Firewall UFW

Un’interfaccia web UFW per rileggere le regole del firewall

UFW esiste perché la sintassi iptables grezza non perdona, e in questo riesce. Quello che non fa è rendere un insieme di regole facile da rileggere mesi dopo, quando ufw status numbered restituisce trenta righe e state cercando di capire quali servano ancora.

Questa pagina mostra le stesse regole, ma mette in cima le policy predefinite in entrata e in uscita, perché è proprio quello che si dimentica. Un insieme di regole dall’aria restrittiva non significa nulla se la policy predefinita in entrata è rimasta su allow. Le regole compaiono con azione, porta, protocollo e sorgente, e le voci IPv6 stanno accanto alle corrispondenti IPv4 invece di raddoppiare l’elenco.

Gli errori da cercare: una porta aperta per una prova e mai richiusa, un servizio in ascolto su tutte le interfacce quando bastava localhost, una regola che apre un’intera sottorete dove basterebbe un solo indirizzo. La pagina delle porte aperte mostra l’altra metà del quadro: che cosa è davvero in ascolto dietro quelle regole.

Vale la pena confrontare queste due immagini con regolarità, perché divergono in silenzio. Una regola può chiudere una porta su cui nessuno è in ascolto: allora è solo zavorra nell'insieme. Capita anche il contrario: un servizio in ascolto su tutte le interfacce dietro una regola che Lei riteneva chiusa. La vecchia risposta a questa domanda è netstat, e resta valida; solo che il suo output va riletto a occhio ogni volta.