Enkel firewall-administration med UFW på Linux-servere (2026-guide)

UFW på Linux-servere gør det nemt at styre firewall-regler for SSH, HTTP, HTTPS og egne porte, uden at rode med komplekse iptables-konfigurationer. Især på Ubuntu og Debian kan du med UFW hurtigt lukke for al indgående trafik som udgangspunkt, åbne nødvendige services, tillade bestemte IP-adresser og begrænse fejlslagne forsøg. Den anbefalede tilgang for en sikker start er: Sørg for SSH-adgang, blokér standard-indgående trafik, tillad udgående trafik, åbn kun de brugte serviceporte, og kontroller UFW-status jævnligt.

En webserver, der er tilgængelig på nettet, bliver straks scannet af bots, udsat for brute force-forsøg, sårbarhedsscannere og unødvendige port-forespørgsler. Netop derfor er firewall det første og vigtigste lag i Linux-serverens sikkerhed. UFW er populær blandt teknikere til daglig drift, da kommandoerne er lette at læse, regler kan tilføjes og fjernes hurtigt, logning er indbygget, og risikoen for fejlkonfiguration er mindre end ved iptables. I denne guide får du trin-for-trin instruktioner om installation af UFW, grundlæggende kommandoer, undgå SSH-lockout, åbne webporte, IP-baserede tilladelser, log-kontrol, IPv6, Docker-specialer og best practices for 2026.

Hvad er UFW, og hvorfor bruges det?

UFW står for Uncomplicated Firewall – på dansk: "Den ukomplicerede firewall". Den bruger Linux-kernens pakke-filtreringssystem i baggrunden, men tilbyder administratoren simple kommandoer. I stedet for at skrive iptables- eller nftables-regler direkte, kan du fx tillade HTTPS-trafik med sudo ufw allow 443/tcp.

UFW er især nyttig i følgende situationer:

• At sikre grundlæggende netværkssikkerhed på en ny VPS eller dedikeret server.
• Kun at holde port 80 og 443 åbne på webserveren.
• Begrænse SSH-adgang til bestemte IP-adresser.
• Minimere brute force-angreb via SSH med rate-limiting.
• Undgå at test-, staging- og adminpaneler er åbne for hele internettet.
• Overvåge mistænkelig trafik via firewall-logs.

UFW løser ikke alle sikkerhedsproblemer alene, men reducerer angrebsfladen markant. Bruger du stærke adgangskoder, SSH-nøgler, løbende opdateringer, SSL/TLS og applikationssikkerhed sammen med UFW, får du et stærkt fundament. Driver du en hjemmeside, bør du altid kombinere firewall med SSL-certifikat SSL certifikater.

UFW, iptables og firewalld – sammenligning

Der findes flere firewall-værktøjer i Linux-miljøet. UFW, iptables og firewalld dækker ofte samme behov, men adskiller sig i brugervenlighed, distributions-understøttelse og administrativ tilgang. Tabellen her gør det nemmere at vælge:

Styrer du en Ubuntu-baseret webserver, er UFW typisk tilstrækkeligt. I store enterprise-miljøer eller lagdelte sikkerhedsarkitekturer bør UFW kombineres med cloud security groups, WAF, IDS/IPS og central logning.

Installation og første kontrol af UFW

UFW er ofte preinstalleret på Ubuntu. Tjek først om det er installeret: sudo ufw status. Hvis du får "command not found", må du installere det.

Installation på Ubuntu og Debian

Opdater pakker: sudo apt update. Installer UFW: sudo apt install ufw -y. Tjek servicen: sudo systemctl status ufw. Det er normalt, hvis UFW ikke er aktiv endnu; reglerne skal aktiveres først.

Tag dig tid – især hvis du arbejder på en fjern VPS. Sørg for at tillade SSH-porten, før du aktiverer UFW, ellers risikerer du at miste adgangen. Bruger du Hostragons VPS, så notér panel-adgang og konsol-muligheder før første sikkerhedskonfiguration VPS server.

Se nuværende status

Se status med sudo ufw status verbose. For en nummereret liste af regler: sudo ufw status numbered. Det er praktisk, når du skal slette en regel – find nummeret og fjern fx sudo ufw delete 3.

Sikker start: Standardregler

På en ny Linux-server er det sikreste udgangspunkt: nægt indgående trafik, tillad udgående trafik, åbn kun nødvendige porte. Det følger principle of least privilege.

