UFW-firewall

Een UFW-webinterface om firewallregels na te lopen

UFW bestaat omdat de kale iptables-syntaxis niets vergeeft, en daarin slaagt het. Wat het niet doet, is een regelset maanden later makkelijk leesbaar maken, wanneer ufw status numbered dertig regels teruggeeft en u probeert uit te vinden welke daarvan nog nodig zijn.

Deze pagina toont dezelfde regels, maar zet het standaardbeleid voor inkomend en uitgaand verkeer vooraan, want juist dat wordt vergeten. Een regelset die er streng uitziet betekent niets als het standaardbeleid voor inkomend verkeer op allow is blijven staan. Regels verschijnen met actie, poort, protocol en bron, en IPv6-vermeldingen staan naast hun IPv4-tegenhangers in plaats van de lijst te verdubbelen.

De fouten die het zoeken waard zijn: een poort die voor een test werd geopend en nooit gesloten, een dienst die op alle interfaces luistert terwijl localhost genoeg was, en een regel die een heel subnet toelaat waar één adres zou volstaan. De pagina met open poorten toont de andere helft van het beeld: wat er werkelijk achter die regels luistert.

Deze twee beelden zijn het waard om geregeld naast elkaar te leggen, want ze lopen stilletjes uiteen. Een regel kan een poort sluiten waarop niemand luistert — dan is zij enkel ballast in de set. Het kan ook andersom: een dienst die op alle interfaces luistert achter een regel die u gesloten waande. Het oude antwoord op die vraag is netstat, en dat klopt nog steeds; alleen moet de uitvoer elke keer met het oog worden nagelopen.