AFIREWALL_SEMPLICE_UFW
FIREWALL INTRODUZIONE
Il kernel di Linux comprende il sottosistema Netfilter, che viene usato per manipolare o decidere il destino del traffico di rete diretto all'interno o attraverso il proprio server. Tutte le moderne soluzioni firewall di Linux usano questo sistema per filtrare i pacchetti.
Il sistema per filtrare i pacchetti sarebbe poco usato dagli amministratori senza una interfaccia utente per gestirlo. È questo lo scopo di iptables. Quando un pacchetto raggiunge il proprio server verrà preso in consegna da Netfilter per l'accettazione, la manipolazione o il rifiuto in base alle regole che gli avrà dato l'utente attraverso iptables. Perciò, ipatbles è tutto quello che serve per gestire il proprio firewall se si ha familiarità con esso, ma molte facciate sono disponibili per semplificare il lavoro. Come fare: Utilizzare, impostare, e trarre vantaggio dal nuovo Firewall Semplice di Ubuntu UFW.
UFW – FIREWALL SEMPLICE Lo strumento di configurazione predefinito del firewall di Ubuntu e ufw. Sviluppato per una semplice configurazione di iptables, ufw fornisce una interfaccia per creare in maniera facile per l'utente un firewall host-based in IPv4 o IPv6.
In maniera predefinita ufw è inizialmente disabilitato.
SINTASSI DI BASE E ESEMPI REGOLE D'IMPOSTAZIONE PREDEFINITE
Impostare ufw nel modo predefinito è raccomandato prima di cambiare le sue impostazioni in IMPOSTAZIONI PREDEFINITE DI NEGAZIONE ACCESSO
sudo ufw default deny
IMPOSTAZIONI PREDEFINITE DI PERMESSO
sudo ufw default allow
ABILITARE UFW
Avviare ufw:
sudo ufw enable
NOTA: nonostante ufw sia impostato in maniera predefinita per negare l'accesso ai pacchetti inizialmente quando lo si abilita ufw è in modalità PERMETTI e consentirà a qualsiasi cosa in entrata o in uscita fino a quando non lo si imposterà con delle regole.
PERMETTERE
sudo ufw allow <port>/<optional: protocol> esempio: per permettere ai pacchetti tcp e udp in arrivo di transitare nella porta 53:
sudo ufw allow 53 esempio: per permettere i pacchetti tpc in arrivo di transitare nella porta 53:
sudo ufw allow 53/tcp
esempio: per permettere ai pacchetti udp in arrivo di transitare nella porta 53:
sudo ufw allow 53/udp NEGARE
sudo ufw deny <port>/<optional: protocol> esempio: per negare ai pacchetti tpc e udp di transitare nella porta 53
sudo ufw deny 53
esempio: per negare ai pacchetti tcp di transitare nella porta 53
sudo ufw deny 53/tcp
esempio: per negare ai pacchetti udp di transitare nella porta 53
sudo ufw deny 53/udp
SERVIZI È possibile anche permettere o negare l’accesso ai pacchetti a partire dai nomi dei servizi che ufw può leggere da /etc/services. Per vederla ottenere una lista di servizi:
cat /etc/services | less
PERMETTERE ATTRAVERSO IL NOME DI UN SERVIZIO
sudo ufw allow <service name>
esempio: per permettere ai pacchetti ssh l’accesso attraverso il nome
sudo ufw allow ssh
NEGARE ATTRAVERSO IL NOME DI UN SERVIZIO
sudo ufw deny <service name>
esempio: per negare ai pacchetti ssh l’accesso attraverso il nome
sudo ufw deny ssh
STATO
(Icona) Controllare lo stato del proprio ufw dirà se ufw è abilitato o disabilitato e fornirà una elenco delle regole che correntemente sono applicate al proprio iptables Per controllare lo stato di ufw:
sudo ufw status
Firewall loaded
A Azioni da --
22:tcp DENY 192.168.0.1 22:udp DENY 192.168.0.1 22:tcp DENY 192.168.0.7 22:udp DENY 192.168.0.7 22:tcp ALLOW 192.168.0.0/24 22:udp ALLOW 192.168.0.0/24
se ufw è disabilitato il messaggio potrà essere il seguente:
sudo ufw status Firewall not loaded
DISABILITARE UFW
Per disabilitare l’uso di ufw
sudo ufw disable
ACCESSO
Per abilitare l’accesso d’uso ufw logging on
Per disabilitare l’accesso d’uso ufw logging off
ELIMINARE LE REGOLE ESISTENTI
Per eliminare una regola, semplificare il prefisso della regola con “elimina”. Per esempio: se la regola originale era:
ufw deny 80/tcp
per eliminarla usare:
sudo ufw delete deny 80/tcp
SINTASSI AVANZATA
È possibile anche usare una robusta sintassi, specificando la sorgente e l’indirizzo di destinazione e le porte.
PERMETTERE L’ACCESSO
Questa sezione mostra come permettere un accesso specifico.