Typiske grundkommandoer:

• sudo ufw default deny incoming
• sudo ufw default allow outgoing
• sudo ufw allow OpenSSH eller sudo ufw allow 22/tcp
• sudo ufw enable
• sudo ufw status verbose

SSH-adgangen er kritisk. Hvis du bruger en anden port, fx 2222, skal du sudo ufw allow 2222/tcp før aktivering. At skifte fra standard-porten 22 reducerer ikke risikoen markant, men kan nedsætte automatiserede bot-angreb. Det vigtigste: brug SSH-nøgler frem for adgangskoder.

Sikring af SSH-adgang

SSH er serverens hoveddør – her skal du være ekstra omhyggelig med UFW-konfigurationen. Er SSH åben for alle IP-adresser, vil bots hurtigt forsøge brute force-angreb.

Tillad adgang til SSH-porten

Standard: sudo ufw allow 22/tcp. Eller, hvis OpenSSH-profilen er tilgængelig: sudo ufw allow OpenSSH. For alternative porte: sudo ufw allow 2222/tcp osv.

Begræns SSH-adgang til bestemte IP-adresser

En af de sikreste metoder: kun tillad SSH fra faste admin-IP'er. Fx, hvis dit kontor har IP 203.0.113.10: sudo ufw allow from 203.0.113.10 to any port 22 proto tcp. Så er SSH ikke åben for alle.

Flere admins? Tilføj én regel pr. IP. Bruger du dynamisk IP, vær opmærksom – adgang kan mistes ved IP-skift. Alternativer: VPN, bastion host eller udbyder-panel til nødkonsol-adgang.

Rate-limiting mod brute force-angreb

UFW har en limit-funktion: sudo ufw limit 22/tcp. Det begrænser antallet af forbindelser inden for en bestemt tidsramme. Dog, fail2ban eller lignende anbefales som supplement. I produktion bør du kombinere UFW limit, fail2ban, SSH-nøgler og stærke brugerpolitikker.

Åbn webporte: HTTP og HTTPS

For at hoste en hjemmeside skal port 80/tcp (HTTP) og 443/tcp (HTTPS) være åbne. HTTPS er nu standard for SEO, browser-sikkerhed og brugerens tillid. Uden SSL-certifikat får din side advarsler og lavere konvertering SSL certifikater.

Regler til Nginx og Apache

HTTP: sudo ufw allow 80/tcp. HTTPS: sudo ufw allow 443/tcp. Det er mest overskueligt at skrive dem enkeltvist.

UFW har applikations-profiler. Tjek med sudo ufw app list. Nginx Full tillader både HTTP og HTTPS: sudo ufw allow "Nginx Full". Apache Full gør det samme.

Er kun HTTPS nok?

Teknisk kan du hoste kun via HTTPS, men fx Let’s Encrypt kræver port 80 til certifikat-fornyelse, og HTTP-til-HTTPS-redirects. Derfor er det bedst at holde begge porte åbne og håndtere redirects med 301 på applikationsniveau.

Egnes porte, databaser og kontrolpaneler

Det er let at åbne en port – men det kræver ekspertise at vide hvilke porte, der aldrig bør åbnes. Fx MySQL (3306), PostgreSQL (5432), Redis (6379), Elasticsearch (9200): de bør aldrig være åbne mod internettet. Brug kun localhost eller private netværk.

Åbn port for bestemt IP

Hvis kun din applikationsserver skal tilgå databasen: sudo ufw allow from 198.51.100.25 to any port 5432 proto tcp. Det åbner PostgreSQL kun for denne IP.

En dårlig praksis er sudo ufw allow 5432/tcp på produktionsdatabaser. Det skaber en stor angrebsflade. Begræns altid adgang til interne services og adminpaneler via IP.

cPanel, Plesk og adminpaneler

Hosting-paneler bruger mange porte. Kontroller den officielle portliste før du aktiverer UFW, ellers risikerer du tab af mail, DNS, FTP eller panel-adgang. Har du managed hosting, håndteres dette ofte af udbyderen Webhosting.

Slet, rediger og rækkefølge af regler

UFW-regler er lette at styre, men i produktionsmiljøer bør du logge ændringer. Først: sudo ufw status numbered. Find reglenummer og slet fx sudo ufw delete 5.

