Файрвол на сервере: UFW и iptables — настройка и управление правилами

Любой Linux-сервер с публичным IP в первые часы после запуска сталкивается с перебором паролей и сканированием портов. Пока файрвол не настроен, извне доступны все порты, на которых запущенные сервисы принимают подключения: SSH, веб-сервер и база данных, которую администратор забыл привязать к приватному интерфейсу. Для фильтрации трафика в Linux используют инструменты разного уровня: iptables — низкоуровневую утилиту со сложным синтаксисом для управления правилами ядра, и UFW (Uncomplicated Firewall) — надстройку с понятными командами, возможностей которой хватает для большинства серверных задач. Ниже разберём оба инструмента: UFW для повседневной работы и iptables для сценариев, требующих тонкого контроля.

• UFW и команды iptables управляют одним механизмом: правила выполняет Netfilter в ядре, а утилиты задают их на разных уровнях абстракции.
• Базовая настройка публичного сервера — политика
  default deny incoming
  , явно открытые порты запущенных сервисов и ограничение частоты новых подключений к SSH.
• iptables нужен для задач, с которыми UFW не справляется: настройки NAT и проброса портов, собственных порогов ограничения частоты подключений и работы с цепочкой
  FORWARD
  .
• Правила iptables не сохраняются после перезагрузки без
  iptables-save
  или пакета
  iptables-persistent
  . UFW сохраняет правила автоматически.

Трафик в Linux фильтруется в ядре, а утилиты в пользовательском пространстве задают правила. Стек выглядит так:

UFW / firewalld → iptables / nftables → Netfilter (ядро)

• Netfilter — подсистема ядра Linux с набором хуков для перехвата и обработки сетевых пакетов. На ней построены iptables, ip6tables, nftables и другие инструменты фильтрации.
• iptables — утилита командной строки для управления таблицами фильтрации пакетов IPv4 (документация iptables). Для IPv6 ту же роль выполняет ip6tables.
• nftables — преемник iptables, ip6tables, arptables и ebtables, который объединяет фильтрацию IPv4, IPv6 и других протоколов в одной подсистеме ядра (nftables wiki).
• UFW — интерфейс командной строки, который упрощает настройку iptables и Netfilter. В Ubuntu это файрвол по умолчанию (Ubuntu Server Documentation).
• firewalld — альтернативный фронтенд того же стека, который используется по умолчанию в Fedora, CentOS/RHEL и Rocky Linux (Red Hat Documentation).

UFW и firewalld генерируют правила для iptables. Поэтому при настройке файрвола через UFW и вручную через iptables администратор работает с одним механизмом ядра на разных уровнях абстракции.

Таблицы, цепочки и действия

Для повседневной работы достаточно основной таблицы фильтрации —

Правило заканчивается действием:

Разница между

Установка и базовые команды

# Установка (в Ubuntu пакет обычно уже установлен)
sudo apt install ufw

# Проверить статус
sudo ufw status
sudo ufw status verbose   # подробно, с политиками по умолчанию
sudo ufw status numbered  # с номерами правил

# Включить или отключить
sudo ufw enable
sudo ufw disable

# Сбросить все правила
sudo ufw reset

При разборе проблем с доступом начните с

Политики по умолчанию

# Запретить всё входящее, разрешить всё исходящее
sudo ufw default deny incoming
sudo ufw default allow outgoing

Эта пара политик подходит для базовой настройки сервера. Сервер не принимает входящие соединения, пока вы явно не откроете нужные порты. Исходящий трафик не ограничен, поэтому обновления пакетов, обращения к внешним API и отправка метрик продолжают работать.

Ограничивать исходящий трафик имеет смысл в изолированных контурах с жёсткими требованиями. Настройку в них начинают с инвентаризации всех внешних зависимостей сервиса, иначе первым перестанет работать

Разрешение портов и сервисов

Одна из частых задач администратора — открыть порт для конкретного сервиса. В UFW для этого достаточно одной команды:

# По номеру порта
sudo ufw allow 22           # SSH
sudo ufw allow 80           # HTTP
sudo ufw allow 443          # HTTPS
sudo ufw allow 8080         # нестандартный порт приложения

# По имени сервиса (имена берутся из /etc/services)
sudo ufw allow ssh
sudo ufw allow http
sudo ufw allow https

# Диапазон портов
sudo ufw allow 3000:3010/tcp
sudo ufw allow 3000:3010/udp

# Протокол указан явно
sudo ufw allow 53/udp       # DNS
sudo ufw allow 53/tcp

# Запретить доступ к порту
sudo ufw deny 23            # telnet

Если протокол не указан, UFW открывает порт и для TCP, и для UDP. Для веб-сервера это лишнее: указывайте

