Лёгкае кіраванне фаерволам на Linux-серверах з UFW (2026)

UFW на Linux-серверах — гэта зручны інструмент для кіравання фаерволам, які спрашчае складанасць iptables і дазваляе хутка і бяспечна адкрываць доступ да SSH, HTTP, HTTPS і спецыяльных портаў. Асабліва на Ubuntu і Debian-серверах з UFW можна па змаўчанні заблакаваць увесь ўваходны трафік, дазволіць толькі патрэбныя сэрвісы, вызначыць дазволы для канкрэтных IP і абмежаваць няўдалыя спробы падключэння. Для стартавай бяспекі рэкамендуецца: забяспечыць SSH доступ, адмовіць па змаўчанні ўваходны трафік, дазволіць выходны, адкрыць толькі патрэбныя порты і рэгулярна правяраць статус UFW.

Як толькі ваш сервер адкрываецца ў Інтэрнэце, ён адразу сутыкаецца з бот-сканаваннем, спробы ўзлому пароля, пошукам уразлівасцей і непатрэбнымі запытамі да портаў. Таму фаервол — першы пласт абароны Linux-сервера. UFW — практычны выбар для штодзённай працы тэхнічнай каманды: каманды простыя і чытэльныя, даданне/выдаленне правілаў — імгненнае, ёсць лагаванне, а рызыка памылкі ў параўнанні з iptables значна меншая. У гэтым гайдзе вы знойдзеце: ўстаноўку UFW, асновы каманд, абарону SSH, адкрыццё web-портаў, IP-дазволы, лагаванне, IPv6, Docker і актуальныя практыкі бяспекі на 2026 год.

Што такое UFW і як ён працуе?

UFW — скарачэнне ад Uncomplicated Firewall, у перакладзе — "просты фаервол". Ён выкарыстоўвае пакетны фільтр ядра Linux, але прапануе адміністратару больш зразумелыя каманды. Замест складаных iptables-правілаў можна проста ўвесці sudo ufw allow 443/tcp, каб адкрыць HTTPS.

UFW асабліва карысны ў наступных сітуацыях:

• Хутка забяспечыць базавую абарону для толькі што ўсталяванага VPS або выдзеленага сервера.
• Дазволіць web-трафік толькі на 80 і 443 портах.
• Абмежаваць SSH доступ для канкрэтных IP-адрасоў.
• Зменшыць спробы brute-force на SSH з дапамогай абмежавання падключэнняў.
• Не адкрываць тэставыя, staging і адміністрацыйныя панэлі для ўсіх.
• Аналізаваць падазроныя падключэнні праз лагі.

UFW не вырашае ўсе праблемы бяспекі, але памяншае паверхню атак. У спалучэнні з моцнымі паролямі, доступам па SSH-ключах, рэгулярнымі абнаўленнямі, SSL/TLS і бяспекай web-праграм ён стварае эфектыўны фундамент. Калі вы размяшчаеце сайт, не забывайце пра SSL-сертыфікат разам з фаерволам Сертыфікаты SSL.

UFW, iptables і firewalld: параўнанне

Для кіравання фаерволам у Linux ёсць некалькі інструментаў: UFW, iptables і firewalld. Яны вырашаюць адны і тыя ж задачы, але адрозніваюцца па зручнасці, падтрымцы дыстрыбутываў і падыходу да кіравання. Вось табліца для выбару:

Калі вы працуеце з Ubuntu-серверам для web-праектаў, UFW закрывае большасць патрэбаў. У буйных карпаратыўных сетках або з шматузроўневай бяспекай, UFW выкарыстоўваецца разам з cloud security-group, WAF, IDS/IPS і цэнтральным логаваннем.

Устаноўка UFW і базавыя праверкі

На Ubuntu UFW часта ўжо ўсталяваны. Каб праверыць, увядзіце: sudo ufw status. Калі атрымліваеце "command not found" — усталюйце UFW.

