UFW: Jednostavno Upravljanje Firewallom na Linux Serverima za Web Hosting

UFW na Linux serverima pojednostavljuje kompleksna iptables pravila i omogućava brzu, sigurnu kontrolu firewall-a za SSH, HTTP, HTTPS i specifične portove. Posebno na Ubuntu i Debian serverima, UFW možete koristiti da zatvorite sav dolazni promet po defaultu, otvorite samo potrebne servise, dozvolite pristup određenim IP adresama i ograničite grešne pokušaje. Preporučena strategija za osnovnu sigurnost je: osigurajte SSH pristup, po defaultu odbijte dolazni promet, dozvolite odlazni promet, otvorite samo portove koje zaista koristite i redovno provjeravajte status UFW-a.

Čim web server postane dostupan na internetu, suočava se sa botovima, pokušajima pogađanja lozinki, skenerima ranjivosti i nepotrebnim upitima na portove. Zato je firewall jedan od prvih slojeva sigurnosti na Linux serverima. UFW je popularan među tehničkim timovima jer koristi razumljive naredbe, omogućava brzo dodavanje i brisanje pravila, ima logging i smanjuje rizik od pogrešnog konfiguriranja u odnosu na iptables. U ovom vodiču obrađujemo UFW instalaciju, osnovne komande, sprječavanje zaključavanja SSH-a, portove za web server, IP-based dozvole, logove, IPv6, Docker posebnosti i najbolje sigurnosne prakse prema standardima za 2026.

Šta je UFW i čemu služi?

UFW znači Uncomplicated Firewall – jednostavan firewall alat. Koristi Linux kernelovu infrastrukturu za filtriranje paketa, ali administratorima nudi lakše razumljive naredbe. Recimo, umjesto direktnog pisanja iptables ili nftables pravila, za dopuštanje HTTPS prometa možete upisati: sudo ufw allow 443/tcp.

UFW je posebno koristan u ovim scenarijima:

• Brzo postavljanje osnovne mrežne sigurnosti na novom VPS ili dedicated serveru.
• Održavanje otvorenih samo 80 i 443 portova na web serveru.
• Ograničavanje SSH pristupa na određene IP adrese.
• Limitiranje SSH konekcija radi smanjenja brute force pokušaja.
• Zaštita testnih, staging ili admin panela od potpunog izlaganja internetu.
• Praćenje sumnjivih konekcija kroz logove.

UFW neće riješiti sve sigurnosne probleme, ali značajno smanjuje površinu napada. U kombinaciji sa snažnim lozinkama, SSH ključevima, redovnim update-ima, SSL/TLS konfiguracijom i sigurnošću aplikacija, UFW čini odličan osnovni sloj. Kod hostanja web stranica, firewall treba koristiti zajedno sa SSL certifikatima radi maksimalne zaštite SSL certifikati.

UFW, iptables i firewalld: Komparacija

Za upravljanje firewallom na Linuxu postoje razni alati: UFW, iptables i firewalld često rješavaju isti problem, ali se razlikuju po jednostavnosti korištenja, podršci i pristupu administraciji. Tablica u nastavku pomaže pri izboru:

Ako upravljate Ubuntu-based web serverom, UFW je dovoljan za većinu potreba. U velikim korporativnim mrežama ili složenim sigurnosnim arhitekturama, UFW treba koristiti uz cloud sigurnosne grupe, WAF, IDS/IPS i centralno logiranje.

Instalacija UFW-a i početne provjere

UFW je često već instaliran na Ubuntu-u. Početna provjera: sudo ufw status. Ako dobijete "command not found", potrebno je instalirati UFW.

Instalacija na Ubuntu i Debian

Prvo osvježite pakete: sudo apt update. Zatim instalirajte UFW: sudo apt install ufw -y. Provjerite status servisa: sudo systemctl status ufw. Ako nije aktivan, to je normalno – UFW ostaje pasivan dok ne aktivirate pravila.

Prvo pravilo upravljanja serverom je: ne žurite. Ako radite na udaljenom VPS-u, prije aktiviranja UFW-a, provjerite da ste dozvolili SSH port. U suprotnom možete izgubiti pristup serveru. Ako koristite VPS preko Hostragons-a, zabilježite panel i konzolne pristupne opcije prije početnog konfiguriranja sigurnosti VPS server.

Pregled trenutnog statusa

Za provjeru statusa UFW-a: sudo ufw status verbose. Za detaljniju listu sa brojevima pravila: sudo ufw status numbered. Ovo je korisno pri brisanju pravila – npr. da uklonite greškom otvoren port, prvo pronađite broj, pa sudo ufw delete 3.

Siguran početak: Standardna pravila

Najsigurnija polazna tačka na novom Linux serveru je: odbijte sav dolazni promet, dozvolite odlazni promet, otvorite samo neophodne portove. Ovaj pristup je po principu minimalnih privilegija.

