Jednostavno upravljanje vatrozidom na Linux poslužiteljima uz UFW

UFW na Linux poslužiteljima pojednostavljuje složena pravila iptables, čime omogućuje brzu i sigurnu administraciju vatrozida za SSH, HTTP, HTTPS i posebne portove. Posebno je korisna na poslužiteljima temeljenim na Ubuntu i Debianu, omogućujući vam zatvaranje nepoželjnih dolaznih veza, otvaranje potrebnih usluga, davanje dozvola određenim IP adresama te ograničavanje pogrešnih pokušaja prijave. Preporučeni pristup za osnovnu sigurnost je sljedeći: osigurajte SSH pristup, odbijte nepoželjni dolazni promet, dopustite odlazni promet, otvorite samo portove potrebnih usluga i redovito provjeravajte stanje UFW-a.

Kada se web poslužitelj otvori internetu, suočava se s bot skeniranjem, pokušajima prijave, skenerima ranjivosti i suvišnim upitima na portovima. Stoga je vatrozid jedan od prvih slojeva sigurnosti na Linux poslužiteljima. UFW je praktičan alat koji tehnički timovi preferiraju u svakodnevnom radu; jer ima čitljive naredbe, brzo dodavanje i uklanjanje pravila, omogućuje logiranje i smanjuje rizik od pogrešnih konfiguracija u odnosu na iptables. U ovom vodiču pokrit ćemo instalaciju UFW-a, osnovne naredbe, sprječavanje zaključavanja SSH-a, portove web poslužitelja, dopuštenja temeljem IP-a, provjeru logova, IPv6, specijalne slučajeve poput Dockera i sigurnosne prakse u skladu s pravilima iz 2026. godine korak po korak.

Što je UFW i čemu služi?

UFW je skraćenica za Uncomplicated Firewall, što se na hrvatski može prevesti kao "Jednostavni vatrozid". UFW koristi infrastrukturu za filtriranje paketa Linux jezgre u pozadini, ali nudi razumljivije naredbe za sustavne administratore. Na primjer, umjesto pisanja izravnih pravila za iptables ili nftables, možete jednostavno upisati sudo ufw allow 443/tcp kako biste dopustili HTTPS promet.

UFW je posebno korisna u sljedećim scenarijima:

• Brzo osiguranje osnovne mrežne sigurnosti na novoinstaliranom VPS-u ili dediicated poslužitelju.
• Održavanje otvorenim samo portovima 80 i 443 na web poslužitelju.
• Ograničavanje SSH pristupa samo na određene IP adrese.
• Upravljanje SSH vezama s limitima kako bi se smanjili pokušaji brute force napada.
• Ne ostavljati testne, staging i upravljačke panele potpuno otvorene za internet.
• Praćenje sumnjivih veza putem logova.

UFW sama po sebi ne rješava sve sigurnosne probleme; međutim, smanjuje površinu napada. Kada se koristi zajedno s jakim lozinkama, pristupom putem SSH ključeva, redovitim ažuriranjima, SSL/TLS konfiguracijom i sigurnošću aplikacija, stvara vrlo učinkovitu osnovnu sigurnost. Ako na svom poslužitelju hostate web stranicu, ne smijete zanemariti korištenje SSL certifikata zajedno s vatrozidom SSL certifikati.

UFW, iptables i firewalld: usporedba

U Linux ekosustavu postoje različiti alati za upravljanje vatrozidom. UFW, iptables i firewalld često zadovoljavaju iste potrebe; međutim, lakoća korištenja, podrška za distribuciju i pristup upravljanju se razlikuju. Sljedeća tablica olakšava donošenje odluka.

Ako upravljate web poslužiteljem temeljenim na Ubuntu, UFW će zadovoljiti većinu potreba. U velikim korporativnim mrežama ili višeslojnim sigurnosnim arhitekturama, UFW bi se trebao razmatrati zajedno s rješenjima za sigurnosne grupe u oblaku, WAF, IDS/IPS i centraliziranim logiranjem.