Устаноўка на Ubuntu і Debian

Абнавіце спіс пакетаў: sudo apt update. Усталюйце UFW: sudo apt install ufw -y. Праверце статус: sudo systemctl status ufw. Калі неактыўны — гэта нармальна, пакуль правілы не ўключаны.

Галоўнае правіла — не спяшацца. Калі вы на аддаленым VPS, пераканайцеся, што SSH-порт адкрыты перад актывацыяй UFW. Інакш можна страціць доступ. Калі вы карыстаецеся VPS праз Hostragons, запішыце доступ да панэлі і кансолі перад першай настройкай VPS сервер.

Прагляд статусу

Для падрабязнага статусу — sudo ufw status verbose. Для нумараванага спісу — sudo ufw status numbered. Гэта зручна для выдалення правілаў: напрыклад, каб выдаліць порт, паглядзіце яго нумар і ўвядзіце sudo ufw delete 3.

Бяспечны старт: стандартныя правілы

На новым Linux-серверы лепшая практыка — заблакаваць усе ўваходныя падключэнні, дазволіць выходныя і адкрыць толькі неабходныя порты. Гэта адпавядае прынцыпу мінімальных правоў.

Асноўныя каманды:

• sudo ufw default deny incoming
• sudo ufw default allow outgoing
• sudo ufw allow OpenSSH або sudo ufw allow 22/tcp
• sudo ufw enable
• sudo ufw status verbose

Галоўнае — SSH. Калі SSH працуе не на стандартным порце (напрыклад, 2222), не актывуйце UFW, пакуль не дазволіце гэты порт. Замена стандартнага порта 22 не дае поўнай бяспекі, але памяншае аўтаматычныя атакі. Нашмат важней — адключыць парольны ўваход і выкарыстоўваць SSH-ключы.

Як забяспечыць бяспеку SSH

SSH — галоўная дзверы для кіравання серверам. Тут патрэбна асаблівая ўвага ў настройках UFW. Калі SSH адкрыты для ўсіх IP, аўтаматычныя сканеры хутка пачнуць атакі.

Дазвол для SSH-порта

Калі порт стандартны, проста: sudo ufw allow 22/tcp. Для Ubuntu можна sudo ufw allow OpenSSH. Для нестандартнага порта (2222): sudo ufw allow 2222/tcp.

Абмежаванне SSH па IP-адрасе

Самы бяспечны спосаб — адкрыць SSH толькі для фіксаваных адміністрацыйных IP. Напрыклад, офісны IP 203.0.113.10: sudo ufw allow from 203.0.113.10 to any port 22 proto tcp. SSH не будзе даступны ўсім.

Калі адміністратары некалькі, дадавайце правіла для кожнага IP. Калі IP дынамічны, ацэньвайце рызыку — пры змене IP страціце доступ. Для такіх выпадкаў лепш выкарыстоўваць VPN, bastion-host або панэль пастаўшчыка для аварыйнай кансолі.

Абмежаванне brute-force атакаў

UFW мае каманду для ліміта: sudo ufw limit 22/tcp. Гэта абмяжуе частыя спробы падключэння. Але fail2ban — больш эфектыўны для складаных атак. Для production: UFW limit, fail2ban, SSH-ключы і моцныя карыстальніцкія палітыкі разам.

Адкрыццё web-портаў: HTTP і HTTPS

Для запуску сайта патрэбныя порты 80/tcp (HTTP) і 443/tcp (HTTPS). HTTPS — стандарт для бяспекі, SEO і даверу. Без SSL-сертыфіката сайт губляе давер і трафік Сертыфікаты SSL.

Базавыя правілы для Nginx і Apache

HTTP: sudo ufw allow 80/tcp. HTTPS: sudo ufw allow 443/tcp. Лепш пісаць асобна — так зручней для кіравання.

У UFW ёсць профілі для web-сервераў. Для Nginx: sudo ufw app list паказвае профілі. Nginx Full адкрывае і HTTP, і HTTPS. Для Apache — Apache Full.

