مدیریت آسان فایروال با UFW در سرورهای لینوکسی

در سرورهای لینوکسی، ابزار UFW با ساده‌سازی قوانین پیچیده iptables، مدیریت فایروال را برای سرویس‌هایی مانند SSH، HTTP، HTTPS و پورت‌های اختصاصی به شکل سریع و امن امکان‌پذیر می‌کند. به‌خصوص در سرورهای مبتنی بر اوبونتو و دبیان، با UFW می‌توانید به‌صورت پیش‌فرض ترافیک ورودی را مسدود کرده، سرویس‌های ضروری را باز کنید، دسترسی برخی آدرس‌های IP را محدود نمایید و تلاش‌های ناموفق ورود را کنترل کنید. رویکرد پیشنهادی برای شروع ایمن چنین است: دسترسی SSH را تضمین کنید، ترافیک ورودی پیش‌فرض را رد کنید، اجازه خروجی‌ها را بدهید، فقط پورت‌های سرویس‌های مورد استفاده را باز نگه دارید و وضعیت UFW را به صورت منظم بررسی کنید.

زمانی که یک وب‌سرور به اینترنت متصل می‌شود، در معرض اسکن‌های خودکار بات‌ها، تلاش‌های ورود غیرمجاز، اسکن‌های آسیب‌پذیری و پرس‌وجوهای غیرضروری پورت‌ها قرار می‌گیرد. بنابراین فایروال یکی از لایه‌های ابتدایی امنیت سرورهای لینوکسی است. UFW ابزاری کاربردی است که تیم‌های فنی روزانه از آن استفاده می‌کنند؛ زیرا دستورات آن قابل فهم‌تر هستند، افزودن و حذف قوانین سریع صورت می‌گیرد، گزارش‌گیری ارائه می‌دهد و نسبت به دستورات iptables ریسک پیکربندی اشتباه کمتر است. در این راهنما نصب UFW، دستورات پایه، جلوگیری از قفل شدن SSH، مدیریت پورت‌های وب‌سرور، مجوزهای مبتنی بر IP، بررسی لاگ‌ها، تنظیمات IPv6، موارد خاصی مانند Docker و بهترین شیوه‌های امنیتی مطابق استانداردهای ۲۰۲۶ به‌صورت گام‌به‌گام بررسی خواهند شد.

UFW چیست و چه کاربردی دارد؟

UFW مخفف عبارت Uncomplicated Firewall به معنی «فایروال ساده» است. این ابزار زیرساخت فیلترینگ بسته‌های هسته لینوکس را به کار می‌گیرد اما دستورات ساده‌تری برای مدیر سیستم ارائه می‌دهد. به‌عنوان مثال، به جای نوشتن مستقیم قوانین iptables یا nftables، می‌توانید با دستور sudo ufw allow 443/tcp اجازه ترافیک HTTPS را صادر کنید.

UFW به‌ویژه در موارد زیر مفید است:

• ایجاد امنیت شبکه پایه به‌سرعت در سرورهای VPS یا اختصاصی تازه راه‌اندازی شده.
• باز نگه داشتن فقط پورت‌های ۸۰ و ۴۴۳ در وب‌سرور.
• محدود کردن دسترسی SSH تنها به آدرس‌های IP مشخص.
• کاهش تلاش‌های ورود غیرمجاز (Brute Force) با محدود کردن اتصالات SSH.
• عدم باز گذاشتن کامل پنل‌های تست، استیجینگ و مدیریت به اینترنت.
• پیگیری اتصالات مشکوک از طریق لاگ‌ها.

UFW به تنهایی تمام مشکلات امنیتی را حل نمی‌کند اما سطح حمله را کاهش می‌دهد. در کنار رمزهای عبور قوی، دسترسی با کلید SSH، به‌روزرسانی منظم، پیکربندی SSL/TLS و امنیت برنامه‌ها، یک لایه پایه بسیار موثر فراهم می‌آورد. اگر روی سرورتان وب‌سایتی میزبانی می‌کنید، استفاده از گواهی SSL همراه با فایروال را فراموش نکنید گواهی‌نامه‌های SSL.

