Manajemen Firewall yang Mudah dengan UFW di Server Linux

UFW di Server Linux adalah alat firewall yang menyederhanakan aturan iptables yang kompleks, menjadikan manajemen firewall untuk SSH, HTTP, HTTPS, dan port khusus cepat dan aman. Terutama pada server berbasis Ubuntu dan Debian, UFW memungkinkan Anda untuk menutup lalu lintas yang tidak perlu secara default, membuka layanan yang diperlukan, memberikan izin untuk alamat IP tertentu, dan membatasi upaya yang gagal. Pendekatan yang disarankan untuk memulai dengan aman adalah: pastikan akses SSH, tolak lalu lintas yang masuk secara default, izinkan lalu lintas keluar, hanya buka port layanan yang digunakan, dan periksa status UFW secara berkala.

Ketika sebuah server web dibuka ke internet, ia akan segera menghadapi pemindaian bot, percobaan password, pemindai kerentanan, dan permintaan port yang tidak perlu. Oleh karena itu, firewall merupakan salah satu lapisan pertama dalam keamanan server Linux. UFW adalah alat praktis yang sering dipilih oleh tim teknis dalam operasi sehari-hari mereka; karena perintahnya yang mudah dibaca, penambahan dan penghapusan aturan yang cepat, menyediakan logging, dan mengurangi risiko kesalahan konfigurasi dibandingkan dengan perintah iptables. Dalam panduan ini, kami akan membahas langkah demi langkah tentang instalasi UFW, perintah dasar, pencegahan penguncian SSH, port server web, izin berbasis IP, pemeriksaan log, IPv6, situasi khusus seperti Docker, dan praktik keamanan yang sesuai dengan standar 2026.

Apa itu UFW dan Apa Fungsinya?

UFW adalah singkatan dari Uncomplicated Firewall. Dalam bahasa Indonesia, dapat diterjemahkan sebagai firewall yang sederhana. Di balik layar, ia menggunakan infrastruktur penyaringan paket dari kernel Linux; namun, ia menawarkan perintah yang lebih mudah dipahami bagi administrator sistem. Misalnya, alih-alih menulis aturan iptables atau nftables secara langsung, Anda dapat memberikan izin untuk lalu lintas HTTPS dengan perintah sudo ufw allow 443/tcp.

UFW sangat berguna dalam skenario berikut:

• Dengan cepat mengamankan jaringan dasar di VPS atau server dedicated yang baru dibangun.
• Menjaga agar hanya port 80 dan 443 yang terbuka di server web.
• Membatasi akses SSH hanya untuk alamat IP tertentu.
• Mengelola koneksi SSH dengan batasan untuk mengurangi percobaan brute force.
• Tidak membiarkan panel pengujian, staging, dan manajemen terbuka sepenuhnya ke internet.
• Melacak koneksi mencurigakan melalui log.

UFW tidak menyelesaikan semua masalah keamanan secara mandiri; namun, ia mengurangi permukaan serangan. Ketika digunakan bersama dengan kata sandi yang kuat, akses dengan kunci SSH, pembaruan rutin, konfigurasi SSL/TLS, dan keamanan aplikasi, ia menciptakan lapisan dasar yang sangat efektif. Jika Anda menghosting situs web di server Anda, Anda juga tidak boleh mengabaikan penggunaan sertifikat SSL bersama dengan firewall sertifikat SSL.

Perbandingan UFW, iptables, dan firewalld

Di ekosistem Linux, ada berbagai alat untuk manajemen firewall. UFW, iptables, dan firewalld sering kali melayani kebutuhan yang sama; namun, kemudahan penggunaan, dukungan distribusi, dan pendekatan manajemen berbeda. Tabel di bawah ini akan memudahkan Anda dalam pengambilan keputusan.

Jika Anda mengelola server web berbasis Ubuntu, UFW sudah cukup untuk sebagian besar kebutuhan. Namun, di jaringan perusahaan besar atau dalam arsitektur keamanan berlapis, UFW harus dipertimbangkan bersama dengan grup keamanan cloud, WAF, IDS/IPS, dan solusi logging terpusat.

Instalasi UFW dan Pemeriksaan Awal

UFW biasanya sudah terpasang di Ubuntu. Namun, memeriksa apakah UFW terpasang adalah langkah awal yang baik. Perintah: sudo ufw status. Jika Anda mendapatkan output seperti "command not found", Anda perlu melakukan instalasi.