Ці дастаткова толькі HTTPS?

Тэхнічна сайт можа працаваць толькі праз HTTPS. Але для аўтаматычнага абнаўлення сертыфікатаў (Let’s Encrypt) і перанакіравання з HTTP на HTTPS патрэбен порт 80. Рэкамендуецца адкрываць абодва і, на ўзроўні праграмы, перанакіроўваць HTTP-запыты на HTTPS.

Спецыяльныя порты, базы даных і панэлі кіравання

Адкрыць порт — лёгка, але сапраўдная экспертыза — ведаць, якія порты не адкрываць. MySQL (3306), PostgreSQL (5432), Redis (6379), Elasticsearch (9200) — адкрытыя для Інтэрнэту, яны ствараюць сур’ёзную рызыку. Па магчымасці, гэтыя сэрвісы павінны працаваць толькі на localhost або ўнутранай сетцы.

Адкрыццё спецыяльных портаў толькі для канкрэтнага IP

Калі ваша праграмная серверная павінна падключацца да базы, выкарыстоўвайце IP-правіла: sudo ufw allow from 198.51.100.25 to any port 5432 proto tcp (PostgreSQL). Гэта адкрые доступ толькі для паказанага IP.

Памылка — sudo ufw allow 5432/tcp на production, бо адкрывае порт усім. Для баз і панэляў заўсёды рабіце абмежаванне па IP.

cPanel, Plesk і іншыя панэлі

Хостынг-панэлі (Plesk, cPanel) выкарыстоўваюць шмат портаў — не актывуйце UFW без праверкі афіцыйнага спісу. Інакш можаце страціць доступ да пошты, DNS, FTP і самой панэлі. Для кіраванага хостынгу звычайна гэта робіць пастаўшчык Вэб-хостынг.

Выдаленне, рэдагаванне і парадак правілаў

Кіраванне правіламі UFW простае — але ў production вядзіце журнал змен. Спачатку праглядзіце нумараваныя правілы (sudo ufw status numbered), знайдзіце патрэбны і выдаліце (sudo ufw delete 5).

Можна выдаляць па выражэнні, напрыклад sudo ufw delete allow 8080/tcp. Але для складаных IP-правілаў нумараванае выдаленне больш бяспечнае.

Парадак правілаў важны, калі разам выкарыстоўваюцца allow і deny. Дадаваць deny перад allow можна праз insert: sudo ufw insert 1 deny from 203.0.113.55 — заблакуе IP на першым месцы. Гэта зручна для аператыўнага блакавання шкодных IP.

Сачэнне за трафікам праз лагі UFW

Фаервол — гэта не толькі адкрыццё/закрыццё портаў, але і разуменне сеткавай актыўнасці. Уключыць лагі: sudo ufw logging on. Узровень лагавання: low, medium, high, full. Для большасці сервераў — low.

Лагі ў /var/log/ufw.log. Для прагляду: sudo tail -f /var/log/ufw.log. Тут бачны заблакаваныя падключэнні, крыніца IP, порт і пратакол. Калі за кароткі час шмат IP спрабуюць порт 22 — варта ўзмацніць абарону SSH.

Пастаяннае лагаванне на высокім узроўні — павялічвае выкарыстанне дыска. Для загружаных сервераў варта ўключыць лаг-рэцыркуляцыю, цэнтральнае логаванне і алерты. У карпаратыўных праектах важна не проста захоўваць, а аналізаваць лагі.

UFW і IPv6

З 2026 года падтрымка IPv6 — стандарт для дата-цэнтраў. Некаторыя адміністратары забяспечваюць толькі IPv4, пакідаючы "дзіркі" ў бяспецы. Калі сервер мае IPv6, пераканайцеся, што UFW кіруе і гэтым трафікам.

У /etc/default/ufw павінна быць IPV6=yes. Пасля змены — перазапусціце UFW: sudo ufw disable, sudo ufw enable. Калі ў статусе UFW бачыце v6-правілы — IPv6 кіруецца.