Osnovne naredbe:

• sudo ufw default deny incoming
• sudo ufw default allow outgoing
• sudo ufw allow OpenSSH ili sudo ufw allow 22/tcp
• sudo ufw enable
• sudo ufw status verbose

Ključna stvar je SSH pristup. Ako SSH radi na posebnom portu (npr. 2222), obavezno upišite sudo ufw allow 2222/tcp prije aktiviranja UFW-a. Promjena standardnog porta (22) smanjuje automatske bot pokušaje, ali nije dovoljna sama po sebi – daleko važnije je koristiti SSH ključeve i onemogućiti lozinke.

Sigurnost SSH pristupa

SSH je administrativni ulaz u vaš server; zato je najvažniji dio UFW konfiguracije. Ako je SSH otvoren za sve IP adrese, automatski skeneri će brzo početi napade.

Dozvoljavanje SSH porta

Za standardni port: sudo ufw allow 22/tcp. Ako je profil OpenSSH dostupan: sudo ufw allow OpenSSH. Za custom port, npr. 2222: sudo ufw allow 2222/tcp.

Ograničavanje SSH pristupa na određeni IP

Najsigurnije je otvoriti SSH samo za administrativne IP adrese. Ako je vaša kancelarijska IP 203.0.113.10, upišite: sudo ufw allow from 203.0.113.10 to any port 22 proto tcp. Tako SSH port nije otvoren za cijeli internet.

Za više administratora, dodajte pravilo za svaki IP. Ako imate dinamički IP, budite oprezni – promjena IP-a može uzrokovati gubitak pristupa. U tom slučaju, razmislite o VPN-u, bastion host-u ili hitnom pristupu preko panel konzole.

Limitiranje brute force pokušaja

Za smanjenje učestalih pokušaja pristupa, UFW ima limit opciju: sudo ufw limit 22/tcp. Ovo ograničava broj konekcija u periodu. Ipak, fail2ban je naprednije rješenje. U produkciji, koristite kombinaciju UFW limit-a, fail2ban-a, SSH ključeva i snažnih korisničkih politika.

Otvaranje portova za web server: HTTP i HTTPS

Za hosting web stranice, potrebno je otvoriti 80/tcp (HTTP) i 443/tcp (HTTPS). HTTPS je danas standard – SSL certifikat je obavezan radi SEO, browser sigurnosti i povjerenja korisnika. Stranice bez SSL-a mogu izgubiti posjetitelje i konverzije SSL certifikati.

Osnovna pravila za Nginx ili Apache

Za HTTP: sudo ufw allow 80/tcp. Za HTTPS: sudo ufw allow 443/tcp. Većina administratora preferira da piše odvojeno, radi preglednosti.

Možete koristiti i aplikacijske profile. Za Nginx: sudo ufw app list pokazuje profile; sudo ufw allow Nginx Full dozvoljava i HTTP i HTTPS. Za Apache: sudo ufw allow Apache Full.

Da li je dovoljno otvoriti samo HTTPS?

Tehnički, stranica može raditi isključivo na HTTPS-u, ali zbog procesa obnove SSL certifikata (Let’s Encrypt) i preusmjeravanja HTTP na HTTPS, često je neophodno da 80 port bude otvoren. Najbolja praksa je da sve HTTP zahtjeve automatski preusmjerite na HTTPS (301 redirect).

Posebni portovi, baze podataka i admin paneli

Otvaranje portova je jednostavno; prava stručnost je znati koje portove NE treba otvarati. MySQL (3306), PostgreSQL (5432), Redis (6379), Elasticsearch (9200) – ako su ovi portovi dostupni internetu, server je izložen ozbiljnom riziku. Ove servise treba ograničiti na localhost ili privatnu mrežu.

Otvaranje portova za određeni IP

Recimo, aplikacijski server treba pristupiti bazi na drugom serveru – koristite IP-based pravilo: sudo ufw allow from 198.51.100.25 to any port 5432 proto tcp. Tako PostgreSQL port je otvoren samo za navedeni IP.

Loš primjer: sudo ufw allow 5432/tcp na produkcijskoj bazi – nepotrebno izlaže server napadima. Za baze, admin panele i unutarnje servise, uvijek razmislite o IP ograničenju.

cPanel, Plesk i admin paneli: Posebni zahtjevi

Hosting kontrolni paneli koriste više portova. Prije aktiviranja UFW-a, provjerite službenu listu portova za Plesk, cPanel ili vaš panel. U suprotnom, može doći do prekida emaila, DNS-a, FTP-a ili pristupa panelu. Kod managed hostinga, provajder obično rješava ovu složenost Web Hosting.

