Nur die Pfade öffnen, die Sie benötigen

Erfassen Sie den Administrationsport, den Web-Listener, den Datenbankspeicherort und alle produktspezifischen UDP/TCP-Anforderungen. Eine Datenbank, die nur auf derselben Maschine verwendet wird, sollte keine öffentliche Regel benötigen. Berücksichtigen Sie sowohl Gastregeln als auch die Upstream-Firewall eines Live-Betreibers.

Halten Sie eine funktionierende Sitzung und eine verifizierte Wiederherstellungskonsole bereit. Bevor Sie eine restriktive Firewall aktivieren, erlauben Sie den tatsächlichen SSH-Port und den erforderlichen Quellbereich. Das folgende Beispiel geht davon aus, dass SSH derzeit auf Port 22 läuft; ändern Sie es, um es an den laufenden Dienst anzupassen.

sudo ufw default deny incoming
sudo ufw default allow outgoing
sudo ufw allow 22/tcp

Erlauben Sie für einen öffentlichen Webserver TCP 80 und 443. Dies aktiviert den Webdienst selbst nicht, und UDP-/Spiel-/Mail-Ports benötigen eigene ausdrückliche Entscheidungen. Vermeiden Sie einen breiten Portbereich als Abkürzung zur Diagnose einer Anwendung.

sudo ufw allow 80/tcp
sudo ufw allow 443/tcp
sudo ufw enable
sudo ufw status verbose

Öffne eine weitere Administrationsverbindung und teste die Anwendung extern. Lies die effektiven UFW-Regeln und die IPv6-Einstellung der Distribution. Eine reine IPv4-Regel oder ein Upstream-Filter sollte nicht als Schutz für einen IPv6-Listener angenommen werden.

Nummerierte Ausgabe hilft, eine veraltete Regel zu finden. Nummern ändern sich nach Löschungen, daher listen Sie sie vor einer weiteren Änderung erneut auf. Befolgen Sie auf Systemen mit firewalld oder nftables die native Konfiguration dieses Tools, anstatt konkurrierende Manager zu kombinieren.

sudo ufw status numbered
# Remove only a rule you have identified, then list again:
# sudo ufw delete <rule-number>