Правила по IP-адресу и подсети

В правилах UFW можно указать источник, назначение и интерфейс. Эти параметры позволяют ограничить доступ к сервисам:

# Разрешить весь трафик с конкретного IP
sudo ufw allow from 192.168.1.100

# Разрешить доступ к конкретному порту с конкретного IP
sudo ufw allow from 192.168.1.100 to any port 5432

# Разрешить доступ из подсети
sudo ufw allow from 10.0.0.0/8 to any port 22

# Разрешить доступ из подсети только через определённый интерфейс
sudo ufw allow in on eth0 from 192.168.1.0/24 to any port 3306

# Запретить весь трафик из подсети
sudo ufw deny from 203.0.113.0/24

Привязка к интерфейсу (

Управление правилами

UFW проверяет правила по порядку, поэтому их положение в списке влияет на результат:

# Показать правила с номерами
sudo ufw status numbered

# Удалить правило по номеру
sudo ufw delete 3

# Удалить правило по его описанию
sudo ufw delete allow 80
sudo ufw delete allow from 192.168.1.100 to any port 5432

# Вставить правило на нужную позицию
sudo ufw insert 1 allow from 10.0.0.0/8

Удалять правила по номеру удобно в консоли, но после каждой операции номера сдвигаются. В скриптах и Ansible-ролях надёжнее удалять правила по описанию: такая команда идемпотентна и не зависит от текущего порядка правил.

Логирование

# Включить логирование
sudo ufw logging on
sudo ufw logging medium   # low / medium / high / full

# Смотреть журнал
tail -f /var/log/ufw.log

Уровень

UFW поддерживает профили приложений: описания портов хранятся в каталоге

# Список доступных профилей
sudo ufw app list

# Информация о конкретном профиле
sudo ufw app info Nginx

# Разрешить доступ по профилю
sudo ufw allow 'Nginx Full'    # HTTP + HTTPS
sudo ufw allow 'Nginx HTTP'    # только HTTP
sudo ufw allow 'Nginx HTTPS'   # только HTTPS
sudo ufw allow 'OpenSSH'

Профили устанавливаются вместе с пакетами: например, после установки nginx появляются

[MyApp]
title=My Application
description=Custom app on port 8080
ports=8080/tcp

Команда

UFW позволяет фильтровать трафик по портам, адресам и интерфейсам. Для более сложных задач — ограничения частоты подключений с собственными счётчиками, настройки NAT и проброса портов, маркировки пакетов для QoS и сложных правил с учётом состояния соединений — команды iptables пишут напрямую.

Просмотр правил

# Таблица filter — основная
sudo iptables -L -n -v                 # подробно, без преобразования адресов и портов в имена
sudo iptables -L -n -v --line-numbers  # с номерами строк

# Таблица NAT
sudo iptables -t nat -L -n -v

# Таблица mangle
sudo iptables -t mangle -L -n -v

Флаг

Базовые правила цепочки INPUT

# Разрешить установленные и связанные соединения
sudo iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT

# Разрешить loopback
sudo iptables -A INPUT -i lo -j ACCEPT

# SSH
sudo iptables -A INPUT -p tcp --dport 22 -j ACCEPT

# HTTP и HTTPS
sudo iptables -A INPUT -p tcp --dport 80 -j ACCEPT
sudo iptables -A INPUT -p tcp --dport 443 -j ACCEPT

# ICMP (ping)
sudo iptables -A INPUT -p icmp -j ACCEPT

# Политики по умолчанию
sudo iptables -P INPUT DROP
sudo iptables -P FORWARD DROP
sudo iptables -P OUTPUT ACCEPT

Не забудьте разрешить трафик через loopback-интерфейс. Многие сервисы общаются друг с другом через

Политики по умолчанию (

Модуль

# Фиксировать новые соединения на порт 22 в списке SSH
sudo iptables -A INPUT -p tcp --dport 22 -m state --state NEW \
  -m recent --set --name SSH

# Отбрасывать, если с одного IP пришло 4 и более соединения за 60 секунд
sudo iptables -A INPUT -p tcp --dport 22 -m state --state NEW \
  -m recent --update --seconds 60 --hitcount 4 --name SSH \
  -j DROP

Первое правило добавляет адрес в список и обновляет счётчик, второе проверяет число обращений. Порядок важен: пакет сначала учитывается в списке, затем проверяется по нему.