Du kan også slette direkte med regeltekst: sudo ufw delete allow 8080/tcp. Ved komplekse IP-regler er det dog mere sikkert at bruge nummerering.

Reglernes rækkefølge er vigtig, især når allow og deny blandes. Brug insert til at placere regler. Fx, for at blokere en IP øverst: sudo ufw insert 1 deny from 203.0.113.55. Det er nyttigt til hurtigt at lukke for misbrug eller angreb.

Overvåg trafik med UFW logs

Firewallen handler ikke kun om at åbne/lukke porte, men også om at forstå netværksadfærd. Tænd logs med sudo ufw logging on. Logniveauet kan sættes til low, medium, high eller full – low passer til de fleste.

Logs findes i /var/log/ufw.log. Se dem med sudo tail -f /var/log/ufw.log. Her ser du afviste forbindelser, kilde-IP'er, port og protokol. Hvis du ser mange SSH-forsøg fra mange IP'er, bør du stramme SSH-sikkerheden.

Logning på højt niveau kan fylde disken op. Overvej log-rotation, central logning og alerts på travle servere. Enterprise-projekter kræver ikke bare logning, men meningsfuld overvågning.

IPv6 og UFW

Fra 2026 er IPv6 standard i mange datacentre. Nogle administratorer glemmer dog at styre IPv6-regler, hvilket kan give åbne huller. Har din server IPv6-adresse, sørg for at UFW også styrer IPv6-trafik.

Tjek /etc/default/ufw for linjen IPV6=yes. Genstart UFW efter ændring: sudo ufw disable og sudo ufw enable. Hvis du ser v6-regler i UFW-status, styres IPv6.

Bruger du ikke IPv6, så tjek altid udbyderens og applikationens krav først. En fejlkonfigureret IPv6 kan betyde, at en tjeneste er lukket på IPv4 men åben på IPv6 – et overset sikkerhedsproblem.

Hvorfor opfører Docker sig anderledes med UFW?

Docker ændrer iptables direkte, når porte publiceres. Det betyder, at en port, der ser lukket ud i UFW, alligevel kan være åben via Docker-run. Fx docker run -p 8080:80 eksponerer containerens port 80 på hostens 8080.

På Docker-servere bør du:

• Undersøge docker ps for åbne porte.
• Fjerne unødvendige -p/ports-definitioner.
• Kun eksponere services på 127.0.0.1, hvis muligt.
• Kontrollere cloud security groups og UFW sammen.
• Bruge reverse proxy for sikker produktionseksponering.

Container-sikkerhed kræver mere end UFW-kommandoer: Docker-netværk, image-sikkerhed, secrets-management og opdateringer skal planlægges samlet. Til højt-load applikationer er det vigtigt at vælge den rette server for både sikkerhed og performance Dedikeret server.

Praktisk sikkerhedstjekliste til UFW

Brug denne tjekliste til en ny Linux-server – især hvis du skal lancere webprojekt, API, webshop eller kundepanel. Det minimerer nedetid og sikkerhedsrisiko:

• Opdater serveren: sudo apt update && sudo apt upgrade -y.
• Test SSH-adgang og hold gerne en ekstra terminal åben.
• Nægt standard-indgående: sudo ufw default deny incoming.
• Tillad standard-udgående: sudo ufw default allow outgoing.
• Tillad SSH-port eller IP-baseret begrænsning.
• Åbn kun port 80 og 443 for webtrafik.
• Åbn ikke databaseporte mod internettet.
• Aktivér UFW: sudo ufw enable.
• Verificér regler: sudo ufw status verbose og sudo ufw status numbered.
• Tænd logning og tjek mistænkelig trafik de første 24 timer.
• Gennemgå IPv6-regler.
• Test effekten af ekstra porte hvis du bruger Docker eller adminpaneler.

Eksempel: UFW-opsætning for WordPress-server

Forestil dig en WordPress-side på Ubuntu med Nginx, PHP-FPM og MySQL. MySQL lytter kun på localhost, siden kører via HTTPS, og SSH er kun åben for admin-IP. Konfigurationen kunne være:

• sudo ufw default deny incoming
• sudo ufw default allow outgoing
• sudo ufw allow from 203.0.113.10 to any port 22 proto tcp
• sudo ufw allow 80/tcp
• sudo ufw allow 443/tcp
• sudo ufw logging on
• sudo ufw enable
• sudo ufw status verbose

SSH er ikke åben for alle, kun webtrafik tillades, og databasen er lukket for eksterne forbindelser. WordPress bør suppleres med sikkerhedsplugins, stærk admin-adgang, opdaterede temaer/plugins, backup og SSL – så har du et solidt fundament. Korrekt domæne- og DNS-indstilling er også vigtigt for tilgængelighed Domæneforespørgsel.