Instalasi di Ubuntu dan Debian

Pertama, perbarui daftar paket: sudo apt update. Kemudian lakukan instalasi UFW: sudo apt install ufw -y. Setelah instalasi, periksa status layanan: sudo systemctl status ufw. Meskipun output tidak menunjukkan aktif, ini bisa jadi normal karena UFW bisa tetap pasif hingga aturan diaktifkan.

Aturan pertama dalam manajemen server adalah jangan terburu-buru. Jika Anda bekerja di VPS jarak jauh, pastikan Anda memberikan izin untuk port SSH sebelum mengaktifkan UFW. Jika tidak, Anda bisa kehilangan akses ke server Anda. Jika Anda menggunakan VPS dari Hostragons, mencatat opsi akses panel dan konsol sebelum melakukan konfigurasi keamanan pertama adalah langkah preventif yang praktis server VPS.

Melihat Status Saat Ini

Untuk melihat status UFW, Anda dapat menggunakan perintah sudo ufw status verbose. Untuk daftar aturan yang lebih terperinci dan bernomor, perintah sudo ufw status numbered sangat penting. Saat menghapus aturan, daftar bernomor sangat memudahkan. Misalnya, untuk menghapus port yang Anda buka secara tidak sengaja, Anda dapat melihat nomornya terlebih dahulu, kemudian menggunakan perintah sudo ufw delete 3 untuk menghapusnya.

Memulai dengan Aman: Aturan Default

Model awal yang paling aman di server Linux baru umumnya adalah: tolak koneksi yang masuk secara default, izinkan koneksi yang keluar, dan hanya buka port yang diperlukan. Pendekatan ini sesuai dengan prinsip minimal privilege.

Perintah dasar yang akan diterapkan:

• sudo ufw default deny incoming
• sudo ufw default allow outgoing
• sudo ufw allow OpenSSH atau sudo ufw allow 22/tcp
• sudo ufw enable
• sudo ufw status verbose

Poin kritis di sini adalah akses SSH. Jika SSH berjalan di port yang berbeda, misalnya 2222, jangan aktifkan UFW tanpa menjalankan perintah sudo ufw allow 2222/tcp. Mengubah port standar 22 untuk keamanan server tidak cukup; namun, ini bisa mengurangi percobaan otomatis oleh bot. Yang lebih penting, adalah menonaktifkan login password untuk SSH dan menggunakan akses berbasis kunci.

Mengamankan Akses SSH

SSH adalah pintu gerbang manajemen server Anda. Oleh karena itu, ini adalah layanan yang paling perlu diperhatikan dalam konfigurasi UFW. Jika akses SSH terbuka untuk setiap alamat IP, pemindai otomatis di internet dapat dengan cepat mulai mencoba mengakses server Anda.

Memberikan Izin untuk Port SSH

Jika menggunakan port standar, perintahnya sederhana: sudo ufw allow 22/tcp. Jika profil aplikasi Ubuntu tersedia, Anda juga dapat menggunakan sudo ufw allow OpenSSH. Jika menggunakan port yang berbeda, misalnya 2222, Anda perlu menjalankan perintah sudo ufw allow 2222/tcp.

Melimit Akses SSH ke IP Tertentu

Salah satu metode teraman adalah membuka akses SSH hanya untuk alamat IP pengelola yang tetap. Misalnya, jika alamat IP kantor Anda adalah 203.0.113.10, Anda dapat menggunakan perintah ini: sudo ufw allow from 203.0.113.10 to any port 22 proto tcp. Dengan cara ini, port SSH tidak tetap terbuka untuk umum di internet.

Jika ada beberapa pengelola, tambahkan aturan terpisah untuk setiap IP. Jika Anda menggunakan IP dinamis, pertimbangkan metode ini dengan hati-hati; akses Anda bisa terputus jika IP berubah. Dalam situasi seperti ini, manajemen melalui VPN, bastion host, atau akses konsol darurat dari panel penyedia adalah solusi yang lebih profesional.