Калі IPv6 не выкарыстоўваецца — не спяшайцеся адключаць, спачатку праверце патрэбы пастаўшчыка і праграм. Няправільная настройка можа пакінуць сэрвіс адкрытым праз IPv6, хаця ён закрыты для IPv4 — частая і небяспечная памылка.

UFW і Docker: асаблівыя нюансы

Docker пры публікацыі портаў змяняе iptables напрамую. Для UFW гэта можа быць нечакана: порт, закрыты ў UFW, можа быць адкрыты праз Docker. Напрыклад, docker run -p 8080:80 адкрывае порт 80 на хосте як 8080.

Калі на серверы ёсць Docker:

• Праверце вынік docker ps — якія порты адкрыты.
• Выдаліце непатрэбныя -p і ports.
• Разглядайце працу сэрвісаў толькі на 127.0.0.1.
• Адначасова правярайце cloud security group і UFW-правілы.
• У production выкарыстоўвайце reverse proxy для кантролю доступу.

У кантэйнерных архітэктурах бяспека — гэта не толькі UFW, але і Docker-сеткі, абарона іміджаў, кіраванне сакрэтамі і стратэгія абнаўлення. Для вялікіх праектаў таксама важны правільны выбар сервера Выдзелены Сервер.

Практичная чэк-ліст для запуску UFW

Гэты чэк-ліст — стандарт для стартавай бяспекі новага Linux-сервера. Перад публікацыяй web-праекта, API, e-commerce ці кліенцкай панэлі праверце кожны пункт, каб мінімізаваць рызыкі:

• Абнавіце сервер: sudo apt update && sudo apt upgrade -y.
• Праверце SSH і, па магчымасці, адкрыйце другі тэрмінал.
• Заблакуйце ўваходны трафік: sudo ufw default deny incoming.
• Дазвольце выходны: sudo ufw default allow outgoing.
• Дазвольце SSH-порт або абмежаванне па IP.
• Адкрывайце толькі 80 і 443 для web.
• Не адкрывайце базы даных для ўсіх.
• Актывуйце UFW: sudo ufw enable.
• Праверце правілы: sudo ufw status verbose і sudo ufw status numbered.
• Уключыце лагаванне і прааналізуйце трафік у першыя 24 гадзіны.
• Праверце IPv6-правілы.
• Калі ёсць Docker або панэль — пратэстуйце ўплыў дадатковых портаў.

Рэальны прыклад: UFW для WordPress-сервера

Уявім, што WordPress працуе на Ubuntu з Nginx, PHP-FPM і MySQL. MySQL слухае толькі localhost, сайт — толькі HTTPS, SSH — толькі для IP адміністратара. UFW-канфігурацыя:

• sudo ufw default deny incoming
• sudo ufw default allow outgoing
• sudo ufw allow from 203.0.113.10 to any port 22 proto tcp
• sudo ufw allow 80/tcp
• sudo ufw allow 443/tcp
• sudo ufw logging on
• sudo ufw enable
• sudo ufw status verbose

SSH закрыты для ўсіх, web-трафік адкрыты толькі на патрэбных портах, база даных недаступна звонку. Для WordPress: бяспечныя плагіны, моцны пароль, абнаўленні, бэкапы і SSL дадаюць дадатковы пласт. Не забывайце пра правільную настройку дамена і DNS праверка дамена.

Тыповыя памылкі і рашэнні

Пасля актывацыі UFW страцілі SSH доступ

Гэта здараецца, калі не дазволены SSH-порт перад актывацыяй. Калі ёсць доступ праз панэль пастаўшчыка — падключыцеся і дадайце sudo ufw allow 22/tcp або ваш спецыяльны порт. Калі кансолі няма — звяртайцеся ў падтрымку. Памятайце: заўсёды дадавайце SSH-правіла перад актывацыяй UFW.