مقایسه UFW، iptables و firewalld

در اکوسیستم لینوکس ابزارهای مختلفی برای مدیریت فایروال وجود دارد. UFW، iptables و firewalld اغلب برای نیازهای مشابه به کار می‌روند اما از نظر سهولت استفاده، پشتیبانی توزیع و رویکرد مدیریت تفاوت دارند. جدول زیر انتخاب را ساده می‌کند.

اگر سرور وب مبتنی بر اوبونتو دارید، UFW برای اکثر نیازها کافی است. در شبکه‌های سازمانی بزرگ یا معماری‌های امنیتی چندلایه، UFW باید همراه با گروه‌های امنیتی ابری، WAF، IDS/IPS و راهکارهای گزارش‌گیری مرکزی به کار رود.

نصب UFW و بررسی اولیه

به‌طور پیش‌فرض UFW معمولاً روی اوبونتو نصب است. با این حال، ابتدا چک کنید. دستور زیر وضعیت آن را نشان می‌دهد: sudo ufw status. اگر پیغام «command not found» دریافت کردید، لازم است نصب کنید.

نصب روی اوبونتو و دبیان

ابتدا فهرست بسته‌ها را به‌روزرسانی کنید: sudo apt update. سپس UFW را نصب کنید: sudo apt install ufw -y. پس از نصب، وضعیت سرویس را بررسی کنید: sudo systemctl status ufw. حتی اگر فعال نشان داده نشود، طبیعی است؛ تا زمانی که قوانین فعال نشوند، فایروال غیرفعال است.

اولین قانون در مدیریت سرور، عجله نکردن است. اگر روی VPS راه دور کار می‌کنید، قبل از فعال کردن UFW مطمئن شوید که اجازه دسترسی به پورت SSH را داده‌اید؛ در غیر این صورت اتصال به سرور قطع می‌شود. در صورتی که VPS خود را از Hostragons تهیه کرده‌اید، پیش از اعمال تنظیمات امنیتی، دسترسی به پنل و گزینه‌های کنسول را یادداشت کنید سرور VPS.

مشاهده وضعیت فعلی

برای مشاهده وضعیت فعلی UFW دستور sudo ufw status verbose را اجرا کنید. برای دیدن فهرست قوانین با شماره‌بندی که حذف آسان‌تر شود، از sudo ufw status numbered استفاده نمایید. هنگام حذف قانون، شماره آن کمک بزرگی است؛ مثلاً برای حذف یک پورت اشتباه باز شده، ابتدا شماره آن را می‌بینید و سپس با sudo ufw delete 3 حذف می‌کنید.

شروع امن: قوانین پیش‌فرض

در یک سرور لینوکسی تازه، مدل امن شروع معمولاً چنین است: ترافیک ورودی پیش‌فرض را رد کن، ترافیک خروجی را مجاز کن، فقط پورت‌های ضروری باز باشند. این رویکرد مطابق اصل حداقل امتیازدهی است.

دستورات پایه:

• sudo ufw default deny incoming
• sudo ufw default allow outgoing
• sudo ufw allow OpenSSH یا sudo ufw allow 22/tcp
• sudo ufw enable
• sudo ufw status verbose

نکته کلیدی، تضمین دسترسی SSH است. اگر SSH روی پورتی غیر از ۲۲ اجرا می‌شود، مثلاً ۲۲۲۲، قبل از فعال کردن UFW دستور sudo ufw allow 2222/tcp را اجرا کنید. تغییر پورت SSH به‌تنهایی امنیت کافی ایجاد نمی‌کند اما تلاش‌های خودکار رباط‌ها را کاهش می‌دهد. مهم‌تر از همه، غیرفعال کردن ورود با رمز عبور و استفاده از کلیدهای SSH است.

ایمن‌سازی دسترسی SSH

SSH دروازه مدیریت سرور است و در پیکربندی UFW باید با دقت خاصی مدنظر قرار گیرد. اگر SSH به همه آدرس‌های IP باز باشد، اسکنرهای خودکار به سرعت شروع به تست ورود به سرور شما می‌کنند.

