Открывайте только нужные вам разделы

Зафиксируйте административный порт, веб-слушатель, расположение базы данных и любые специфичные для продукта требования UDP/TCP. База данных, используемая только на той же машине, не должна нуждаться в публичном правиле. Учитывайте как гостевые правила, так и вышестоящий брандмауэр действующего оператора.

Сохраняйте рабочую сессию и проверенную консоль восстановления. Перед включением ограничительного брандмауэра разрешите фактический порт SSH и требуемый диапазон источников. Пример ниже предполагает, что SSH сейчас на порту 22; измените его в соответствии с работающим сервисом.

sudo ufw default deny incoming
sudo ufw default allow outgoing
sudo ufw allow 22/tcp

Для публичного веб-сервера разрешите TCP 80 и 443. Это не включает сам веб-сервис, а порты UDP/игр/почты требуют собственных явных решений. Избегайте широкого диапазона портов как обходного пути для диагностики одного приложения.

sudo ufw allow 80/tcp
sudo ufw allow 443/tcp
sudo ufw enable
sudo ufw status verbose

Откройте другое административное подключение и протестируйте приложение извне. Прочитайте действующие правила UFW и настройку IPv6 дистрибутива. Не следует предполагать, что правило только для IPv4 или вышестоящий фильтр защищают слушатель IPv6.

Нумерованный вывод помогает найти устаревшее правило. Номера меняются после удалений, поэтому перечислите их снова перед следующим изменением. В системах с firewalld или nftables следуйте собственной конфигурации этого инструмента, а не комбинируйте конкурирующие менеджеры.

sudo ufw status numbered
# Remove only a rule you have identified, then list again:
# sudo ufw delete <rule-number>