Ubuntu20.04でUFWを使用してファイアウォールを設定する方法
序章
UFW(Uncomplicated Firewall)は、次のような低レベルのパケットフィルタリングテクノロジーの複雑さを隠す、簡素化されたファイアウォール管理インターフェイスです。 iptables
と nftables
. ネットワークの保護を開始しようとしていて、使用するツールがわからない場合は、UFWが適切な選択である可能性があります。
このチュートリアルでは、Ubuntu20.04でUFWを使用してファイアウォールを設定する方法を説明します。
前提条件
このチュートリアルに従うには、次のものが必要です。
- sudo非rootユーザーを持つ1つのUbuntu20.04サーバー。これは、Ubuntu20.04チュートリアルを使用した初期サーバーセットアップに従ってセットアップできます。
UFWはデフォルトでUbuntuにインストールされます。 何らかの理由でアンインストールされている場合は、 sudo apt install ufw
.
ステップ1— UFWでのIPv6の使用(オプション)
このチュートリアルはIPv4を念頭に置いて書かれていますが、IPv6を有効にしている限り、IPv6でも機能します。 UbuntuサーバーでIPv6が有効になっている場合は、IPv4に加えてIPv6のファイアウォールルールを管理できるように、UFWがIPv6をサポートするように構成されていることを確認してください。 これを行うには、次のコマンドでUFW設定を開きます nano
またはお気に入りのエディター。
- sudo nano /etc/default/ufw
次に、の値を確認します IPV6
は yes
. 次のようになります。
IPV6=yes
ファイルを保存して閉じます。 これで、UFWを有効にすると、IPv4とIPv6の両方のファイアウォールルールを書き込むように構成されます。 ただし、UFWを有効にする前に、SSH経由で接続できるようにファイアウォールが構成されていることを確認する必要があります。 デフォルトのポリシーの設定から始めましょう。
ステップ2—デフォルトポリシーの設定
ファイアウォールを使い始めたばかりの場合、最初に定義するルールはデフォルトのポリシーです。 これらのルールは、他のルールと明示的に一致しないトラフィックの処理方法を制御します。 デフォルトでは、UFWはすべての着信接続を拒否し、すべての発信接続を許可するように設定されています。 つまり、サーバーにアクセスしようとするユーザーは接続できませんが、サーバー内のアプリケーションは外部にアクセスできます。
UFWルールをデフォルトに戻しましょう。そうすれば、このチュートリアルを確実に実行できるようになります。 UFWで使用されるデフォルトを設定するには、次のコマンドを使用します。
- sudo ufw default deny incoming
- sudo ufw default allow outgoing
これらのコマンドは、デフォルトで着信を拒否し、発信接続を許可するように設定します。 これらのファイアウォールのデフォルトだけでパーソナルコンピュータには十分かもしれませんが、サーバーは通常、外部ユーザーからの着信要求に応答する必要があります。 次にそれを調べます。
ステップ3—SSH接続を許可する
ここでUFWファイアウォールを有効にすると、すべての着信接続が拒否されます。 これは、サーバーがこれらのタイプの要求に応答するようにする場合、正当な着信接続(SSHまたはHTTP接続など)を明示的に許可するルールを作成する必要があることを意味します。 クラウドサーバーを使用している場合は、サーバーに接続して管理できるように、着信SSH接続を許可することをお勧めします。
着信SSH接続を許可するようにサーバーを構成するには、次のコマンドを使用できます。
- sudo ufw allow ssh
これにより、ポートでのすべての接続を許可するファイアウォールルールが作成されます 22
、SSHデーモンがデフォルトでリッスンするポートです。 UFWはどのポートを知っています allow ssh
これは、サービスとしてリストされているためです。 /etc/services
ファイル。
ただし、実際には、サービス名の代わりにポートを指定することで、同等のルールを記述できます。 たとえば、このコマンドは上記のコマンドと同じように機能します。
- sudo ufw allow 22
別のポートを使用するようにSSHデーモンを構成した場合は、適切なポートを指定する必要があります。 たとえば、SSHサーバーがポートでリッスンしている場合 2222
、このコマンドを使用して、そのポートでの接続を許可できます。
- sudo ufw allow 2222
着信SSH接続を許可するようにファイアウォールが構成されたので、ファイアウォールを有効にできます。
ステップ4—UFWを有効にする
UFWを有効にするには、次のコマンドを使用します。
- sudo ufw enable
コマンドが既存のSSH接続を中断する可能性があることを示す警告が表示されます。 SSH接続を許可するファイアウォールルールをすでに設定しているので、続行しても問題ありません。 プロンプトに応答する y
とヒット ENTER
.