Instalacija UFW-a i prvi koraci

UFW obično dolazi unaprijed instaliran na Ubuntu sustavu. Ipak, dobro je provjeriti je li instaliran. Naredba: sudo ufw status. Ako dobijete poruku poput "command not found", morat ćete izvršiti instalaciju.

Instalacija na Ubuntu i Debian

Prvo ažurirajte popis paketa: sudo apt update. Zatim instalirajte UFW: sudo apt install ufw -y. Nakon instalacije, provjerite stanje usluge: sudo systemctl status ufw. Čak i ako se ne prikazuje kao aktivna, to može biti normalno; UFW može ostati pasivna dok se pravila ne aktiviraju.

Prvo pravilo pri upravljanju poslužiteljem je ne žuriti. Ako radite na udaljenom VPS-u, provjerite jeste li dopustili pristup SSH portu prije nego što aktivirate UFW. U suprotnom, možete izgubiti pristup svom poslužitelju. Ako koristite VPS preko Hostragonsa, dobra je praksa zabilježiti opcije pristupa i konzole prije nego što napravite prvu sigurnosnu konfiguraciju VPS server.

Pogled na trenutno stanje

Za pregled stanja UFW-a možete koristiti naredbu sudo ufw status verbose. Za detaljniji i numerirani popis pravila, važna je naredba sudo ufw status numbered. Kada brišete pravilo, numerirani popis pruža veliku pomoć. Na primjer, za brisanje portova koje ste slučajno otvorili, prvo ćete vidjeti njegov broj, a zatim ga ukloniti naredbom sudo ufw delete 3.

Siguran početak: zadana pravila

Na novom Linux poslužitelju najčešće sigurni početni model je sljedeći: prema zadanim postavkama odbijte dolazne veze, dopustite odlazne veze i otvorite samo potrebne portove. Ovaj pristup je u skladu s načelom minimalnih privilegija.

Osnovne naredbe koje treba primijeniti:

• sudo ufw default deny incoming
• sudo ufw default allow outgoing
• sudo ufw allow OpenSSH ili sudo ufw allow 22/tcp
• sudo ufw enable
• sudo ufw status verbose

Ključna točka ovdje je SSH pristup. Ako SSH radi na drugom portu, na primjer 2222, ne aktivirajte UFW bez pokretanja naredbe sudo ufw allow 2222/tcp. Promjena standardnog 22 porta za sigurnost poslužitelja ne pruža samo po sebi sigurnost; međutim, može smanjiti automatske pokušaje botova. Što je još važnije, trebali biste isključiti unos lozinke za SSH i koristiti pristup temeljen na ključevima.

Osiguravanje SSH pristupa

SSH je upravljačka vrata vašeg poslužitelja. Stoga je to usluga na koju treba posebno paziti prilikom konfiguracije UFW-a. Ako je SSH pristup otvoren za sve IP adrese, automatski skeneri na internetu mogu brzo početi testirati vaš poslužitelj.

Dopustite pristup SSH portu

Ako koristite standardni port, naredba je jednostavna: sudo ufw allow 22/tcp. Ako postoji aplikacijski profil za Ubuntu, također možete koristiti sudo ufw allow OpenSSH. Ako koristite drugi port, na primjer 2222, trebate upisati sudo ufw allow 2222/tcp.

Ograničavanje SSH pristupa na određeni IP

Jedna od najsigurnijih metoda je otvoriti SSH pristup samo za statične IP adrese administratora. Na primjer, ako je vaša uredska IP adresa 203.0.113.10, možete koristiti sljedeću naredbu: sudo ufw allow from 203.0.113.10 to any port 22 proto tcp. Na taj način SSH port neće biti općenito otvoren za internet.

Ako imate više administratora, dodajte pravilo za svaki IP. Ako koristite dinamički IP, pažljivo procijenite ovu metodu; kada se IP promijeni, možete izgubiti pristup. U takvim slučajevima upravljanje putem VPN-a, bastion host ili hitni pristup konzoli kroz panel davatelja su profesionalnije opcije.

