, jak przełączyć go w bezpieczny tryb i jakich reguł potrzebują typowe usługi.

Jak działa firewall#

Firewall znajduje się w sieci przed VPS, nie wewnątrz niego. Reguły działają więc nawet wtedy, gdy system wewnątrz VPS jest zepsuty, i nie da się nimi odciąć od strefy klienta ani konsoli.

Otwórz Moje usługi, kliknij swój VPS i przejdź do zakładki Firewall. Zobaczysz:

• Status firewalla: Firewall aktywny.
• Ruch przychodzący: tryb Zezwól na wszystko lub Blokuj wszystko poza dozwolonym.
• Reguły: Twoje własne reguły (maksymalnie 50).
• Reguły ochronne StormHost: zwinięta lista reguł, którymi zarządzamy my i których nie da się wyłączyć.

Firewall pamięta nawiązane połączenia. Odpowiedzi na połączenia, które VPS otwiera sam (aktualizacje, pobieranie, łączenie z bazą danych gdzie indziej), przechodzą w obu trybach. Reguły dotyczą tylko nowych połączeń przychodzących.

Tryb ruchu przychodzącego#

Przełączanie w bezpieczny tryb:

1. Dodaj regułę dla SSH (zobacz następną sekcję, przycisk SSH).
2. Dodaj reguły dla wszystkich usług, które mają być widoczne z zewnątrz (WWW, serwer gier…).
3. W Ruch przychodzący wybierz Blokuj wszystko poza dozwolonym.
4. Przesuń suwak w oknie potwierdzenia.
5. W nowym oknie sprawdź, czy możesz połączyć się przez SSH i czy usługi działają.

Na niektórych starszych VPS zamiast wyboru trybu zobaczysz ramkę Zalecana konfiguracja firewalla. Kliknij Zastosuj zalecaną konfigurację. Włącza reguły ochronne, zachowuje Twoje własne reguły i zastępuje ogólne reguły „zezwól na wszystko” zalecanym zestawem. Potem pojawi się wybór trybu.

Dodawanie reguły#

Formularz Dodaj regułę znajduje się pod listą reguł. U góry są szybkie szablony SSH, HTTP, HTTPS, Minecraft, FiveM TCP, FiveM UDP i Ping, które wypełniają formularz za Ciebie.

Kliknij Dodaj. Zmiana zaczyna działać w ciągu kilku sekund.

Kolejność reguł: reguły są oceniane od góry i wygrywa pierwsze dopasowanie. Gdy chcesz zablokować jeden adres IP, a jednocześnie zezwolić na port dla wszystkich, umieść regułę Drop dla tego adresu nad regułą Zezwól. Kolejność zmieniasz strzałkami Przesuń w górę i Przesuń w dół. Reguły ochronne StormHost nie mieszają się z Twoimi: blokada skanerów jest zawsze pierwsza, ogólne zezwolenie zawsze ostatnie.

Gotowe zestawy reguł#

Wszystkie reguły niżej mają Kierunek Przychodzący i Akcję Zezwól. Porty to wartości domyślne programów; jeśli zmieniono je w aplikacji, użyj swoich.

Dostęp tylko z Twojego adresu IP#

Wpisz swój publiczny adres IP w polu IP / zakres źródłowy. Reguła zezwala wtedy na port tylko Tobie. Dobre dla SSH, RCON, txAdmin i baz danych.

Najpewniej znajdziesz swój publiczny adres IP z VPS: połącz się przez SSH i uruchom echo $SSH_CLIENT. Pierwsza wartość w wyjściu (na przykład 198.51.100.25) to adres, z którego właśnie się łączysz. Jeśli łączysz się przez IPv6, zobaczysz adres IPv6, a reguła dotyczy wtedy tylko IPv6.

IPv6#

Reguły z pustym adresem dotyczą zarówno IPv4, jak i IPv6. Reguła z adresem IPv4 dotyczy tylko IPv4, z adresem IPv6 tylko IPv6. Ping potrzebuje osobnych reguł ICMP (ping) i ICMPv6.

Reguły wychodzące#

Ruch wychodzący jest domyślnie dozwolony (z adresów Twojego VPS). Reguł wychodzących potrzebujesz rzadko, na przykład gdy chcesz zabronić VPS bezpośredniego wysyłania poczty (reguła Wychodzący, Drop, TCP dla portu 25). Uważaj, aby nie zablokować DNS (UDP i TCP 53) ani aktualizacji (TCP 80,443).

Firewall w strefie klienta czy UFW?#

Większości osób wystarczy firewall w strefie klienta. Zaawansowani mogą używać obu: firewall w strefie klienta jako zgrubny filtr (tylko niezbędne porty) i UFW z fail2ban wewnątrz VPS. Jeśli używasz obu firewalli, port musisz otworzyć w obu.

Weryfikacja#

Przetestuj z komputera, czy port jest otwarty:

Test-NetConnection 203.0.113.10 -Port 22

nc -vz -w 5 203.0.113.10 22

nc -vz -w 5 203.0.113.10 22

Test działa tylko dla TCP. Port zamknięty przez firewall objawia się przekroczeniem czasu, port bez działającej usługi odmową (refused). Porty UDP (gry) sprawdź, łącząc się z gry.

Jeśli się odetniesz#

Firewall w strefie klienta nigdy nie odcina Cię od strefy klienta. Otwórz zakładkę Firewall i albo dodaj brakującą regułę, albo tymczasowo przełącz Ruch przychodzący na Zezwól na wszystko.

Rozwiązywanie problemów#

Firewall zmienił się w międzyczasie — wczytaj go ponownie.#

Ktoś inny (lub inne okno przeglądarki) w międzyczasie zmienił firewall. Odśwież stronę i powtórz zmianę.

Nieprawidłowy port (na przykład 22, 80,443 lub 25565:25570)#

Port jest zapisany błędnie. Używaj tylko cyfr, przecinków i dwukropka dla zakresu, bez zbędnych spacji. Port możesz wpisać tylko dla TCP i UDP.

Zalecanej konfiguracji nie można zastosować automatycznie na tym VPS (nie wszystkie jego adresy IP są znane).#

VPS ma przydzielony adres, którego strefa klienta nie ma zapisanego przy usłudze, i zalecana konfiguracja mogłaby go odciąć. Nie zależy to od ustawień wewnątrz VPS. Skontaktuj się z nami (pomoc techniczna), a uporządkujemy adresy.

Maksymalnie 50 własnych reguł#

Połącz reguły: kilka portów jednego protokołu w jedną regułę (80,443), kolejne porty w zakres (25565:25600).

Port jest dozwolony, ale usługa nie działa z zewnątrz#

• Sprawdź, czy reguła jest włączona i czy nad nią nie ma reguły odrzucającej ten sam ruch.
• Sprawdź protokół (gra może potrzebować UDP).
• Sprawdź firewall wewnątrz VPS: ufw status.
• Sprawdź, czy aplikacja nasłuchuje na adresie publicznym, a nie tylko na 127.0.0.1: ss -tulpn.

Po upgradzie lub przywróceniu z kopii zapasowej firewall nie zachowuje się jak wcześniej#

Po przywróceniu z kopii zapasowej ustawienia firewalla są uzgadniane z bieżącym stanem usługi. Jeśli zgłasza błąd albo reguły się nie zgadzają, skontaktuj się z nami (pomoc techniczna).