صدور مجوز برای پورت SSH

اگر از پورت پیش‌فرض استفاده می‌کنید، دستور ساده است: sudo ufw allow 22/tcp. اگر پروفایل برنامه OpenSSH روی اوبونتو موجود است، می‌توانید از sudo ufw allow OpenSSH استفاده کنید. در صورت پورت متفاوت مانند ۲۲۲۲، دستور sudo ufw allow 2222/tcp لازم است.

محدود کردن دسترسی SSH به IP خاص

یکی از ایمن‌ترین روش‌ها، باز کردن دسترسی SSH فقط برای آدرس‌های IP ثابت مدیران است. مثلاً اگر IP دفتر شما 203.0.113.10 است، دستور زیر را اجرا کنید: sudo ufw allow from 203.0.113.10 to any port 22 proto tcp. به این ترتیب پورت SSH به صورت عمومی بسته می‌ماند.

اگر چند مدیر دارید، برای هر IP قانون جداگانه اضافه کنید. در صورت استفاده از IP دینامیک، این روش ممکن است مشکلاتی ایجاد کند؛ تغییر IP دسترسی را قطع می‌کند. در چنین مواردی مدیریت از طریق VPN، Bastion Host یا دسترسی کنسول از پنل ارائه‌دهنده راهکارهای بهتری هستند.

محدودیت تلاش‌های Brute Force

UFW با دستور limit می‌تواند تعداد تلاش‌های اتصال مکرر را کاهش دهد. مثال: sudo ufw limit 22/tcp. این قانون از تعداد زیاد تلاش‌های ورودی در بازه زمانی کوتاه جلوگیری می‌کند اما جایگزین ابزارهای تخصصی مانند fail2ban نیست. در محیط‌های عملیاتی، ترکیب UFW limit، fail2ban، دسترسی کلید SSH و سیاست‌های قوی کاربران توصیه می‌شود.

باز کردن پورت‌های وب‌سرور: HTTP و HTTPS

برای راه‌اندازی وب‌سایت معمولاً پورت‌های ۸۰/tcp و ۴۴۳/tcp لازم است. پورت ۸۰ مربوط به HTTP و پورت ۴۴۳ مربوط به HTTPS است. با توجه به اهمیت سئو، امنیت مرورگر و اعتماد کاربران، HTTPS به استاندارد تبدیل شده است. سایت‌های فاقد گواهی SSL علاوه بر هشدارهای امنیتی، افت نرخ تبدیل را نیز تجربه می‌کنند گواهی‌نامه‌های SSL.

قوانین پایه برای Nginx یا Apache

برای HTTP: sudo ufw allow 80/tcp و برای HTTPS: sudo ufw allow 443/tcp. بسیاری از مدیران ترجیح می‌دهند این دو دستور را جداگانه بنویسند تا خوانایی بیشتر شود، به جای اینکه از sudo ufw allow 80,443/tcp استفاده کنند.

پروفایل‌های برنامه UFW نیز قابل استفاده هستند. با دستور sudo ufw app list می‌توانید فهرست پروفایل‌ها را ببینید. مثلاً پروفایل Nginx Full دسترسی به هر دو HTTP و HTTPS را می‌دهد: sudo ufw allow 'Nginx Full'. در Apache نیز پروفایل مشابهی وجود دارد.

آیا فقط استفاده از HTTPS کافی است؟

به لحاظ فنی می‌توانید فقط HTTPS فعال کنید؛ اما در اغلب موارد، برای فرایندهای تمدید گواهی مثل Let’s Encrypt و همچنین هدایت کاربران از HTTP به HTTPS، باز بودن پورت ۸۰ ضروری است. بنابراین مدیریت همزمان پورت‌های ۸۰ و ۴۴۳ در وب‌سرورها عملی‌تر است. بهترین روش، هدایت تمام درخواست‌های HTTP به HTTPS با کد ۳۰۱ در سطح برنامه است.