Penggunaan Limit untuk Mencegah Upaya Brute Force

UFW menawarkan perintah limit untuk mengurangi percobaan koneksi yang sering. Perintah: sudo ufw limit 22/tcp. Aturan ini membantu membatasi terlalu banyak percobaan koneksi dalam interval tertentu. Namun, ini tidak sepenuhnya menggantikan alat seperti fail2ban. Di lingkungan produksi, keamanan SSH harus menggunakan UFW limit, fail2ban, akses berbasis kunci, dan kebijakan pengguna yang kuat secara bersamaan.

Membuka Port Server Web: HTTP dan HTTPS

Untuk menerbitkan situs web, biasanya diperlukan port 80/tcp dan 443/tcp. Port 80 untuk lalu lintas HTTP, dan port 443 untuk HTTPS. Modern SEO, keamanan browser, dan kepercayaan pengguna menjadikan HTTPS standar saat ini. Situs yang tidak memiliki sertifikat SSL akan menghadapi peringatan keamanan dan kehilangan tingkat konversi sertifikat SSL.

Aturan Dasar untuk Nginx atau Apache

Untuk HTTP, perintahnya: sudo ufw allow 80/tcp. Untuk HTTPS, perintahnya: sudo ufw allow 443/tcp. Untuk membuka keduanya, banyak administrator lebih memilih menulis secara terpisah daripada menggunakan sudo ufw allow 80,443/tcp.

Profil aplikasi UFW juga dapat digunakan. Untuk Nginx, Anda dapat melihat profil dengan perintah sudo ufw app list. Misalnya, profil Nginx Full memberikan izin untuk akses HTTP dan HTTPS. Perintah: sudo ufw allow Nginx Full. Di sisi Apache, profil serupa dapat digunakan dengan Apache Full.

Apakah Cukup Menggunakan HTTPS Saja?

Secara teknis, situs Anda dapat diterbitkan hanya melalui HTTPS; namun, proses pembaruan sertifikat seperti Let’s Encrypt dan pengalihan dari HTTP ke HTTPS biasanya memerlukan port 80 terbuka dalam banyak skenario. Oleh karena itu, mengelola port 80 dan 443 secara bersamaan di server web lebih praktis. Mengalihkan semua permintaan HTTP ke HTTPS dengan 301 adalah pendekatan yang paling tepat.

Port Khusus, Basis Data, dan Panel Manajemen

Membuka setiap port itu mudah; keahlian sebenarnya adalah mengetahui port mana yang tidak boleh dibuka. Port untuk MySQL adalah 3306, untuk PostgreSQL adalah 5432, untuk Redis adalah 6379, dan untuk Elasticsearch adalah 9200; jika port ini dibuka ke internet, dapat menimbulkan risiko keamanan yang serius. Layanan ini harus mendengarkan hanya di localhost atau tersedia melalui jaringan khusus jika memungkinkan.

Membuka Port Khusus untuk IP Tertentu

Misalnya, jika Anda ingin hanya server aplikasi Anda yang dapat mengakses server database, Anda harus menggunakan aturan berbasis IP. Perintah: sudo ufw allow from 198.51.100.25 to any port 5432 proto tcp. Aturan ini hanya membuka akses PostgreSQL untuk IP yang ditentukan.

Contoh yang salah adalah menggunakan perintah sudo ufw allow 5432/tcp di database produksi secara publik. Ini menciptakan permukaan serangan yang tidak perlu. Untuk server basis data, panel manajemen, dan layanan internal, selalu pertimbangkan pembatasan IP sumber.

Perhatian dalam cPanel, Plesk, dan Panel Manajemen

Panel kontrol hosting dapat menggunakan beberapa port. Jika Anda menggunakan Plesk, cPanel, atau panel manajemen khusus, jangan aktifkan UFW tanpa memeriksa daftar port resmi. Jika tidak, akses email, DNS, FTP, atau panel dapat terputus. Untuk pengguna yang memilih hosting terkelola, kompleksitas ini biasanya ditangani oleh penyedia Hosting Web.

Pemeliharaan Aturan: Menghapus, Mengedit, dan Logika Urutan

Manajemen aturan dengan UFW itu sederhana; namun, penting untuk mencatat saat melakukan perubahan di lingkungan produksi. Pertama, tampilkan aturan yang ada dengan nomor: sudo ufw status numbered. Temukan nomor aturan yang ingin Anda hapus dan gunakan perintah sudo ufw delete 5 untuk menghapusnya.

