Firewall vnútri VPS: UFW (a nftables pre pokročilých)

UFW (Uncomplicated Firewall) je firewall priamo vnútri VPS, ktorý sa ovláda zrozumiteľnými príkazmi. Nastavíte ho tak, aby zvonku bolo dostupné iba to, čo chcete, a pritom sa neodrezali od SSH. Na konci nájdete, prečo Docker UFW obchádza, a ukážkovú konfiguráciu nftables pre pokročilých.

UFW v kocke#

Linux filtruje pakety v jadre (subsystém netfilter, ovládaný cez nftables alebo iptables). Písať pravidlá priamo je zložité, UFW to robí za vás: príkaz ufw allow 22/tcp prevedie na správne pravidlá pre IPv4 aj IPv6.

UFW je jedna z dvoch možností. Druhou je firewall v zákazníckom účte, ktorý filtruje prevádzku ešte pred VPS. Ak používate oba, musí byť port otvorený v oboch.

Inštalácia a predvolená politika#

Nastavte predvolenú politiku, teda čo sa stane s prevádzkou, ktorú žiadne pravidlo nespomína:

ufw default deny incoming
ufw default allow outgoing

• ufw default deny incoming – nové prichádzajúce spojenia zakázať, ak ich nepovolí pravidlo.
• ufw default allow outgoing – odchádzajúce spojenia z VPS povoliť (aktualizácie, DNS, sťahovanie).

UFW je stavový: odpovede na spojenia, ktoré VPS sám otvoril, prejdú aj s deny incoming.

Povoľte SSH skôr, než firewall zapnete#

ufw allow 22/tcp comment 'SSH'

• ufw allow – pridá povoľujúce pravidlo pre prichádzajúcu prevádzku.
• 22/tcp – port 22, protokol TCP.
• comment 'SSH' – poznámka, ktorá sa ukáže vo výpise pravidiel.

Alternatívne môžete použiť profil aplikácie. Zoznam profilov vypíše ufw app list (napríklad OpenSSH, po inštalácii Nginx aj Nginx Full). Pravidlo potom pridáte príkazom ufw allow OpenSSH.

Zapnutie a kontrola#

1. Zapnite firewall:

   ufw enable

2. UFW sa opýta Command may disrupt existing ssh connections. Proceed with operation (y|n)?. Ak máte pravidlo pre SSH, napíšte y a stlačte Enter.

3. Uvidíte Firewall is active and enabled on system startup. Firewall teraz beží a zapne sa aj po reštarte.

4. V novom okne overte, že sa cez SSH pripojíte.

5. Zobrazte podrobný stav:

   ufw status verbose

   Status: active
   Logging: on (low)
   Default: deny (incoming), allow (outgoing), disabled (routed)
   New profiles: skip
   
   To                         Action      From
   --                         ------      ----
   22/tcp                     ALLOW IN    Anywhere                   # SSH
   22/tcp (v6)                ALLOW IN    Anywhere (v6)              # SSH

Pravidlá pre služby#

Ako čítať časti príkazov:

• 25565/tcp – port a protokol. Bez protokolu (ufw allow 30120) platí pravidlo pre TCP aj UDP.
• proto tcp – protokol v rozšírenom zápise. Rozsah a výpočet portov (80,443, 25565:25600) protokol vyžadujú.
• from any / from 198.51.100.25 – odkiaľ spojenie prichádza: odkiaľkoľvek, alebo z jednej adresy (môže byť aj rozsah 198.51.100.0/24).
• to any port 3306 – na akú adresu VPS a port. any = všetky adresy VPS.
• insert 1 – vloží pravidlo na prvé miesto. UFW vyhodnocuje pravidlá zhora a platí prvá zhoda, takže blokácia adresy musí byť nad povoľujúcimi pravidlami. IPv6 adresu zablokujete príkazom ufw prepend deny from 2001:db8::/64, ktorý pravidlo dá na začiatok IPv6 pravidiel.
• deny – ticho zahodiť. Variant reject odosielateľovi oznámi odmietnutie.

V poznámkach (comment) používajte iba písmená bez diakritiky, číslice a medzery.