پورت‌های اختصاصی، پایگاه داده و پنل‌های مدیریت

باز کردن همه پورت‌ها آسان است اما تخصص واقعی در تشخیص پورت‌هایی است که نباید باز شوند. پورت‌هایی مانند ۳۳۰۶ برای MySQL، ۵۴۳۲ برای PostgreSQL، ۶۳۷۹ برای Redis و ۹۲۰۰ برای Elasticsearch اگر روی اینترنت باز باشند، خطرناک هستند. بهتر است این سرویس‌ها فقط روی localhost گوش دهند یا دسترسی آنها محدود به شبکه خصوصی باشد.

باز کردن پورت خاص برای یک IP مشخص

اگر می‌خواهید فقط سرور برنامه به پایگاه داده دسترسی داشته باشد، باید قانون مبتنی بر IP تنظیم کنید. مثلاً: sudo ufw allow from 198.51.100.25 to any port 5432 proto tcp. این قانون دسترسی PostgreSQL را فقط به آن IP می‌دهد.

مثال اشتباه، استفاده از sudo ufw allow 5432/tcp بدون محدودیت در پایگاه داده تولیدی است که سطح حمله غیرضروری ایجاد می‌کند. همیشه برای سرورهای پایگاه داده، پنل‌ها و سرویس‌های داخلی محدودیت IP در نظر بگیرید.

نکات مهم در پنل‌های cPanel، Plesk و مدیریت

کنترل پنل‌های میزبانی ممکن است چندین پورت مختلف استفاده کنند. اگر از Plesk، cPanel یا پنل اختصاصی استفاده می‌کنید، قبل از فعال‌سازی UFW فهرست پورت‌های رسمی را چک کنید؛ وگرنه ممکن است دسترسی ایمیل، DNS، FTP یا پنل قطع شود. برای کاربران سرویس میزبانی مدیریت‌شده، این پیچیدگی معمولاً توسط ارائه‌دهنده پوشش داده می‌شود هاستینگ وب.

حذف، ویرایش و ترتیب قوانین

مدیریت قوانین در UFW ساده است اما در محیط عملیاتی باید سوابق تغییرات را حفظ کنید. ابتدا قوانین موجود را با شماره ببینید: sudo ufw status numbered. شماره قانون مورد نظر را پیدا کرده و با دستور sudo ufw delete 5 آن را حذف کنید.

حذف مستقیم بر اساس عبارت قانون هم ممکن است. مثلاً sudo ufw delete allow 8080/tcp قانون باز کردن پورت ۸۰۸۰ را برمی‌دارد. اما برای قوانین پیچیده مبتنی بر IP، حذف شماره‌دار امن‌تر است.

ترتیب قوانین اهمیت دارد، به‌خصوص زمانی که قوانین allow و deny ترکیب می‌شوند. اگر می‌خواهید قانونی برای رد کردن یک IP خاص بالاتر از قوانین اجازه عمومی قرار دهید، می‌توانید از دستور insert استفاده کنید. مثلاً: sudo ufw insert 1 deny from 203.0.113.55 باعث می‌شود این IP خیلی سریع مسدود شود. این روش برای جلوگیری سریع از آدرس‌های مخرب بسیار کاربردی است.

نظارت بر ترافیک با لاگ‌های UFW

فایروال فقط برای باز و بسته کردن پورت نیست، بلکه برای درک رفتار شبکه نیز ارزشمند است. برای فعال کردن لاگ UFW از دستور sudo ufw logging on استفاده کنید. سطح لاگ می‌تواند low، medium، high یا full باشد. برای شروع، سطح low کافی است.

برای بررسی لاگ‌ها فایل /var/log/ufw.log را مشاهده کنید. دستور نمونه: sudo tail -f /var/log/ufw.log. در این فایل می‌توانید اتصالات رد شده، IP مبدا، پورت مقصد و پروتکل را ببینید. مثلاً اگر در مدت کوتاهی صدها IP مختلف به پورت ۲۲ متصل شده‌اند، باید اقدامات امنیتی SSH را تقویت کنید.