Korištenje limita za sprječavanje brute force napada

UFW nudi limit naredbu za smanjenje učestalosti pokušaja povezivanja. Naredba: sudo ufw limit 22/tcp. Ovo pravilo pomaže ograničiti prekomjerne pokušaje povezivanja unutar određenog vremenskog okvira. Međutim, ne može u potpunosti zamijeniti alate poput fail2ban. U produkcijskom okruženju, sigurnost SSH-a trebala bi se provoditi u kombinaciji s UFW limitom, fail2ban, pristupom temeljenim na ključevima i jakim korisničkim politikama.

Otvaranje portova web poslužitelja: HTTP i HTTPS

Za objavljivanje web stranice obično su potrebni portovi 80/tcp i 443/tcp. Port 80 se koristi za HTTP, a port 443 za HTTPS promet. Moderni SEO, sigurnost preglednika i povjerenje korisnika čine HTTPS standardom. Stranice bez SSL certifikata suočavaju se s upozorenjima o sigurnosti i mogu doživjeti gubitke u stopama konverzije SSL certifikati.

Temeljna pravila za Nginx ili Apache

Naredba za HTTP: sudo ufw allow 80/tcp. Naredba za HTTPS: sudo ufw allow 443/tcp. Da biste otvorili oboje, bolje je odvojeno napisati umjesto da koristite sudo ufw allow 80,443/tcp, što čini većinu administratora čitljivijim izborom.

Također se mogu koristiti aplikacijski profili UFW-a. Za Nginx možete vidjeti profile pomoću naredbe sudo ufw app list. Na primjer, Nginx Full profil omogućuje pristup i HTTP i HTTPS. Naredba: sudo ufw allow Nginx Full. S druge strane, za Apache se može koristiti sličan Apache Full profil.

Je li dovoljno koristiti samo HTTPS?

Tehnički, vaša stranica može biti objavljena samo putem HTTPS-a; međutim, za procese obnavljanja certifikata poput Let’s Encrypt i preusmjeravanje s HTTP-a na HTTPS, otvaranje porta 80 često je potrebno. Stoga je praktičnije upravljati portovima 80 i 443 zajedno na web poslužiteljima. Na razini aplikacije, najbolji pristup je preusmjeriti sve HTTP zahtjeve na HTTPS s 301 preusmjeravanjem.

Specijalni portovi, baze podataka i upravljačke ploče

Otvaranje svakog porta je lako; prava stručnost leži u znanju koji portovi ne bi trebali biti otvoreni. Portovi kao što su 3306 za MySQL, 5432 za PostgreSQL, 6379 za Redis, 9200 za Elasticsearch mogu predstavljati ozbiljne sigurnosne rizike ako se ostave otvorenima za internet. Ove usluge trebale bi, ako je moguće, slušati samo na localhostu ili biti dostupne isključivo putem privatne mreže.

Otvaranje posebnog porta za određeni IP

Ako želite da samo aplikacijski poslužitelj ima pristup bazi podataka, trebate koristiti pravilo temeljen na IP-u. Naredba: sudo ufw allow from 198.51.100.25 to any port 5432 proto tcp. Ovo pravilo otvara pristup PostgreSQL-u samo za navedeni IP.

Pogrešan primjer bio bi korištenje naredbe sudo ufw allow 5432/tcp javno za produkcijsku bazu podataka. To stvara nepotrebnu površinu napada. Uvijek treba razmotriti ograničenja izvornog IP-a za poslužitelje baza podataka, upravljačke panele i interne servise.

Pazite na cPanel, Plesk i upravljačke panele

Hosting kontrolni paneli mogu koristiti više portova. Ako koristite Plesk, cPanel ili vlastiti upravljački panel, nemojte aktivirati UFW bez provjere službenog popisa portova. U suprotnom, e-pošta, DNS, FTP ili pristup panelu mogu biti prekinuti. Za korisnike koji preferiraju upravljani hosting, ovu složenost obično rješava davatelj usluga Web Hosting.

Brisanje, uređivanje pravila i logika redoslijeda

Upravljenje pravilima s UFW-om je jednostavno; ipak, važno je voditi evidenciju prilikom promjene u produkcijskom okruženju. Prvo pregledajte postojeća pravila numeriranjem: sudo ufw status numbered. Pronađite broj pravila koje želite ukloniti i uklonite ga naredbom sudo ufw delete 5.