Anda juga dapat menghapus menggunakan ungkapan aturan langsung. Misalnya, perintah sudo ufw delete allow 8080/tcp akan menghapus aturan izin untuk port 8080. Namun, untuk aturan berbasis IP yang kompleks, penghapusan bernomor lebih aman.

Urutan aturan menjadi penting, terutama ketika aturan allow dan deny digunakan bersama. Jika Anda ingin menambahkan aturan penolakan khusus sebelum aturan izin umum, Anda dapat mempertimbangkan untuk menggunakan perintah insert. Misalnya, untuk menolak IP tertentu di posisi teratas, gunakan sudo ufw insert 1 deny from 203.0.113.55. Pendekatan ini berguna untuk cepat memblokir alamat IP yang terduga sebagai penyerang atau penyalahgunaan.

Memantau Lalu Lintas dengan Log UFW

Firewall bukan hanya untuk membuka dan menutup port, tetapi juga berharga untuk memahami perilaku jaringan. Untuk mengaktifkan log UFW, gunakan perintah sudo ufw logging on. Tingkat log dapat disesuaikan menjadi low, medium, high, atau full jika perlu. Sebagian besar server cukup dengan low sebagai pengaturan awal.

Untuk memeriksa log, Anda dapat melihat file /var/log/ufw.log. Contoh perintah: sudo tail -f /var/log/ufw.log. Di sini, Anda dapat melihat koneksi yang ditolak, alamat IP sumber, port tujuan, dan informasi protokol. Misalnya, jika dalam waktu singkat ada ratusan percobaan dari berbagai IP ke port 22, maka perlu memperketat langkah-langkah keamanan SSH.

Menjaga log pada tingkat tinggi secara terus-menerus dapat meningkatkan penggunaan disk. Oleh karena itu, pada server yang mengalami lalu lintas tinggi, perlu dipertimbangkan rotasi log, logging terpusat, dan mekanisme alarm. Dalam proyek perusahaan, tidak hanya penting untuk menyimpan catatan keamanan, tetapi juga untuk memantau secara bermakna.

Pengaturan IPv6 dan UFW

Mulai 2026, dukungan IPv6 telah menjadi standar di banyak pusat data. Namun, beberapa administrator mungkin meninggalkan celah keamanan dengan hanya memikirkan aturan IPv4. Jika server Anda mendapatkan alamat IPv6, Anda harus memastikan bahwa UFW juga mengelola lalu lintas IPv6.

Untuk memeriksa, harus ada baris IPV6=yes di file /etc/default/ufw. Setelah melakukan perubahan, UFW dapat direstart dengan perintah: sudo ufw disable, lalu sudo ufw enable. Jika Anda melihat aturan dengan keterangan v6 di output status UFW, itu berarti sisi IPv6 juga dikelola.

Jika Anda tidak menggunakan IPv6, alih-alih mematikannya sepenuhnya, periksa terlebih dahulu kebutuhan penyedia dan aplikasi. Konfigurasi IPv6 yang salah dapat menyebabkan layanan yang Anda tutup di sisi IPv4 tetap dapat diakses melalui IPv6. Ini adalah kesalahan keamanan yang sering terjadi tetapi terabaikan.

Kenapa UFW Berperilaku Berbeda Saat Menggunakan Docker?

Docker dapat mengubah aturan iptables secara langsung saat menerbitkan port kontainer. Hal ini bisa mengejutkan bagi administrator yang menggunakan UFW; karena port yang terlihat tertutup di UFW dapat diakses dari luar karena pengaturan publish Docker. Misalnya, perintah docker run -p 8080:80 akan menerbitkan port 80 di dalam kontainer ke port 8080 di host.

Di server yang menggunakan Docker, kontrol berikut harus dilakukan:

• Periksa output docker ps untuk melihat port mana yang dibuka ke luar.
• Hapus definisi -p atau ports yang tidak perlu.
• Pertimbangkan untuk hanya menerbitkan layanan di 127.0.0.1.
• Periksa grup keamanan cloud dan aturan UFW secara bersamaan.
• Di lingkungan produksi, lakukan publikasi yang terkontrol melalui reverse proxy.