Typiske fejl og løsninger

SSH-adgang mistet efter UFW-aktivering

Dette sker ofte, hvis SSH-porten ikke er tilladt før UFW aktiveres. Har du panel-adgang, brug konsol til at tilføje sudo ufw allow 22/tcp eller din specialport. Ingen konsol? Kontakt support. Tilføj altid SSH-regel før aktiv UFW.

Websiden kan ikke åbnes

Selv om Nginx eller Apache kører, kan websiden ikke tilgås hvis port 80/443 er lukket. Tjek med sudo ufw status verbose. Brug ss -tulpn for at se hvilke porte webserveren lytter på. Tjek også DNS-indstillinger DNS Administration.

Mailservices virker ikke

Mailservere bruger flere porte: SMTP, IMAP, POP3 og sikre versioner (25, 465, 587, 993, 995 osv.). Har du hosted mail, skal du ikke nødvendigvis åbne disse porte lokalt Virksomheds e-mail hosting.

Regel tilføjet, men ingen effekt

Skyldes ofte forkert protokol, port, Docker-effekt, cloud security group eller appen lytter på en anden port. UFW styrer netværkslaget – hvis appen ikke kører, hjælper det ikke at porten er åben. Tjek firewall, service-status og udbyder-netværk sammen.

Bedste UFW-praksis for 2026

Moderne server-sikkerhed handler om mere end at lukke porte. En god UFW-konfiguration i 2026 bør bygge på disse principper:

• Least privilege: Åbn kun nødvendige porte.
• Stærk autentificering: Brug SSH-nøgler.
• IP-begrænsning: Læg admin-porte bag faste IP’er eller VPN.
• Overvågning: Tjek UFW- og systemlogs regelmæssigt.
• Backup-plan: Hav konsol- eller recovery-adgang ved fejlregler.
• Lagdelte sikkerhed: Kombinér UFW med WAF, SSL, opdateringer, backups og app security.
• Dokumentation: Log hvorfor hver regel er tilføjet.

En velkonfigureret firewall er et vigtigt supplement til et driftssikkert hosting-miljø. Når dit projekt vokser, skal du ikke kun tænke på portregler, men også ressourceforbrug, backup, CDN, SSL og monitorering Hostingpakker.

Ofte stillede spørgsmål

Er min server helt sikker, hvis jeg aktiverer UFW?

Nej. UFW reducerer angrebsfladen og lukker unødvendige porte, men er ikke nok alene. Brug altid opdateringer, SSH-nøgler, stærke adgangskoder, SSL, backup og app-sikkerhed sammen med UFW.

Er det nok kun at åbne port 80 og 443 med UFW?

Til en hjemmeside: ja, men husk også at åbne SSH-porten (22 eller custom) sikkert. Database- og adminporte bør begrænses med IP-regler.

Øger det sikkerheden at ændre SSH-porten?

Det mindsker automatiske bots, men er ikke en stærk sikkerhedsforanstaltning. Bedre: Brug SSH-nøgler, deaktiver password login, IP-begrænsning og UFW limit/fail2ban.

Styrer UFW Docker-containere?

Ikke altid som forventet. Docker ændrer iptables direkte, så en port kan være åben selv om UFW siger lukket. Tjek docker ps, publicerede porte og UFW-regler sammen.

Skal jeg kontrollere IPv6-indstillinger ved brug af UFW?

Ja. Har din server IPv6, skal du sikre at UFW styrer IPv6-trafik. Tjek /etc/default/ufw for IPV6=yes, og se om v6-regler vises i UFW-status.

Opsummeret: UFW gør firewall-administration på Linux-servere enkel, overskuelig og effektiv. Med gode startregler, SSH-sikring, kontrollerede webporte og logovervågning kan du markant reducere serverens angrebsflade. Skal du lancere et nyt projekt, bør du planlægge sikker hosting, SSL og løbende vedligehold som en samlet strategi. Vælg din hostingløsning hos Hostragons, og tilpas sikkerheden løbende efter projektets behov.