نگه داشتن لاگ با سطح بالا می‌تواند مصرف دیسک را افزایش دهد، پس در سرورهای پر ترافیک باید مکانیزم چرخش لاگ، گزارش‌گیری مرکزی و هشداردهی پیاده شود. در پروژه‌های سازمانی، ثبت لاگ کافی نیست و باید به‌صورت هدفمند نظارت شود.

تنظیمات IPv6 و UFW

از سال ۲۰۲۶ به بعد، پشتیبانی از IPv6 در بسیاری از دیتاسنترها به استاندارد تبدیل شده است. برخی مدیران فقط قوانین IPv4 را در نظر می‌گیرند و باعث ایجاد ضعف امنیتی می‌شوند. اگر سرورتان آدرس IPv6 دارد، باید مطمئن شوید UFW ترافیک IPv6 را نیز مدیریت می‌کند.

برای بررسی فایل /etc/default/ufw را باز کنید و مطمئن شوید خط IPV6=yes وجود دارد. پس از تغییر، UFW را با دستورات sudo ufw disable و سپس sudo ufw enable ریست کنید. اگر در خروجی ufw status قوانین با v6 مشاهده کردید، پشتیبانی IPv6 فعال است.

اگر IPv6 استفاده نمی‌کنید توصیه می‌شود قبل از غیرفعال کردن کامل، نیازهای ارائه‌دهنده و برنامه‌ها را بررسی کنید. پیکربندی نادرست IPv6 ممکن است سرویسی که در IPv4 بسته شده، از طریق IPv6 در دسترس باقی بماند؛ این مشکل شایع اما کمتر دیده شده است.

چرا رفتار UFW با Docker متفاوت است؟

داکر هنگام انتشار پورت‌های کانتینر، قوانین iptables را به‌طور مستقیم تغییر می‌دهد. این ممکن است برای مدیرانی که از UFW استفاده می‌کنند گیج‌کننده باشد؛ چرا که پورتی که در UFW بسته به نظر می‌رسد، به‌دلیل تنظیمات Docker قابل دسترسی است. مثلاً دستور docker run -p 8080:80 پورت ۸۰ کانتینر را روی پورت ۸۰۸۰ سرور باز می‌کند.

مواردی که باید در سرورهای داکر بررسی شود:

• بررسی پورت‌های باز شده با دستور docker ps.
• حذف تنظیمات غیرضروری -p یا ports.
• در نظر گرفتن انتشار سرویس‌ها فقط روی 127.0.0.1.
• بررسی همزمان قوانین UFW و گروه‌های امنیتی ابری.
• استفاده از reverse proxy برای مدیریت کنترل شده در محیط تولید.

امنیت در معماری کانتینری فقط محدود به دستورات UFW نیست؛ شبکه‌های Docker، امنیت ایمیج‌ها، مدیریت secret و استراتژی به‌روزرسانی باید به‌صورت جامع برنامه‌ریزی شوند. انتخاب سرور مناسب برای بارهای سنگین نیز به اندازه امنیت و عملکرد اهمیت دارد سرور اختصاصی.

چک‌لیست امنیتی کاربردی برای UFW

لیست زیر می‌تواند به‌عنوان استاندارد ابتدایی برای سرور لینوکسی تازه‌راه‌اندازی شده استفاده شود. پیش از انتشار پروژه وب، API، فروشگاه اینترنتی یا پنل مشتری، بررسی این موارد ریسک مشکلات و قطعی را کاهش می‌دهد.