Keamanan dalam arsitektur kontainer tidak hanya terdiri dari perintah UFW. Jaringan Docker, keamanan gambar, manajemen rahasia, dan strategi pembaruan harus direncanakan secara bersamaan. Pemilihan server yang tepat untuk aplikasi dengan lalu lintas tinggi juga kritis untuk keamanan dan performa Server Dedikasi.

Daftar Periksa Keamanan yang Dapat Diterapkan untuk UFW

Daftar periksa berikut dapat digunakan sebagai standar awal yang praktis untuk server Linux yang baru dibangun. Terutama sebelum menerbitkan proyek web, API, situs e-commerce, atau panel pelanggan, meninjau item-item ini dapat mengurangi risiko gangguan dan keamanan.

• Perbarui server: sudo apt update && sudo apt upgrade -y.
• Uji akses SSH dan jika memungkinkan, biarkan sesi terminal kedua terbuka.
• Tolak lalu lintas yang masuk secara default: sudo ufw default deny incoming.
• Izinkan lalu lintas keluar secara default: sudo ufw default allow outgoing.
• Berikan izin untuk port SSH atau terapkan pembatasan berbasis IP.
• Buka hanya port 80 dan 443 untuk server web.
• Jangan membuka port basis data ke publik.
• Aktifkan UFW: sudo ufw enable.
• Verifikasi aturan: sudo ufw status verbose dan sudo ufw status numbered.
• Aktifkan logging dan periksa lalu lintas mencurigakan dalam 24 jam pertama.
• Tinjau aturan IPv6.
• Jika menggunakan Docker atau panel kontrol, uji efek port tambahan.

Contoh Nyata: Instalasi UFW untuk Server WordPress

Misalkan sebuah situs WordPress berjalan di Ubuntu dengan Nginx, PHP-FPM, dan MySQL. MySQL hanya mendengarkan di localhost, situs diterbitkan melalui HTTPS, dan diakses dari IP pengelola. Dalam skenario ini, konfigurasi UFW dapat sebagai berikut:

• sudo ufw default deny incoming
• sudo ufw default allow outgoing
• sudo ufw allow from 203.0.113.10 to any port 22 proto tcp
• sudo ufw allow 80/tcp
• sudo ufw allow 443/tcp
• sudo ufw logging on
• sudo ufw enable
• sudo ufw status verbose

Dalam konfigurasi ini, akses SSH tidak terbuka untuk semua orang, dua port yang diperlukan untuk lalu lintas web terbuka, dan basis data tidak dapat diakses dari luar. Di sisi WordPress, plugin keamanan, kata sandi pengelola yang kuat, tema dan plugin yang diperbarui, cadangan rutin, dan SSL bersama-sama menciptakan fondasi yang sangat kuat. Pengelolaan nama domain dan konfigurasi DNS yang benar juga penting untuk aksesibilitas Pemeriksaan Domain.

Kesalahan Umum dan Saran Solusi

Koneksi SSH Terputus Setelah Mengaktifkan UFW

Ini biasanya terjadi ketika UFW diaktifkan tanpa memberikan izin untuk port SSH. Jika Anda memiliki akses konsol dari panel penyedia, sambungkan dan tambahkan izin dengan perintah sudo ufw allow 22/tcp atau untuk port khusus yang Anda gunakan. Jika tidak ada konsol, Anda mungkin perlu menghubungi tim dukungan. Oleh karena itu, selalu tambahkan aturan SSH sebelum mengaktifkan UFW.

Situs Web Tidak Bisa Diakses

Jika Nginx atau Apache berjalan tetapi port 80 dan 443 tertutup, situs tidak dapat diakses. Periksa port dengan sudo ufw status verbose. Selain itu, verifikasi port yang didengarkan oleh server web dengan perintah ss -tulpn. Pastikan juga bahwa catatan DNS sudah diarahkan dengan benar Manajemen DNS.

Layanan Email Tidak Berfungsi

Server email menggunakan beberapa port untuk SMTP, IMAP, POP3, dan variasi aman. Port seperti 25, 465, 587, 993, dan 995 mungkin diperlukan tergantung pada skenario. Jika Anda menggunakan layanan hosting email, mungkin Anda tidak perlu membuka port ini di server Anda hosting e-posta korporat.