これでファイアウォールがアクティブになります。 を実行します sudo ufw status verbose
設定されているルールを確認するコマンド。 このチュートリアルの残りの部分では、さまざまな種類の接続を許可または拒否するなど、UFWの使用方法について詳しく説明します。
ステップ5—他の接続を許可する
この時点で、サーバーが応答する必要のある他のすべての接続を許可する必要があります。 許可する必要のある接続は、特定のニーズによって異なります。 幸いなことに、サービス名またはポートに基づいて接続を許可するルールを作成する方法はすでに知っています。 ポートのSSHに対してすでにこれを実行しました 22
. 次の場合にもこれを行うことができます。
- 暗号化されていないWebサーバーが使用するポート80のHTTP
sudo ufw allow http
またsudo ufw allow 80
- 暗号化されたWebサーバーが使用するポート443のHTTPS
sudo ufw allow https
またsudo ufw allow 443
ポートまたは既知のサービスを指定する以外に、他の接続を許可する方法は他にもいくつかあります。
特定のポート範囲
UFWでポート範囲を指定できます。 一部のアプリケーションは、単一のポートではなく、複数のポートを使用します。
たとえば、ポートを使用するX11接続を許可するには 6000
–6007
、次のコマンドを使用します。
- sudo ufw allow 6000:6007/tcp
- sudo ufw allow 6000:6007/udp
UFWでポート範囲を指定する場合は、プロトコルを指定する必要があります(tcp
また udp
)ルールを適用する必要があります。 プロトコルを指定しないと自動的に両方のプロトコルが許可されるため、これについては前に説明しませんでした。ほとんどの場合、これで問題ありません。
特定のIPアドレス
UFWを使用する場合、IPアドレスを指定することもできます。 たとえば、職場や自宅のIPアドレスなどの特定のIPアドレスからの接続を許可する場合 203.0.113.4
、指定する必要があります from
、次にIPアドレス:
- sudo ufw allow from 203.0.113.4
追加することにより、IPアドレスが接続を許可される特定のポートを指定することもできます to any port
その後にポート番号が続きます。 たとえば、許可したい場合 203.0.113.4
ポートに接続する 22
(SSH)、次のコマンドを使用します:
- sudo ufw allow from 203.0.113.4 to any port 22
サブネット
IPアドレスのサブネットを許可する場合は、CIDR表記を使用してネットマスクを指定できます。 たとえば、次の範囲のすべてのIPアドレスを許可する場合 203.0.113.1
に 203.0.113.254
次のコマンドを使用できます。
- sudo ufw allow from 203.0.113.0/24
同様に、サブネットが宛先ポートを指定することもできます 203.0.113.0/24
に接続できます。 ここでも、ポートを使用します 22
(SSH)例として:
- sudo ufw allow from 203.0.113.0/24 to any port 22
特定のネットワークインターフェイスへの接続
特定のネットワークインターフェイスにのみ適用されるファイアウォールルールを作成する場合は、「allow in on」に続けてネットワークインターフェイスの名前を指定することで、作成できます。
続行する前に、ネットワークインターフェイスを検索することをお勧めします。 これを行うには、次のコマンドを使用します。
- ip addr
Output Excerpt2: eth0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast state
. . .
3: eth1: <BROADCAST,MULTICAST> mtu 1500 qdisc noop state DOWN group default
. . .
強調表示された出力は、ネットワークインターフェイス名を示しています。 それらは通常、次のような名前が付けられます eth0
また enp3s2
.