Brisanje, uređivanje i sortiranje pravila

UFW olakšava upravljanje pravilima, ali u produkciji je važno voditi evidenciju. Prvo, pregledajte pravila sa brojevima: sudo ufw status numbered. Pronađite broj pravila koje želite obrisati i upišite sudo ufw delete 5.

Možete brisati i direktno po izrazu: sudo ufw delete allow 8080/tcp uklanja pravilo za port 8080. Za kompleksna IP pravila, brisanje po broju je sigurnije.

Redoslijed pravila je bitan kad kombinujete allow i deny pravila. Da biste npr. blokirali određeni IP prije generalnog dopuštanja, koristite insert: sudo ufw insert 1 deny from 203.0.113.55. Ovo je praktično za brzu blokadu napadača.

Praćenje prometa kroz UFW logove

Firewall nije samo za otvaranje/zatvaranje portova, već i za razumijevanje mrežnog ponašanja. Logging se aktivira: sudo ufw logging on. Log level može biti low, medium, high ili full – za većinu servera low je dovoljno.

Logove pratite u /var/log/ufw.log: sudo tail -f /var/log/ufw.log. Tu vidite odbijene konekcije, izvorne IP adrese, portove i protokole. Ako u kratkom periodu vidite stotine pokušaja na port 22, pojačajte SSH zaštitu.

Visok log level može povećati potrošnju diska. Kod servera sa puno prometa, razmislite o log rotaciji, centralnom logiranju ili alarmima. U poslovnim projektima, važno je ne samo skladištiti logove, nego ih i analizirati.

UFW i IPv6

Od 2026, IPv6 je standard u većini data centara. Neki administratori zaborave na IPv6, ostavljajući sigurnosne rupe. Ako vaš server ima IPv6 adresu, provjerite da UFW upravlja i IPv6 prometom.

U /etc/default/ufw datoteci, provjerite IPV6=yes. Nakon promjena, restartajte UFW: sudo ufw disable, pa sudo ufw enable. UFW status treba pokazivati v6 pravila.

Ne koristite IPv6? Ne isključujte ga napamet – prvo provjerite zahtjeve provajdera i aplikacija. Loša IPv6 konfiguracija može dozvoliti pristup servisima koje ste zatvorili na IPv4. Ovo je česta i nevidljiva sigurnosna greška.

Zašto Docker ponekad zaobilazi UFW?

Docker pri objavljivanju portova direktno mijenja iptables pravila. Tako port koji je UFW-om zatvoren može biti dostupan zbog Docker publish opcije. Npr. docker run -p 8080:80 objavljuje port 80 iz kontejnera na hostu kao 8080.

Na serverima s Dockerom provjerite:

• Koje portove ste objavili (docker ps).
• Uklonite nepotrebne -p ili ports definicije.
• Razmislite da servise objavljujete samo na 127.0.0.1.
• Provjerite cloud sigurnosne grupe i UFW pravila zajedno.
• Za produkciju koristite reverse proxy za kontrolirano objavljivanje.

Sigurnost u kontejner arhitekturi nije samo set UFW komandi – Docker mreže, sigurnost image-a, upravljanje tajnama i update strategija moraju biti dio plana. Za visokotrafične aplikacije, izbor servera je važan za sigurnost i performanse Dedikovani Server.

Praktična sigurnosna checklista za UFW

Ova lista je standard za novi Linux server, posebno prije objave web projekta, API-a, e-trgovine ili korisničkog panela. Provjerite ove stavke da smanjite rizik od prekida i sigurnosnih propusta:

• Update servera: sudo apt update && sudo apt upgrade -y.
• Testirajte SSH pristup; otvorite drugi terminal kao backup.
• Odbijte sav dolazni promet: sudo ufw default deny incoming.
• Dozvolite odlazni promet: sudo ufw default allow outgoing.
• Dozvolite SSH port ili IP-based ograničenje.
• Otvorite samo 80 i 443 za web server.
• Ne otvarajte baze podataka prema internetu.
• Aktivirajte UFW: sudo ufw enable.
• Provjerite pravila: sudo ufw status verbose i sudo ufw status numbered.
• Aktivirajte logging i pratite sumnjiv promet u prvih 24h.
• Pregledajte IPv6 pravila.
• Testirajte dodatne portove ako koristite Docker ili panel.

Praktičan primjer: UFW konfiguracija za WordPress server

Zamislite WordPress site na Ubuntu serveru s Nginx, PHP-FPM i MySQL; MySQL sluša samo na localhostu, stranica je HTTPS, a SSH je dostupan samo sa admin IP-a. UFW konfiguracija u ovom slučaju:

• sudo ufw default deny incoming
• sudo ufw default allow outgoing
• sudo ufw allow from 203.0.113.10 to any port 22 proto tcp
• sudo ufw allow 80/tcp
• sudo ufw allow 443/tcp
• sudo ufw logging on
• sudo ufw enable
• sudo ufw status verbose

SSH nije otvoren za sve, web portovi su dostupni, baza je zatvorena. Uz WordPress sigurnosne dodatke, snažnu admin lozinku, ažurne teme i pluginove, redovne backup-e i SSL, imate čvrst temelj sigurnosti. Pravilna domena i DNS konfiguracija su također bitni za dostupnost Provjera domene.