Saya Menambahkan Aturan Tapi Tidak Berfungsi

Ini bisa disebabkan oleh protokol yang salah, port yang salah, efek Docker, grup keamanan cloud, atau aplikasi yang mendengarkan di port yang berbeda. Aturan UFW mengelola penyaringan di lapisan jaringan; jika aplikasi tidak berjalan, meskipun port terbuka, layanan tidak akan tersedia. Oleh karena itu, firewall, status layanan, dan aturan jaringan penyedia harus diperiksa secara bersamaan.

Praktik Keamanan UFW Terbaik untuk 2026

Keamanan server yang mutakhir lebih komprehensif daripada hanya menutup beberapa port. Konfigurasi UFW yang baik pada tahun 2026 harus didukung oleh prinsip-prinsip berikut:

• Minimal privilege: Hanya buka port yang benar-benar diperlukan.
• Keamanan otentikasi: Gunakan akses berbasis kunci untuk SSH.
• Pembatasan IP: Lindungi port manajemen dengan IP tetap atau di belakang VPN.
• Observabilitas: Pantau log UFW dan log sistem secara rutin.
• Rencana cadangan: Siapkan akses konsol atau prosedur pemulihan untuk aturan firewall yang salah.
• Keamanan berlapis: Gunakan UFW bersamaan dengan WAF, SSL, pembaruan, cadangan, dan keamanan aplikasi.
• Dokumentasi: Catat alasan setiap aturan ditambahkan dalam tim.

Firewall yang terkonfigurasi dengan baik adalah bagian pelengkap dari infrastruktur hosting yang efisien dan dapat diandalkan. Seiring pertumbuhan lalu lintas proyek Anda, tidak hanya aturan port yang perlu direncanakan, tetapi juga penggunaan sumber daya, cadangan, CDN, SSL, dan solusi pemantauan Paket hosting.

FAQ

Apakah mengaktifkan UFW membuat server saya sepenuhnya aman?

Tidak. UFW mengurangi permukaan serangan dan memberikan lapisan keamanan yang penting dengan menutup port yang tidak perlu; namun, itu sendiri tidak cukup. UFW harus digunakan bersama dengan pembaruan, kunci SSH, kata sandi yang kuat, SSL, cadangan, dan keamanan aplikasi.

Apakah cukup membuka port 80 dan 443 dengan UFW?

Untuk situs web, biasanya port 80 dan 443 sudah cukup. Namun, Anda juga perlu membuka port 22 atau port SSH khusus dengan aman untuk manajemen. Port basis data dan panel manajemen harus dibatasi berbasis IP jika memungkinkan.

Apakah mengubah port SSH meningkatkan keamanan?

Mengubah port SSH dapat mengurangi percobaan bot otomatis; namun, ini tidak boleh dianggap sebagai langkah keamanan yang nyata. Pendekatan yang lebih kuat adalah menggunakan kunci SSH, menonaktifkan login password, menerapkan pembatasan IP, dan menggunakan UFW limit atau fail2ban.

Apakah aturan UFW juga mengontrol kontainer Docker?

Tidak selalu berfungsi seperti yang Anda harapkan. Docker dapat mengubah aturan iptables secara langsung saat menerbitkan port. Oleh karena itu, di server yang menggunakan Docker, output docker ps, port yang diterbitkan, dan aturan UFW harus diperiksa bersamaan.

Apakah saya perlu memeriksa pengaturan IPv6 saat menggunakan UFW?

Ya. Jika server Anda mendapatkan alamat IPv6, Anda harus memastikan bahwa UFW juga mengelola lalu lintas IPv6. Aturannya harus diperiksa di file /etc/default/ufw dan harus ada konfirmasi mengenai aturan v6 di output status UFW.

Singkatnya, manajemen firewall dengan UFW di Server Linux dapat dilakukan dengan cepat, mudah dibaca, dan efektif. Dengan aturan awal yang benar, keamanan SSH, pembukaan port web yang terkontrol, dan pemantauan log, Anda dapat secara signifikan mengurangi permukaan serangan server Anda. Jika Anda meluncurkan proyek baru, merencanakan infrastruktur hosting yang aman, SSL, dan langkah pemeliharaan rutin akan memberikan hasil yang lebih sehat dalam jangka panjang. Untuk memilih infrastruktur yang sesuai dengan kebutuhan Anda, Anda dapat memeriksa solusi dari Hostragons dan secara bertahap meningkatkan konfigurasi keamanan Anda sesuai dengan tujuan pertumbuhan Anda.