UFW ファイアウォール

ファイアウォール規則を見直すための UFW ウェブ画面

UFW が存在するのは、素の iptables 構文が何ひとつ大目に見てくれないからで、その務めは果たしています。果たしていないのは、数か月後に規則一式を見直しやすくすることです。ufw status numbered が三十行を返し、そのうちどれがまだ要るのかを突き止めようとしているときのことです。

このページは同じ規則を示しますが、受信と送信の既定ポリシーを先頭に置きます。忘れられるのがまさにそれだからです。受信の既定ポリシーが allow のままなら、いかにも厳しそうな規則一式にも何の意味もありません。規則は動作、ポート、プロトコル、送信元とともに並び、IPv6 の項目は一覧を倍に伸ばす代わりに対応する IPv4 の隣に置かれます。

探す価値のある間違いはこうです。一度の試験のために開けて閉じ忘れたポート。localhost で足りたのに全インターフェースで待ち受けているサービス。ひとつのアドレスで済むところにサブネットまるごとを通す規則。開いているポートのページは絵のもう半分、つまりそれらの規則の裏で実際に何が待ち受けているのかを示します。

この二つの絵は定期的に突き合わせる価値があります。両者は静かにずれていくからです。ある規則が、誰も待ち受けていないポートを閉じていることがあります。その場合、規則は集合の中の重しにすぎません。逆もあります。閉じているつもりだった規則の後ろで、サービスがすべてのインターフェースで待ち受けている場合です。この問いに対する古い答えは netstat で、今も正しい答えです。ただ、その出力は毎回目で読み直す必要があります。