Najčešće greške i rješenja

SSH veza je prekinuta nakon aktivacije UFW-a

Ovo se dešava ako ne dozvolite SSH port prije aktivacije UFW-a. Ako imate konzolni pristup preko panel-a, spojite se i dodajte sudo ufw allow 22/tcp ili vaš custom port. Ako nemate konzolu, kontaktirajte podršku. Pravilo: uvijek prvo dozvolite SSH prije aktivacije UFW-a.

Web stranica nije dostupna

Nginx ili Apache mogu raditi, ali ako su portovi 80 i 443 zatvoreni, sajt neće biti dostupan. Provjerite portove: sudo ufw status verbose. Također, provjerite koji port server sluša: ss -tulpn. Provjerite i DNS zapis upravljanje DNS-om.

Mail servisi ne rade

Email serveri koriste više portova: SMTP, IMAP, POP3 i njihove sigurnije varijante (25, 465, 587, 993, 995). Ako koristite mail hosting, možda ne trebate otvarati te portove korporativni e-pošta hosting.

Pravilo nije imalo efekta

Uzrok može biti pogrešan protokol, port, Docker, cloud firewall ili aplikacija sluša na drugom portu. UFW kontroliše mrežni sloj; ako aplikacija ne radi, otvoreni port ne pomaže. Provjerite firewall, status servisa i cloud pravila zajedno.

Najbolje sigurnosne prakse za UFW u 2026.

Savremena sigurnost servera je više od zatvaranja nekoliko portova. Dobro postavljen UFW za 2026. treba biti podržan ovim principima:

• Minimalne privilegije: Otvorite samo portove koji su stvarno potrebni.
• Sigurna autentifikacija: SSH pristup putem ključeva.
• IP ograničenja: Admin portove zaštitite statičkim IP-om ili VPN-om.
• Praćenje: Redovno pregledajte UFW i sistemske logove.
• Backup plan: Držite backup pristup ili proceduru za spašavanje od pogrešnog firewall pravila.
• Višeslojna sigurnost: Kombinujte UFW sa WAF-om, SSL-om, redovnim update-ima, backup-om i sigurnošću aplikacija.
• Dokumentacija: Svako pravilo treba biti zabilježeno i objašnjeno unutar tima.

Dobro konfigurisan firewall je ključna komponenta stabilnog i pouzdanog hosting-a. Kako vaš projekat raste, planirajte i optimizaciju resursa, backup, CDN, SSL i monitoring Hosting paketi.

Često postavljana pitanja

Da li aktivacija UFW-a čini server potpuno sigurnim?

Ne. UFW smanjuje površinu napada zatvaranjem nepotrebnih portova, ali nije dovoljan sam za sebe. Potrebni su i update-i, SSH ključevi, snažne lozinke, SSL, backup-i i sigurnost aplikacija.

Je li dovoljno otvoriti samo 80 i 443 portove?

Za web stranicu, obično su 80 i 443 dovoljni. Za administraciju, morate sigurno otvoriti SSH port (22 ili custom). Portove za bazu i admin panel treba ograničiti na IP.

Pomaže li promjena SSH porta?

Promjena SSH porta smanjuje automatske napade, ali nije prava sigurnosna mjera. Bolje je koristiti SSH ključeve, onemogućiti lozinke, ograničiti IP, koristiti UFW limit i fail2ban.

Da li UFW kontroliše Docker kontejnere?

Ne uvijek. Docker direktno mijenja iptables – portovi mogu biti dostupni iako su UFW-om zatvoreni. Provjerite docker ps, objavljene portove i UFW pravila zajedno.

Treba li provjeriti IPv6 postavke kod UFW-a?

Da. Ako server ima IPv6 adresu, provjerite da UFW upravlja i IPv6 prometom. U /etc/default/ufw mora biti IPV6=yes, a status treba pokazivati v6 pravila.

Zaključno: UFW omogućava efikasno, pregledno i brzo upravljanje firewallom na Linux serverima. Pravilno postavljena početna pravila, sigurnost SSH-a, kontrolisano otvaranje web portova i praćenje logova značajno smanjuju rizik. Za nove projekte, planirajte sigurnu hosting infrastrukturu, SSL i redovno održavanje – to će dugoročno donijeti najbolje rezultate. Za optimalan hosting i sigurnosne opcije, pregledajte Hostragons ponudu i gradite sigurnost korak po korak prema rastu vašeg projekta.