Izravno uklanjanje pravila također je moguće. Na primjer, naredba sudo ufw delete allow 8080/tcp uklanja pravilo dozvole za port 8080. Međutim, kod složenih pravila temeljenih na IP-u, numerirano brisanje je sigurnije.

Redoslijed pravila posebno je važan kada se koriste pravila "allow" i "deny" zajedno. Ako želite dodati posebnu pravilo odbijanja prije općeg pravila dozvole, možete razmotriti insert naredbu. Na primjer, za brzo odbijanje određenog IP-a na vrhu popisa možete koristiti: sudo ufw insert 1 deny from 203.0.113.55. Ovaj pristup je koristan za brzo blokiranje napadača ili IP adresa koje zlostavljaju.

Praćenje prometa s UFW logovima

Vatrozid nije samo za otvaranje i zatvaranje portova, već je i vrijedan za razumijevanje mrežnog ponašanja. Za aktiviranje logiranja UFW-a koristite naredbu sudo ufw logging on. Razinu logiranja možete postaviti na low, medium, high ili full ako je potrebno. Na većini poslužitelja, za početak je dovoljno low.

Za pregled logova možete provjeriti datoteku /var/log/ufw.log. Primjer naredbe: sudo tail -f /var/log/ufw.log. Ovdje možete vidjeti odbijene veze, izvorne IP adrese, odredišne portove i informacije o protokolu. Na primjer, ako primate stotine pokušaja na port 22 iz različitih IP adresa u kratkom vremenu, trebali biste pojačati sigurnosne mjere za SSH.

Držanje logova na visokoj razini može povećati upotrebu diska. Stoga bi na poslužiteljima s intenzivnim prometom trebalo razmotriti rotaciju logova, centralizirano logiranje i mehanizme alarma. U korporativnim projektima, važno je ne samo zadržati sigurnosne zapise, već ih i smisleno pratiti.

IPv6 i UFW postavke

Od 2026. godine, IPv6 podrška postala je standard u mnogim data centrima. Međutim, neki administratori mogu ostaviti sigurnosne propuste razmišljajući samo o IPv4 pravilima. Ako vaš poslužitelj dobije IPv6 adresu, trebate se uvjeriti da UFW upravlja i IPv6 prometom.

Za provjeru, u datoteci /etc/default/ufw trebate pronaći redak IPV6=yes. Nakon promjene, UFW se može ponovno pokrenuti: sudo ufw disable, a zatim sudo ufw enable. Ako u izlazu UFW statusa vidite pravila s oznakom v6, to znači da se IPv6 strana također upravlja.

Ako ne koristite IPv6, umjesto potpune deaktivacije, prvo provjerite zahtjeve davatelja i aplikacije. Pogrešna konfiguracija IPv6 može uzrokovati da usluga koja je zatvorena na IPv4 ostane dostupna putem IPv6. Ovo je često zanemarena, ali česta sigurnosna greška.

Zašto UFW može drugačije reagirati kada koristite Docker?

Docker može izravno mijenjati pravila iptables dok objavljuje portove kontejnera. Ova situacija može biti iznenađujuća za administratore koji koriste UFW; jer port koji se prikazuje kao zatvoren u UFW-u može postati dostupan zbog Docker publish postavke. Na primjer, naredba docker run -p 8080:80 objavljuje port 80 unutar kontejnera kao port 8080 na hostu.

Na poslužiteljima koji koriste Docker, trebate provesti sljedeće provjere:

• Pregledajte koji se portovi otvaraju u izlazu docker ps.
• Uklonite suvišne -p ili ports definicije.
• Razmislite o objavljivanju usluga samo na 127.0.0.1.
• Provjerite sigurnosne grupe u oblaku i UFW pravila zajedno.
• U produkcijskom okruženju objavite kontrolirano putem reverse proxy-a.

Sigurnost u arhitekturama kontejnera nije samo ograničena na UFW naredbe. Docker mreže, sigurnost slika, upravljanje tajnama i strategija ažuriranja trebaju se planirati zajedno. Odabir pravog poslužitelja za aplikacije s visokim prometom također je ključan za sigurnost i performanse Namjenski Server.