• به‌روزرسانی سرور: sudo apt update && sudo apt upgrade -y.
• تست دسترسی SSH و در صورت امکان باز گذاشتن یک ترمینال دیگر.
• رد پیش‌فرض ترافیک ورودی: sudo ufw default deny incoming.
• اجازه پیش‌فرض ترافیک خروجی: sudo ufw default allow outgoing.
• صدور مجوز دسترسی SSH یا محدود کردن آن به IP مشخص.
• باز کردن فقط پورت‌های ۸۰ و ۴۴۳ برای وب‌سرور.
• نباز کردن پورت‌های پایگاه داده به اینترنت.
• فعال کردن UFW: sudo ufw enable.
• تایید قوانین با sudo ufw status verbose و sudo ufw status numbered.
• فعال کردن لاگ و بررسی ترافیک مشکوک در ۲۴ ساعت اول.
• بررسی و تایید قوانین IPv6.
• اگر از Docker یا پنل مدیریت استفاده می‌کنید، اثر پورت‌های اضافی را تست کنید.

مثال عملی: پیکربندی UFW برای سرور وردپرس

فرض کنیم یک سایت وردپرس روی اوبونتو با Nginx، PHP-FPM و MySQL اجرا می‌شود. MySQL فقط روی localhost گوش می‌کند، سایت از HTTPS استفاده می‌کند و دسترسی SSH فقط از IP مدیر مجاز است. پیکربندی UFW می‌تواند چنین باشد:

• sudo ufw default deny incoming
• sudo ufw default allow outgoing
• sudo ufw allow from 203.0.113.10 to any port 22 proto tcp
• sudo ufw allow 80/tcp
• sudo ufw allow 443/tcp
• sudo ufw logging on
• sudo ufw enable
• sudo ufw status verbose

در این پیکربندی، SSH به همه باز نیست، پورت‌های ضروری وب باز هستند و پایگاه داده از بیرون بسته است. در کنار افزونه‌های امنیتی وردپرس، رمزهای قوی، قالب و افزونه به‌روز، بکاپ منظم و SSL، پایه‌ای امن ساخته می‌شود. همچنین پیکربندی درست دامنه و DNS برای دسترسی اهمیت دارد بررسی دامنه.

اشتباهات رایج و راه‌حل‌ها

قطع شدن اتصال SSH پس از فعال‌سازی UFW

این معمولاً به دلیل فعال کردن UFW بدون اجازه دسترسی به پورت SSH اتفاق می‌افتد. اگر به کنسول ارائه‌دهنده دسترسی دارید، وارد شده و دستور sudo ufw allow 22/tcp یا پورت مورد نظر را اجرا کنید. در صورت عدم دسترسی، باید با پشتیبانی تماس بگیرید. همیشه قبل از فعال‌سازی UFW، قانون SSH را اضافه کنید.

وب‌سایت باز نمی‌شود

اگر Nginx یا Apache فعال است ولی پورت‌های ۸۰ و ۴۴۳ بسته باشند، سایت در دسترس نخواهد بود. با sudo ufw status verbose پورت‌ها را چک کنید. همچنین با دستور ss -tulpn مطمئن شوید وب‌سرور روی پورت‌های مورد نظر گوش می‌دهد. از صحت رکوردهای DNS نیز اطمینان حاصل کنید مدیریت DNS.

کار نکردن سرویس‌های ایمیل

سرورهای ایمیل برای SMTP، IMAP، POP3 و نسخه‌های امن آنها چندین پورت استفاده می‌کنند مانند ۲۵، ۴۶۵، ۵۸۷، ۹۹۳ و ۹۹۵. در صورت استفاده از سرویس میزبانی ایمیل، ممکن است نیازی به باز کردن این پورت‌ها روی سرور خود نداشته باشید هاستینگ ایمیل شرکتی.

افزودن قانون تاثیری نداشت

ممکن است پروتکل یا پورت اشتباه انتخاب شده باشد، اثر Docker یا گروه امنیتی ابری مانع شده باشد یا برنامه روی پورت دیگری گوش دهد. UFW فقط فیلترینگ شبکه را کنترل می‌کند؛ اگر برنامه اجرا نشود، حتی با باز بودن پورت، خدمت‌دهی نخواهد داشت. بنابراین فایروال، وضعیت سرویس و قوانین شبکه باید همزمان بررسی شوند.