PERMETTERE ATTRAVERSO UNO SPECIFICO IP
sudo ufw allow <ip address>
esempio: per permettere pacchetti da 207.46.232.182:
sudo ufw allow from 207.46.232.182
PERMETTERE ATTRAVERSO SUBNET
Si può usare una maschera di rete:
sudo ufw allow 192.168.1.0/24
PERMETTERE ATTRAVERSO UNA SPECIFICA PORTA E UN INDIRIZZO IP
sudo ufw allow from <ip address> to <protocol> port <port number>
esempio: permettere l’accesso all’IP 192.168.0.4 dalla porta 22 a tutti i protocolli
sudo ufw allow from 192.168.0.4 to any port 22
ABILITARE IL PING
NOTA: la sicurezza nell’adottare un protocollo offuscato probabilmente avrà piccoli benefici. In maniera predefinita UFW blocca le richieste di ping. È possibile abilitare il ping per diagnosticare problemi di rete.
Per fare ciò è necessario digitare /etc/ufw/before.rules e rimuovere il commento dalla stringa (rimuovere il segno # all’inizio)
-A ufw-before-input -p icmp --icmp-type echo-request -j ACCEPT
NEGARE L’ACCESSO.
Negare uno specifico IP
sudo ufw deny from <ip address>
esempio: per bloccare i pacchetti da 207.46.232.182:
sudo ufw deny from 207.46.232.182
NEGARE ATTRAVERSO UNA SPECIFICA PORTA E UN INDIRIZZO IP
sudo ufw deny from <ip address> to <protocol> port <port number>
esempio: negare l’accesso dell’indirizzo ip 192.168.0.1 alla porta 22 per tutti i protocolli
sudo ufw deny from 192.168.0.1 to any port 22
REGOLE AVANZATE DI BLOCCAGGIO Blocking IP addresses is not so straight forward if you have an existing set of rules as IPTABLES matches in order (boh!!!!!!???)
Quindi se si comincia con una negazione predefinita e aggiungendo la porta 80 ad un server pubblico:
sudo ufw allow 80
Ma si scoprirà che l’indirizzo IP 111.222.3.44 sta hacking il proprio server:
sudo ufw deny 111.222.3.44
non fare niente (si permetterà l’accesso con la prima regola)
è necessario editare /etc/ufw/before.rules e aggiungere la sezione “BLOCCA IP” dopo aver fatto “trascina i pacchetti NON VALIDI”
-A ufw-before-input -s 111.222.3.44 -j DROP #Assuming no loging is desired of course) # drop INVALID packets # uncomment to log INVALID packets #-A ufw-before-input -m conntrack --ctstate INVALID -j LOG --log-prefix "[UFW B$ -A ufw-before-input -m conntrack --ctstate INVALID -j DROP
# Block IP # This it is efective 
-A ufw-before-input -s 111.222.3.44 -j DROP
ESEMPI AVANZATI
Scenario: si vuole bloccare l’accesso alla porta 22 da 192.168.0.1 e 192.168.0.7 ma permettere agli altri IP 192.168.0.x di avere accesso alla porta 22
sudo ufw deny from 192.168.0.1 to any port 22 sudo ufw deny from 192.168.0.7 to any port 22 sudo ufw allow from 192.168.0.0/24 to any port 22
ICON PAGE .png Questo porta la prima regola specifica alla seconda generica. Una volta che una regola è impostata (matched) non sarà valutata (vedere il manuale in basso) è si deve impostare la regola specifica per prima. Come cambiano le regole è necessario cancellare quelle vecchie per essere sicuri che le nuove regole siano state impostate nell’ordine corretto. Per controllare l’ordine delle regole è possibile controllare lo stato: per lo scenario l’output in basso è quello desiderato affinché la regola funzioni in modo corretto sudo ufw status Firewall loaded
A Azioni DA --
22:tcp DENY 192.168.0.1 22:udp DENY 192.168.0.1 22:tcp DENY 192.168.0.7 22:udp DENY 192.168.0.7 22:tcp ALLOW 192.168.0.0/24 22:udp ALLOW 192.168.0.0/24
Cambio scenario: si vuole bloccare l’accesso alla porta 22 di 192.168.0.3 così come 192.168.0.1 e 192.168.0.7.
sudo ufw delete allow from 192.168.0.0/24 to any port 22 sudo ufw status Firewall loaded
A Azioni Da --
22:tcp DENY 192.168.0.1 22:udp DENY 192.168.0.1 22:tcp DENY 192.168.0.7 22:udp DENY 192.168.0.7
sudo ufw deny 192.168.0.3 to any port 22 sudo ufw allow 192.168.0.0/24 to any port 22 sudo ufw status
Firewall loaded
A Azioni Da --
22:tcp DENY 192.168.0.1 22:udp DENY 192.168.0.1 22:tcp DENY 192.168.0.7 22:udp DENY 192.168.0.7 22:tcp DENY 192.168.0.3 22:udp DENY 192.168.0.3 22:tcp ALLOW 192.168.0.0/24 22:udp ALLOW 192.168.0.0/24
Icons page.png Se semplicemente si aggiunge la regola di diniego la regola di permesso sarà applicata sopra di questa e applicata al posto di quella di diniego.
GUIDA SERVER
Per istruzioni su come usare ufw la prima volta consultare il manuale ufficiale
https://help.ubuntu.com/8.04/serverguide/C/firewall.html
MANUALE
La sintassi più recente e il manuale può essere recuperato nella pagina man. Aprire un terminale e digitare
man ufw