Praktična kontrolna lista za sigurnost UFW

Sljedeća kontrolna lista može se koristiti kao praktični standard za početak na novoinstaliranom Linux poslužitelju. Posebno, pregledavanje ovih stavki prije objavljivanja web projekta, API-a, e-trgovine ili korisničkog panela smanjuje rizike od prekida i sigurnosne prijetnje.

• Ažurirajte poslužitelj: sudo apt update && sudo apt upgrade -y.
• Testirajte SSH pristup i, ako je moguće, ostavite otvorenu drugu terminal sesiju.
• Odbijte nepoželjni dolazni promet: sudo ufw default deny incoming.
• Dopustite odlazni promet: sudo ufw default allow outgoing.
• Dopustite SSH port ili primijenite IP osnovano ograničenje.
• Otvorite samo portove 80 i 443 za web poslužitelj.
• Ne ostavljajte portove baza podataka otvorenima za internet.
• Aktivirajte UFW: sudo ufw enable.
• Provjerite pravila: sudo ufw status verbose i sudo ufw status numbered.
• Otvorite logiranje i provjerite sumnjivi promet unutar prvih 24 sata.
• Proučite IPv6 pravila.
• Ako koristite Docker ili kontrolni panel, testirajte dodatne učinke portova.

Realni primjer: Instalacija UFW-a za WordPress poslužitelj

Zamislimo da jedan WordPress site radi na Ubuntu s Nginx, PHP-FPM i MySQL. MySQL sluša samo na localhostu, web stranica je objavljena putem HTTPS-a, a SSH će biti dostupan samo s IP adrese administratora. U ovom scenariju, konfiguracija UFW-a može izgledati ovako:

• sudo ufw default deny incoming
• sudo ufw default allow outgoing
• sudo ufw allow from 203.0.113.10 to any port 22 proto tcp
• sudo ufw allow 80/tcp
• sudo ufw allow 443/tcp
• sudo ufw logging on
• sudo ufw enable
• sudo ufw status verbose

U ovoj konfiguraciji, SSH nije otvoren za sve, dva potrebna porta za web promet su otvorena, a baza podataka je zatvorena prema van. Na WordPress strani, sigurnosni dodaci, jaka lozinka za administratora, ažurirane teme i dodaci, redovito sigurnosno kopiranje i SSL zajedno čine vrlo čvrstu osnovu. Upravljanje domenama i ispravna konfiguracija DNS zapisa također su važni za dostupnost provjera domene.

Česte greške i preporuke za rješenja

SSH veza se prekida nakon aktivacije UFW-a

To se obično dogodi kada se UFW aktivira bez dopuštanja SSH porta. Ako imate pristup konzoli iz davateljevog panela, povežite se i dodajte sudo ufw allow 22/tcp ili dozvolu za vaš specijalni port. Ako nemate konzolu, možda ćete morati kontaktirati podršku. Zbog toga uvijek treba dodati SSH pravilo prije aktiviranja UFW-a.

Web stranica se ne otvara

Čak i ako Nginx ili Apache radi, ako su portovi 80 i 443 zatvoreni, nećete moći pristupiti stranici. Provjerite portove pomoću sudo ufw status verbose. Također, potvrdite port koji web poslužitelj sluša s naredbom ss -tulpn. Također se uvjerite da su DNS zapisi ispravno usmjereni Upravljanje DNS-om.

Mail usluge ne rade

Poštanski poslužitelji koriste više portova za SMTP, IMAP, POP3 i njihove sigurne varijante. Portovi kao što su 25, 465, 587, 993, 995 mogu biti potrebni ovisno o scenariju. Ako koristite uslugu hostinga e-pošte, možda nećete morati otvarati ove portove na vlastitom poslužitelju korporativni e-mail hosting.