В UFW есть упрощённый аналог:

sudo ufw limit ssh

Команда

Для NAT и проброса портов нужно включить пересылку пакетов IPv4 с помощью параметра ядра

# Включить до перезагрузки
echo 1 | sudo tee /proc/sys/net/ipv4/ip_forward

# Для постоянной настройки добавить в /etc/sysctl.conf строку:
# net.ipv4.ip_forward = 1
# Затем применить настройки:
sudo sysctl -p

Затем добавляют правила трансляции:

# Проброс внешнего порта 8080 на внутренний сервер 10.0.0.5:80
sudo iptables -t nat -A PREROUTING -p tcp --dport 8080 \
  -j DNAT --to-destination 10.0.0.5:80

sudo iptables -A FORWARD -p tcp -d 10.0.0.5 --dport 80 -j ACCEPT

# Masquerading — NAT для исходящего трафика внутренних машин
sudo iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE

Без разрешающего правила в цепочке

Удаление правил и сброс цепочек

# Показать правила с номерами
sudo iptables -L INPUT -n -v --line-numbers

# Удалить правило по номеру
sudo iptables -D INPUT 3

# Удалить правило по описанию: та же команда, но -D вместо -A
sudo iptables -D INPUT -p tcp --dport 80 -j ACCEPT

# Очистить правила и удалить пользовательские цепочки таблицы filter
sudo iptables -F
sudo iptables -X

# Вернуть политики в ACCEPT (разрешает весь трафик в этих цепочках)
sudo iptables -P INPUT ACCEPT
sudo iptables -P FORWARD ACCEPT

Команда

Сохранение правил iptables

Правила iptables хранятся в памяти ядра и сами по себе не восстанавливаются после перезагрузки. Для их сохранения и восстановления используют

# Установить пакет
sudo apt install iptables-persistent

# Сохранить текущие правила
sudo netfilter-persistent save
# Или вручную
sudo iptables-save > /etc/iptables/rules.v4
sudo ip6tables-save > /etc/iptables/rules.v6

# Восстановить правила из файла
sudo iptables-restore < /etc/iptables/rules.v4

Файл

Начинайте с UFW и добавляйте правила iptables для задач, с которыми UFW не справляется. Эти инструменты не конфликтуют: UFW генерирует правила для того же стека, а команды

При совместном использовании учитывайте порядок обработки. Правила в цепочке проверяются сверху вниз, и первое совпадение определяет, что произойдёт с пакетом. UFW размещает правила в собственных цепочках

nftables — преемник iptables, ip6tables, arptables и ebtables, который объединяет обработку IPv4, IPv6 и других протоколов в одной подсистеме ядра (nftables wiki). Подсистема входит в состав ядра Linux с версии 3.13.

В Ubuntu и Debian переход уже произошёл и мог остаться незаметным для администратора. Начиная с Ubuntu 20.04 LTS пакет iptables использует слой совместимости

# Полный набор правил nftables
sudo nft list ruleset

# Аналог iptables -L для основной таблицы
sudo nft list table inet filter

Синтаксис nftables проще читать: условие и действие задаются в одном правиле без множества модулей, а наборы адресов и портов (sets) заменяют десятки однотипных строк. Для большинства серверных задач переход не требует переписывать конфигурацию: UFW скрывает различия между iptables и nftables, а менять работающие правила без необходимости рискованно.

Изучать nftables напрямую стоит, если вы создаёте новый проект, настраиваете высоконагруженный маршрутизатор, где важна эффективность обработки больших наборов правил, или используете дистрибутив, в котором iptables уже помечен как устаревший инструмент и поставляется только для совместимости.

Перед тем как назначить серверу публичный IP-адрес, проверьте настройки:

• для входящего трафика задана политика по умолчанию
  deny
  ;
• SSH разрешён на том порту, который используется на сервере: если порт нестандартный, правило должно разрешать его, а не порт 22;
• HTTP и HTTPS открыты, если на сервере работает веб-сервер;
• порты СУБД (PostgreSQL, MySQL, Redis, MongoDB) недоступны извне или открыты только для нужных адресов;
• для SSH включено ограничение частоты подключений через
  ufw limit ssh
  или правило с модулем
  recent
  ;
• логирование включено командой
  sudo ufw logging on
  ;
• правила iptables сохранены, если вы не используете UFW;
• текущие правила проверены командой
  sudo ufw status verbose
  или
  sudo iptables -L -n -v
  ;
• после включения файрвола проверено подключение к серверу из новой сессии: существующая SSH-сессия сохраняется благодаря правилу
  ESTABLISHED
  и не подтверждает, что новые подключения разрешены.

Последний пункт пропускают чаще всего. Откройте вторую сессию, не закрывая первую. Если подключиться не получится, вы сможете откатить правила через действующую сессию.