Firewall UFW

O interfață web UFW pentru revizuirea regulilor de firewall

UFW există fiindcă sintaxa iptables brută nu iartă nimic, iar aici își face treaba. Ce nu face este să ușureze revizuirea unui set de reguli luni mai târziu, când ufw status numbered întoarce treizeci de rânduri și încerci să afli care dintre ele mai sunt necesare.

Pagina arată aceleași reguli, dar pune în față politicile implicite pentru traficul de intrare și de ieșire, pentru că exact acestea se uită. Un set de reguli cu aspect restrictiv nu înseamnă nimic dacă politica implicită pentru traficul de intrare a rămas pe allow. Regulile apar cu acțiune, port, protocol și sursă, iar intrările IPv6 stau lângă corespondentele IPv4 în loc să dubleze lista.

Greșelile care merită căutate: un port deschis pentru un test și niciodată închis, un serviciu care ascultă pe toate interfețele deși localhost ar fi fost de ajuns și o regulă care lasă să intre o întreagă subrețea acolo unde o singură adresă ar fi suficientă. Pagina porturilor deschise arată cealaltă jumătate a tabloului: ce ascultă în realitate în spatele acelor reguli.

Aceste două imagini merită confruntate regulat, fiindcă se despart în tăcere. O regulă poate închide un port pe care nu ascultă nimeni — atunci e doar balast în set. Se întâmplă și invers: un serviciu care ascultă pe toate interfețele, în spatele unei reguli pe care o credeați închisă. Răspunsul vechi la această întrebare este netstat, și rămâne unul corect; doar că ieșirea lui trebuie recitită cu ochii de fiecare dată.