Как настроить UFW на Ubuntu: короткое руководство

За несколько минут вы настроите UFW на Ubuntu Server: разрешите SSH и нужные сервисы, запретите остальные входящие подключения и проверите правила. Главное — сначала открыть порт SSH, а уже потом включать фаервол: иначе удалённый сервер может перестать отвечать.

Перед началом

Инструкция рассчитана на Ubuntu Server 24.04 LTS и UFW 0.36.2. В системе может стоять пакет с той же основной версией, но с исправлениями дистрибутива. Проверьте свою версию командой из первого шага. Нужны учётная запись с правами sudo и доступ к серверу по SSH либо к консоли хостинга.

Если подключаетесь удалённо, узнайте порт SSH до изменения правил. Обычно это 22, но администратор мог его поменять. Если не уверены, не включайте UFW, пока не подтвердите порт через конфигурацию сервера или панель провайдера. Для веб-сайта заранее определите, нужны ли входящие подключения на 80 и 443 порты.

Входящий трафик — подключения, которые инициируют другие устройства к вашему серверу. UFW управляет такими подключениями по правилам: разрешённые порты доступны, остальные блокируются настройкой по умолчанию.

Настройка по шагам

1. Проверьте систему и установите UFW. Обновите список пакетов, установите фаервол и узнайте его версию:

   sudo apt update
   sudo apt install ufw
   ufw version

   Если UFW уже установлен, команда установки оставит его на месте. Проверка: последняя команда выводит версию UFW; ожидаемое значение для этой инструкции — 0.36.2. Если версия отличается, сверяйте поведение с документацией именно вашей сборки.

2. Разрешите SSH до включения фаервола. Для стандартного порта выполните:

   sudo ufw allow 22/tcp

   Если SSH слушает другой порт, вместо этого разрешите именно его. Например, для порта 2222:

   sudo ufw allow 2222/tcp

   Не выполняйте оба варианта просто «на всякий случай»: открывайте используемый порт. Если к серверу подключаются по SSH, проверьте также, не ограничивает ли доступ облачный фаервол провайдера. Проверка: команда ниже должна показать правило с нужным портом:

   sudo ufw status

3. Откройте только те порты, которые нужны сервисам. Для сайта на HTTP и HTTPS добавьте правила:

   sudo ufw allow 80/tcp
   sudo ufw allow 443/tcp

   Если веб-сервер не установлен или сайт не должен быть доступен извне, эти команды не нужны. Для других приложений укажите их реальный порт и протокол: не разрешайте диапазоны портов без конкретной причины. Проверка: снова выполните sudo ufw status и убедитесь, что в списке только ожидаемые разрешения.

4. Задайте политику по умолчанию. Запретите новые входящие соединения, но разрешите исходящие. Это типичная отправная точка для обычного сервера:

   sudo ufw default deny incoming
   sudo ufw default allow outgoing

   Политика для исходящих соединений может быть другой в инфраструктуре с жёсткими требованиями безопасности. Не копируйте настройку allow outgoing в такую среду без согласования. Проверка: команда sudo ufw status verbose должна показать запрет входящих и разрешение исходящих соединений.

5. Включите UFW и проверьте доступ снаружи. Только после добавления правила SSH выполните:

   sudo ufw enable
   sudo ufw status verbose
   sudo ufw status numbered

   Подтвердите включение, если появится запрос. Проверка: в статусе указано active, присутствует правило SSH и перечислены только нужные сервисы. Не закрывая текущую сессию, откройте новое SSH-подключение с другого терминала. Так вы проверите доступ, прежде чем завершить старую сессию.

Безопасная последовательность для удалённого сервера проста: сначала разрешение SSH, затем остальные правила, после этого — включение UFW и проверка вторым подключением.

Как исправить ошибку в правиле

UFW нумерует правила, поэтому удалять лишнее можно по номеру. Сначала посмотрите список:

sudo ufw status numbered

Затем удалите правило, подставив его номер из вывода команды:

sudo ufw delete 3

Число 3 здесь — пример: перед запуском замените его на номер нужного правила. После удаления проверьте список заново. Не удаляйте правило SSH, пока не убедитесь, что заменяющее правило уже действует.

Если не получилось

• ufw: command not found. UFW не установлен или оболочка не находит команду. Выполните sudo apt update, затем sudo apt install ufw. Если пакет недоступен, проверьте источники пакетов и подключение к репозиториям Ubuntu.

• ERROR: You need to be root to run this script. Команда запущена без прав администратора. Добавьте sudo перед командой и введите пароль своей учётной записи, если система его запросит.

• После включения UFW SSH зависает или завершается по тайм-ауту. Вероятно, разрешён не тот порт либо подключение блокирует облачный фаервол. Войдите через консоль провайдера, проверьте реальный порт SSH и правила UFW. Не отключайте фаервол, пока не выясните, какое правило требуется исправить.

• Статус показывает inactive. Фаервол не включён. Сначала проверьте наличие правила для SSH и других нужных служб, затем выполните sudo ufw enable. Если сервером управляет панель или система автоматизации, выясните, не меняет ли она правила самостоятельно.

Что делать дальше

Проверьте доступность сервера из внешней сети: SSH должен принимать соединения на настроенном порту, а сайт — на тех портах, которые вы разрешили. Учитывайте, что UFW — не единственный возможный фильтр: у облачного провайдера или в панели хостинга могут быть отдельные правила. Если сервер обслуживает несколько приложений, зафиксируйте назначение каждого разрешённого порта и удалите правила, которые больше не нужны.