UFW-Firewall

Ein UFW Web Interface zum Prüfen der Firewall-Regeln

UFW existiert, weil die reine iptables-Syntax nichts verzeiht, und darin ist es erfolgreich. Was es nicht leistet: ein Regelwerk Monate später leicht überprüfbar machen, wenn ufw status numbered dreißig Zeilen ausgibt und Sie herausfinden wollen, welche davon noch gebraucht werden.

Diese Seite zeigt dieselben Regeln, stellt aber die Default-Policies für eingehend und ausgehend voran — genau das wird nämlich vergessen. Ein Regelwerk, das restriktiv aussieht, bedeutet nichts, wenn die Default-Policy für eingehenden Verkehr auf allow steht. Regeln erscheinen mit Aktion, Port, Protokoll und Quelle, und IPv6-Einträge stehen neben ihren IPv4-Gegenstücken, statt die Liste zu verdoppeln.

Wonach zu suchen lohnt: ein Port, der für einen Test geöffnet und nie geschlossen wurde; ein Dienst, der an allen Interfaces lauscht, obwohl localhost gereicht hätte; eine Regel, die ein ganzes Subnetz freigibt, wo eine einzelne Adresse genügt. Die Seite zu den offenen Ports zeigt die andere Hälfte des Bildes — was hinter diesen Regeln tatsächlich lauscht.

Diese beiden Bilder sollten regelmäßig abgeglichen werden, denn sie laufen still auseinander. Eine Regel kann einen Port schließen, auf dem niemand lauscht — dann ist sie bloß Ballast im Regelsatz. Es geht auch umgekehrt: ein Dienst lauscht auf allen Schnittstellen hinter einer Regel, die Sie für geschlossen hielten. Die alte Antwort auf diese Frage heißt netstat, und sie ist nach wie vor richtig; nur muss ihre Ausgabe jedes Mal mit den Augen durchgegangen werden.