したがって、サーバーに次のようなパブリックネットワークインターフェイスがある場合 eth0
、HTTPトラフィックを許可できます(ポート 80
)このコマンドでそれに:
- sudo ufw allow in on eth0 to any port 80
そうすることで、サーバーがパブリックインターネットからHTTPリクエストを受信できるようになります。
または、MySQLデータベースサーバー(ポート 3306
)プライベートネットワークインターフェイスで接続をリッスンする eth1
たとえば、次のコマンドを使用できます。
- sudo ufw allow in on eth1 to any port 3306
これにより、プライベートネットワーク上の他のサーバーがMySQLデータベースに接続できるようになります。
ステップ6—接続を拒否する
着信接続のデフォルトポリシーを変更していない場合、UFWはすべての着信接続を拒否するように設定されています。 一般に、これにより、特定のポートとIPアドレスの通過を明示的に許可するルールを作成する必要があるため、安全なファイアウォールポリシーを作成するプロセスが簡素化されます。
ただし、サーバーがそこから攻撃されていることがわかっている場合など、送信元IPアドレスまたはサブネットに基づいて特定の接続を拒否したい場合があります。 また、デフォルトの着信ポリシーを allow に変更する場合(これは推奨されません)、使用しないサービスまたはIPアドレスに対してdenyルールを作成する必要があります。の接続を許可したい。
deny ルールを作成するには、上記のコマンドを使用して、allowをdenyに置き換えます。
たとえば、HTTP接続を拒否するには、次のコマンドを使用できます。
- sudo ufw deny http
または、からのすべての接続を拒否する場合 203.0.113.4
次のコマンドを使用できます。
- sudo ufw deny from 203.0.113.4
次に、ルールを削除する方法を見てみましょう。
ステップ7—ルールを削除する
ファイアウォールルールを削除する方法を知ることは、それらを作成する方法を知ることと同じくらい重要です。 削除するルールを指定するには、ルール番号または実際のルールの2つの方法があります(ルールが作成されたときに指定された方法と同様です)。 ルール番号による削除メソッドの方が簡単なので、まず始めます。
ルール番号別
ルール番号を使用してファイアウォールルールを削除している場合、最初に実行したいのは、ファイアウォールルールのリストを取得することです。 次に示すように、UFW statusコマンドには、各ルールの横に番号を表示するオプションがあります。
- sudo ufw status numbered
Numbered Output:Status: active
To Action From
-- ------ ----
[ 1] 22 ALLOW IN 15.15.15.0/24
[ 2] 80 ALLOW IN Anywhere
ポート80(HTTP)接続を許可するルール2を削除することにした場合は、次のようにUFWdeleteコマンドで指定できます。
- sudo ufw delete 2
これにより、確認プロンプトが表示され、HTTP接続を許可するルール2が削除されます。 IPv6を有効にしている場合は、対応するIPv6ルールも削除する必要があることに注意してください。
実際のルールによる
ルール番号の代わりに、削除する実際のルールを指定することもできます。 たとえば、を削除したい場合 allow http
ルール、あなたはそれをこのように書くことができます:
- sudo ufw delete allow http
次の方法でルールを指定することもできます allow 80
、サービス名の代わりに:
- sudo ufw delete allow 80
このメソッドは、IPv4ルールとIPv6ルールの両方が存在する場合はそれらを削除します。
ステップ8—UFWステータスとルールの確認
次のコマンドを使用して、いつでもUFWのステータスを確認できます。
- sudo ufw status verbose
UFWが無効になっている場合(デフォルトでは無効)、次のように表示されます。
OutputStatus: inactive
UFWがアクティブな場合(手順3に従った場合)、出力にはアクティブであることが示され、設定されているルールが一覧表示されます。 たとえば、ファイアウォールがSSH(ポート)を許可するように設定されている場合 22
)どこからでも接続すると、出力は次のようになります。
OutputStatus: active
Logging: on (low)
Default: deny (incoming), allow (outgoing), disabled (routed)
New profiles: skip
To Action From
-- ------ ----
22/tcp ALLOW IN Anywhere
使用 status
UFWがファイアウォールをどのように構成したかを確認したい場合はコマンド。
ステップ9— UFWの無効化またはリセット(オプション)
UFWを使用したくない場合は、次のコマンドで無効にできます。
- sudo ufw disable
UFWで作成したルールはアクティブではなくなります。 いつでも実行できます sudo ufw enable
後でアクティブ化する必要がある場合。
すでにUFWルールを設定しているが、最初からやり直すことにした場合は、resetコマンドを使用できます。
- sudo ufw reset
これにより、UFWが無効になり、以前に定義されたルールがすべて削除されます。 いずれかの時点でデフォルトのポリシーを変更しても、デフォルトのポリシーは元の設定に変更されないことに注意してください。 これにより、UFWを新たに始めることができます。
結論
これで、ファイアウォールは(少なくとも)SSH接続を許可するように構成されました。 サーバーが機能し、安全になるように、不要な接続を制限しながら、サーバーが必要とするその他の着信接続を必ず許可してください。
より一般的なUFW構成については、 UFW Essentials:Common Firewall Rules andCommandsチュートリアルをご覧ください。