Obmedzenie počtu spojení (limit)#

ufw limit 22/tcp comment 'SSH'

• ufw limit – povolí port, ale zablokuje IP adresu, ktorá sa pokúsi nadviazať 6 a viac spojení počas 30 sekúnd. Spomalí tak hádanie hesiel.

Ak už máte pre port 22 pravidlo allow, najprv ho zmažte (pozri ďalšiu sekciu), inak by vyhralo staršie pravidlo. Limit sa nehodí pre služby s mnohými legitímnymi spojeniami (web, hry). Pre SSH je lepší fail2ban, ktorý reaguje na skutočne chybné prihlásenia.

Číslované pravidlá a mazanie#

ufw status numbered

     To                         Action      From
     --                         ------      ----
[ 1] 22/tcp                     ALLOW IN    Anywhere                   # SSH
[ 2] 25565/tcp                  ALLOW IN    Anywhere                   # Minecraft
[ 3] 22/tcp (v6)                ALLOW IN    Anywhere (v6)              # SSH
[ 4] 25565/tcp (v6)             ALLOW IN    Anywhere (v6)              # Minecraft

Zmazanie pravidla podľa čísla:

ufw delete 2

• ufw delete 2 – zmaže pravidlo číslo 2. UFW sa opýta na potvrdenie (y).

Po každom zmazaní sa čísla posunú, preto pred ďalším mazaním spustite ufw status numbered znova. IPv4 a IPv6 variant sú dve pravidlá. Obe naraz zmažete zápisom pravidla: ufw delete allow 25565/tcp.

Ďalšie užitočné príkazy:

IPv6#

UFW má IPv6 zapnuté v predvolenom stave: v súbore /etc/default/ufw je riadok IPV6=yes. Každé pravidlo bez konkrétnej IPv4 adresy sa potom vytvorí aj pre IPv6 (riadky (v6)). Hodnotu IPV6=no nenastavujte. VPS má verejnú IPv6 adresu a bez IPv6 pravidiel by IPv6 prevádzka nebola filtrovaná podľa vašich pravidiel.

Docker obchádza UFW#

Keď v Dockeri publikujete port (-p 8080:80 alebo ports: v compose.yaml), bude dostupný z internetu aj v prípade, že ho UFW zakazuje. Docker presmeruje prevádzku do kontajnera skôr, než sa k nemu dostanú pravidlá UFW. Dokumentácia Dockeru to opisuje ako nekompatibilitu Dockeru a UFW.

Ako sa tomu vyhnúť:

1. Publikujte porty iba na 127.0.0.1. Potom sú dostupné iba vnútri VPS a von ich pustíte cez Nginx (pozri Nginx a HTTPS):

   services:
     app:
       ports:
         - "127.0.0.1:8080:80"

   • 127.0.0.1:8080:80 – port 8080 na VPS, ale iba na miestnej adrese, presmerovaný na port 80 v kontajneri.

2. Databázy a interné služby nepublikujte vôbec. Kontajnery spolu komunikujú cez sieť Dockeru, port von nepotrebujú.

3. Použite firewall v zákazníckom účte. Filtruje prevádzku ešte pred VPS, takže zachytí aj porty publikované Dockerom.

Nastavenie Dockeru "iptables": false nepoužívajte, rozbije sieť kontajnerov. Pokročilé filtrovanie prevádzky do kontajnerov (reťazec DOCKER-USER) opisuje dokumentácia Dockeru (otvorí sa v novom okne). Viac o Dockeri v návode Docker a Docker Compose.

Logovanie#

ufw logging low

• low – zapisuje zablokované pakety, s obmedzením počtu záznamov. Vyššie úrovne (medium, high, full) zapisujú viac a log rýchlo rastie. ufw logging off logovanie vypne.

Kde záznamy nájdete:

Príklad záznamu: [UFW BLOCK] IN=eth0 … SRC=198.51.100.25 DST=203.0.113.10 … PROTO=TCP SPT=51234 DPT=23. SRC je adresa odosielateľa, DST váš VPS, PROTO protokol a DPT port, na ktorý sa skúšal pripojiť.

Pre pokročilých: nftables#

nftables je moderný nástroj na pravidlá firewallu v jadre. Na Debiane je predvoleným rámcom a UFW ho sám používa pod kapotou (cez vrstvu iptables-nft). Písať pravidlá priamo v nftables sa hodí, keď potrebujete viac, než UFW dokáže.