بهترین شیوه‌های امنیتی UFW برای ۲۰۲۶

امنیت سرور به روز، فراتر از بستن چند پورت است. پیکربندی خوب UFW در سال ۲۰۲۶ باید بر اصول زیر استوار باشد:

• کمترین امتیاز: فقط پورت‌های ضروری باز باشند.
• احراز هویت قوی: استفاده از دسترسی مبتنی بر کلید SSH.
• محدودیت IP: پورت‌های مدیریتی فقط از IP ثابت یا VPN قابل دسترسی باشند.
• قابلیت رصد: لاگ‌های UFW و سیستم را به‌صورت منظم بررسی کنید.
• برنامه پشتیبان: در صورت اشتباه در قوانین، دسترسی کنسول یا روش بازیابی داشته باشید.
• امنیت چندلایه: ترکیب UFW با WAF، SSL، به‌روزرسانی، پشتیبان‌گیری و امنیت برنامه.
• مستندسازی: دلیل افزودن هر قانون را در تیم ثبت کنید.

یک فایروال به‌خوبی تنظیم شده بخش مکمل زیرساخت میزبانی پرسرعت و قابل اعتماد است. با رشد ترافیک پروژه، علاوه بر قوانین پورت، برنامه‌ریزی منابع، پشتیبان‌گیری، CDN، SSL و راهکارهای مانیتورینگ نیز ضروری می‌شود بسته‌های هاستینگ.

پرسش‌های متداول

آیا فعال کردن UFW سرورم را به‌طور کامل امن می‌کند؟

خیر. UFW سطح حمله را کاهش می‌دهد و پورت‌های غیرضروری را می‌بندد اما به تنهایی کافی نیست. باید با به‌روزرسانی‌ها، دسترسی کلید SSH، رمزهای قوی، SSL، پشتیبان‌گیری و امنیت برنامه ترکیب شود.

آیا باز کردن پورت‌های ۸۰ و ۴۴۳ با UFW کافی است؟

برای وب‌سایت معمولاً کافی است اما برای مدیریت SSH باید پورت ۲۲ یا پورت اختصاصی SSH باز و ایمن شود. پورت‌های پایگاه داده و پنل مدیریت نیز باید تا حد امکان محدود به IP خاص باشند.

تغییر پورت SSH امنیت را افزایش می‌دهد؟

ممکن است تلاش‌های خودکار رباط‌ها را کاهش دهد اما به‌عنوان راهکار اصلی امنیت در نظر گرفته نشود. روش‌های بهتر شامل استفاده از کلید SSH، غیرفعال کردن ورود با رمز عبور، محدودیت IP و استفاده از UFW limit یا fail2ban است.

آیا قوانین UFW کانتینرهای Docker را هم کنترل می‌کند؟

ممکن است همیشه به شکل مورد انتظار عمل نکند. Docker هنگام انتشار پورت، قوانین iptables را تغییر می‌دهد بنابراین باید هم خروجی دستور docker ps و هم قوانین UFW چک شوند.

آیا هنگام استفاده از UFW باید تنظیمات IPv6 را کنترل کنم؟

بله. اگر سرور آدرس IPv6 دارد، باید مطمئن شوید UFW ترافیک IPv6 را نیز مدیریت می‌کند. فایل /etc/default/ufw باید IPV6=yes داشته باشد و قوانین v6 در خروجی ufw status دیده شود.

در مجموع، مدیریت فایروال با UFW در سرورهای لینوکسی روشی سریع، قابل فهم و موثر است. با قوانین شروع مناسب، امنیت SSH، کنترل پورت‌های وب و پایش لاگ‌ها می‌توانید سطح حمله به سرورتان را به میزان قابل توجهی کاهش دهید. اگر پروژه جدیدی راه‌اندازی می‌کنید، برنامه‌ریزی برای زیرساخت میزبانی امن، SSL و نگهداری منظم، نتایج پایدارتری به همراه خواهد داشت. برای انتخاب زیرساخت مناسب می‌توانید راهکارهای Hostragons را بررسی کرده و تنظیمات امنیتی خود را مطابق اهداف توسعه به تدریج بهبود بخشید.