Сайт не адкрываецца

Хаця Nginx або Apache працуе, калі порты 80 і 443 закрыты — доступу няма. Праверце sudo ufw status verbose. Праверце, ці web-сервер слухае правільны порт (ss -tulpn). Правільная настройка DNS таксама важна кіраванне DNS.

Праблемы з поштавай службай

Пошта (SMTP, IMAP, POP3) патрабуе некалькі портаў: 25, 465, 587, 993, 995. Калі карыстаецеся mail-хостынгам, гэтыя порты адкрываць не трэба хостынг карпаратыўнай электроннай пошты.

Правіла дададзена, але не працуе

Магчыма: няправільны пратакол, порт, Docker, cloud security group або прыкладанне слухае іншы порт. UFW кіруе сеткавым фільтрам, але калі сэрвіс не працуе — порт адкрыты, а доступу няма. Правярайце firewall, статус сэрвісу і сеткавыя правілы пастаўшчыка разам.

Лепшыя практыкі UFW для 2026 года

Сучасная бяспека — гэта не проста закрыццё некалькіх портаў. У 2026 добры UFW павінен падтрымлівацца наступнымі прынцыпамі:

• Мінімальныя правы: адкрывайце толькі неабходныя порты.
• Бяспека аўтэнтыфікацыі: доступ па SSH-ключах.
• IP-абмежаванне: адміністрацыйныя порты — толькі для фіксаваных IP або праз VPN.
• Назіральнасць: рэгулярна аналізуйце UFW-лагі і сістэмныя лагі.
• План Б: аварыйны доступ да кансолі або працэдура аднаўлення на выпадак памылкі у firewall.
• Шматузроўневая абарона: UFW + WAF, SSL, абнаўленні, бэкапы, бяспека web-праграм.
• Дакументацыя: запісвайце, чаму і як дададзена кожнае правіла.

Фаервол, правільна настроены, — аснова надзейнага хостынгу. Па меры росту праекта, трэба планіраваць не толькі порт-правілы, але і рэсурсы, бэкапы, CDN, SSL і маніторынг Пакеты хостынгу.

Частыя пытанні

Ці гарантуе актывацыя UFW поўную бяспеку?

Не. UFW памяншае паверхню атак і закрывае непатрэбныя порты, але гэтага недастаткова. Абнаўленні, SSH-ключы, моцныя паролі, SSL, бэкапы і web-бяспека — абавязкова разам.

Ці дастаткова адкрыць толькі 80 і 443?

Для web-сайта звычайна толькі 80 і 443. Але для кіравання патрэбны SSH (22 або ваш спецыяльны порт). Базы даных і панэлі лепш адкрываць толькі для патрэбных IP.

Ці павялічвае бяспеку змена SSH-порта?

Змена порта памяншае аўтаматычныя атакі, але не дае сапраўднай абароны. Бяспека — гэта SSH-ключы, адключэнне пароляў, IP-абмежаванне, UFW limit і fail2ban.

Ці кіруе UFW портамі Docker-кантэйнераў?

Не заўсёды. Docker можа змяняць iptables наўпрост. Правярайце docker ps, адкрытыя порты і UFW-правілы разам.

Ці трэба правяраць настройкі IPv6 пры выкарыстанні UFW?

Так. Калі сервер мае IPv6, пераканайцеся, што UFW кіруе і гэтым трафікам. У /etc/default/ufw павінна быць IPV6=yes, а статус UFW — v6-правілы.

Падсумоўваючы: з UFW на Linux-серверах кіраванне фаерволам становіцца хуткім, чытэльным і эфектыўным. Дакладныя стартовыя правілы, бяспека SSH, кантроль web-портаў і аналіз лагу значна памяншаюць рызыкі атак. Калі пачынаеце новы праект — плануйце бяспечную інфраструктуру, SSL і рэгулярную падтрымку для стабільнага росту. Падбярыце патрэбную платформу з Hostragons, і развівайце абарону па меры росту вашых патрэб.