Ukážkový súbor pre server so SSH a webom:

#!/usr/sbin/nft -f

flush ruleset

table inet filter {
    chain input {
        type filter hook input priority filter; policy drop;

        ct state established,related accept
        ct state invalid drop
        iif "lo" accept

        meta l4proto { icmp, ipv6-icmp } accept

        tcp dport 22 accept
        tcp dport { 80, 443 } accept
    }

    chain forward {
        type filter hook forward priority filter; policy drop;
    }

    chain output {
        type filter hook output priority filter; policy accept;
    }
}

Postup nasadenia (platí pre Debian 13 aj Ubuntu 24.04):

1. Nainštalujte nástroj: apt install nftables.

2. Vypnite UFW, ak beží: ufw disable.

3. Uložte konfiguráciu do /etc/nftables.conf (nano /etc/nftables.conf).

4. Skontrolujte ju bez použitia:

   nft -c -f /etc/nftables.conf

   • -c – iba kontrola (check), nič sa nezmení. Keď je všetko v poriadku, nevypíše nič.
   • -f – načítať pravidlá zo súboru.

5. Zapnite službu, ktorá pravidlá načíta hneď aj po každom štarte:

   systemctl enable --now nftables

   • enable – načítavať pravidlá pri štarte VPS (služba je v predvolenom stave vypnutá).
   • --now – a načítať ich hneď.

6. V novom okne overte SSH. Aktuálne pravidlá vypíše nft list ruleset.

Overenie#

• ufw status verbose ukazuje Status: active a pravidlá pre všetky vaše služby.
• Zo svojho počítača sa pripojíte cez SSH a služby fungujú.
• Port, ktorý povolený nie je, zvonku neodpovedá (test z počítača: vo Windows Test-NetConnection <IP_ADRESA_VPS> -Port 3306, na macOS a Linuxe nc -vz -w 5 <IP_ADRESA_VPS> 3306; zatvorený port skončí vypršaním času).

Keď sa odrežete#

1. Otvorte konzolu v prehliadači a prihláste sa ako root.
2. Povoľte SSH: ufw allow 22/tcp, alebo firewall dočasne vypnite: ufw disable.
3. Pri nftables: systemctl stop nftables a potom nft flush ruleset (zmaže všetky pravidlá, prevádzka bude povolená).
4. Opravte pravidlá a firewall znova zapnite.

Keď niečo nefunguje#

ERROR: Must specify 'tcp' or 'udp' with multiple ports#

Rozsah a výpočet portov vyžadujú protokol. Zapíšte pravidlo takto: ufw allow proto tcp from any to any port 25565:25600. Pre TCP aj UDP pridajte dve pravidlá.

Pravidlo je pridané, ale port je stále zatvorený#

• Skontrolujte poradie (ufw status numbered). Vyššie nemôže byť pravidlo deny, ktoré rovnakú prevádzku zahodí.
• Overte, že aplikácia na porte počúva: ss -tulpn | grep <PORT>. Adresa 127.0.0.1 znamená, že je dostupná iba vnútri VPS.
• Skontrolujte firewall v zákazníckom účte. Ak je v režime Blokovať všetko okrem povoleného, musí tam byť port povolený tiež.

Port z Dockeru je otvorený, hoci ho UFW zakazuje#

To je očakávané správanie, pozri sekciu Docker obchádza UFW.

ERROR: initcaps pri zapnutí#

UFW nemôže použiť moduly jadra. Typicky ste aktualizovali jadro a VPS ešte nebeží s novým. Reštartujte VPS a zapnite UFW znova.

Po reštarte služby nftables prestal fungovať Docker alebo fail2ban#

flush ruleset zmazal ich pravidlá. Reštartujte ich: systemctl restart docker fail2ban.

Ďalšie zdroje#

• Ubuntu: firewall (UFW) (otvorí sa v novom okne)
• Manuálová stránka ufw (otvorí sa v novom okne)
• Docker: packet filtering and firewalls (otvorí sa v novom okne)
• Debian Wiki: nftables (otvorí sa v novom okne)
• nftables wiki: jednoduchá sada pravidiel pre server (otvorí sa v novom okne)