Брандмауер UFW

Вебінтерфейс UFW для перегляду правил брандмауера

UFW існує тому, що гола синтаксис iptables нічого не прощає, і з цим він справляється. Чого він не робить — не полегшує перегляд набору правил через місяці, коли ufw status numbered повертає тридцять рядків, а ви намагаєтеся з’ясувати, які з них ще потрібні.

Ця сторінка показує ті самі правила, але наперед виносить типові політики для вхідного й вихідного трафіку, бо саме про них забувають. Набір правил, що виглядає суворо, нічого не означає, якщо типова політика для вхідного трафіку лишилася на allow. Правила показано з дією, портом, протоколом і джерелом, а записи IPv6 стоять поруч зі своїми відповідниками IPv4, замість подвоювати список.

Помилки, які варто шукати: порт, відкритий заради одного тесту і ніколи не закритий; служба, що слухає на всіх інтерфейсах, хоча вистачило б localhost; і правило, яке впускає цілу підмережу там, де вистачило б однієї адреси. Сторінка відкритих портів показує другу половину картини: що насправді слухає за цими правилами.

Звіряти ці дві картини варто регулярно, бо розходяться вони мовчки. Правило може закривати порт, якого ніхто не слухає, — тоді воно просто сміття в наборі. Буває й навпаки: служба слухає на всіх інтерфейсах за правилом, яке ви вважали закритим. Давня відповідь на це питання — netstat, і вона досі правильна, тільки її вивід доводиться щоразу перечитувати очима.