Dodao sam pravilo, ali nije djelovalo

Pogrešni protokol, pogrešan port, učinak Dockera, sigurnosna grupa u oblaku ili aplikacija koja sluša na drugom portu mogu uzrokovati ovo. UFW pravilo upravlja filtriranjem na mrežnom sloju; ako aplikacija ne radi, čak i ako je port otvoren, ne pruža uslugu. Stoga treba provjeriti firewall, stanje usluge i pravila mreže davatelja zajedno.

Najbolje prakse za UFW sigurnost za 2026.

Aktualna sigurnost poslužitelja obuhvaća više od samo zatvaranja nekoliko portova. Dobra UFW konfiguracija u 2026. godini trebala bi biti podržana sljedećim načelima:

• Minimalne privilegije: Otvorite samo stvarno potrebne portove.
• Sigurnost autentifikacije: Koristite pristup temeljen na ključeva za SSH.
• Ograničenje IP-a: Uzmite upravljačke portove iza statičkog IP-a ili VPN-a.
• Promatranje: Redovito pratite UFW logove i sistemske logove.
• Plan B: Imati konzolni pristup ili postupke oporavka za pogrešno pravilo vatrozida.
• Slojevita sigurnost: Koristite UFW u kombinaciji s WAF-om, SSL-om, ažuriranjima, sigurnosnim kopijama i sigurnošću aplikacija.
• Dokumentacija: Zabilježite razloge za svako pravilo unutar tima.

Dobro konfiguriran vatrozid je sastavni dio performansnog i pouzdano hostinga. Kako se promet vašeg projekta povećava, ne samo da bi pravila portova, već i korištenje resursa, sigurnosne kopije, CDN, SSL i rješenja za praćenje trebala biti planirana Hosting paketi.

Često postavljana pitanja

Hoće li aktivacija UFW-a potpuno osigurati moj poslužitelj?

Ne. UFW smanjuje površinu napada i zatvaranjem nepotrebnih portova pruža važan sloj sigurnosti; međutim, sama po sebi nije dovoljna. Trebala bi se koristiti zajedno s ažuriranjima, SSH ključevima, jakim lozinkama, SSL-om, sigurnosnim kopijama i sigurnošću aplikacija.

Je li dovoljno otvoriti portove 80 i 443 s UFW-om?

Za web stranicu obično su dovoljni portovi 80 i 443. Međutim, također morate sigurno otvoriti port 22 ili svoj specijalni SSH port za upravljanje. Portovi baza podataka i upravljačkih panela trebali bi se, ako je moguće, ograničiti temeljem IP-a.

Hoće li promjena SSH porta povećati sigurnost?

Promjena SSH porta može smanjiti automatske pokušaje botova; međutim, ne bi se trebala smatrati pravom mjerom sigurnosti. Jača strategija je koristiti SSH ključeve, isključiti unos lozinke, primijeniti ograničenja IP-a i koristiti UFW limit ili fail2ban.

UFW pravila također kontroliraju Docker kontejnere, zar ne?

Ne uvijek na očekivani način. Docker može izravno mijenjati pravila iptables dok objavljuje portove. Stoga, na poslužiteljima koji koriste Docker, trebate provjeriti izlaz docker ps, objavljene portove i UFW pravila zajedno.

Treba li provjeriti IPv6 postavke kada koristim UFW?

Da. Ako vaš poslužitelj dobiva IPv6 adresu, trebate se uvjeriti da UFW upravlja IPv6 prometom. Trebate provjeriti postavku IPV6=yes u datoteci /etc/default/ufw i potvrditi IPv6 pravila u izlazu UFW statusa.

Ukratko, upravljanje vatrozidom uz UFW na Linux poslužiteljima može se obaviti brzo, čitko i učinkovito. Ispravna pravila za početak, sigurnost SSH-a, kontrolirano otvaranje web portova i praćenje logova mogu značajno smanjiti površinu napada vašeg poslužitelja. Ako pokrećete novi projekt, planiranje sigurne hosting infrastrukture, SSL-a i redovitih održavanja donijet će dugoročno bolje rezultate. Možete istražiti Hostragons rješenja kako biste odabrali infrastrukturu koja odgovara vašim potrebama i postupno razvijali svoje sigurnosne postavke u skladu s ciljevima rasta.