UFW Linux: Cara Mudah Urus Firewall Server Web di Ubuntu/Debian

UFW di Linux menjadikan pengurusan firewall untuk SSH, HTTP, HTTPS dan port khas lebih mudah serta selamat, berbanding aturan iptables yang rumit. Terutama pada server Ubuntu dan Debian, UFW membolehkan anda tutup trafik masuk secara default, buka servis tertentu, benarkan IP yang diperlukan dan limit cubaan login yang mencurigakan. Untuk permulaan yang selamat, pastikan akses SSH terjamin, trafik masuk ditolak secara default, trafik keluar dibenarkan, hanya port servis yang digunakan dibuka serta semak status UFW secara berkala.

Apabila server web mula live di internet, ia akan terus berdepan dengan bot scan, cubaan brute force password, scanner kerentanan dan query port yang tidak diperlukan. Firewall adalah lapisan pertama keselamatan untuk server Linux. UFW menjadi pilihan utama pasukan teknikal kerana perintahnya mudah difahami, penambahan dan padam aturan cepat, log tersedia dan risiko salah konfigurasi lebih rendah berbanding iptables. Panduan ini akan terangkan pemasangan UFW, perintah asas, elak SSH terkunci, port web server, izin IP, log monitoring, sokongan IPv6, kes Docker dan amalan keselamatan terkini tahun 2026 secara langkah demi langkah.

Apakah Itu UFW dan Fungsi Utamanya?

UFW ialah singkatan kepada Uncomplicated Firewall, bermaksud firewall yang tidak rumit. Ia menggunakan sistem penapisan paket kernel Linux, tetapi menyediakan perintah yang lebih mesra pengguna. Contohnya, anda boleh benarkan trafik HTTPS dengan sudo ufw allow 443/tcp tanpa perlu tulis aturan iptables secara manual.

UFW sangat berguna untuk:

• Melindungi VPS atau dedicated server yang baru disediakan dengan konfigurasi firewall pantas.
• Buka hanya port web (80 dan 443) di server hosting.
• Hadkan akses SSH kepada IP tertentu sahaja.
• Kurangkan serangan brute force SSH dengan perintah limit.
• Pastikan panel admin, staging dan test tidak terbuka kepada internet umum.
• Pantau sambungan mencurigakan melalui log firewall.

UFW tidak menyelesaikan semua isu keselamatan, tetapi ia kurangkan permukaan serangan. Gabungan password kuat, akses SSH melalui key, update berkala, SSL/TLS dan keselamatan aplikasi akan membentuk perlindungan asas yang mantap. Jika anda hosting laman web, pastikan juga SSL certificate digunakan bersama firewall Sijil SSL.

Perbandingan UFW, iptables dan firewalld

Terdapat beberapa tool untuk urus firewall di Linux. UFW, iptables dan firewalld boleh digunakan untuk tujuan yang sama, tetapi berbeza dari segi kemudahan, sokongan distribusi dan cara pengurusan. Jadual di bawah memudahkan pemilihan:

Jika anda urus server web berasaskan Ubuntu, UFW sudah memadai untuk kebanyakan keperluan. Untuk rangkaian enterprise atau sistem dengan pelbagai lapisan keselamatan, UFW perlu digabung dengan security group cloud, WAF, IDS/IPS dan sistem log pusat.

Pemasangan UFW dan Pemeriksaan Awal

Kebiasaannya, UFW sudah tersedia dalam Ubuntu. Namun, semak dulu dengan sudo ufw status. Jika dapat output command not found, perlu install.

Pemasangan di Ubuntu dan Debian

Kemas kini senarai pakej dengan sudo apt update. Install UFW: sudo apt install ufw -y. Periksa status servis selepas install: sudo systemctl status ufw. Jika status masih pasif, itu normal kerana UFW hanya aktif bila aturan firewall dihidupkan.

Dalam pengurusan server, jangan terburu-buru. Jika anda guna VPS jauh, pastikan port SSH sudah dibenarkan sebelum aktifkan UFW. Jika tidak, akses ke server boleh terputus. Untuk pengguna Hostragons VPS, simpan maklumat akses panel dan konsol sebelum mula setup firewall Pelayan VPS.

Semak Status UFW

Guna sudo ufw status verbose untuk lihat status terperinci. Untuk senarai aturan dengan nombor, sudo ufw status numbered sangat berguna. Jika perlu padam aturan, kenal pasti nombor, kemudian sudo ufw delete 3 untuk padam.

Konfigurasi Selamat: Aturan Default

Untuk server Linux baru, model paling selamat biasanya: tolak sambungan masuk secara default, benarkan sambungan keluar, dan buka hanya port yang diperlukan. Ini selaras prinsip "least privilege".

Perintah asas:

• sudo ufw default deny incoming
• sudo ufw default allow outgoing
• sudo ufw allow OpenSSH atau sudo ufw allow 22/tcp
• sudo ufw enable
• sudo ufw status verbose

Paling kritikal ialah akses SSH. Jika SSH guna port bukan 22, contohnya 2222, pastikan sudo ufw allow 2222/tcp dilaksanakan sebelum enable UFW. Menukar port SSH tidak cukup untuk keselamatan, tetapi ia kurangkan cubaan automated bot. Yang lebih penting adalah menggunakan key untuk SSH dan menutup akses password.

Memastikan Akses SSH Selamat

SSH ialah pintu utama pengurusan server. Maka, ia perlu dikonfigurasi dengan teliti menggunakan UFW. Jika SSH terbuka kepada seluruh internet, bot dan scanner akan cuba masuk tanpa henti.

Buka Port SSH

Jika guna port standard, cukup dengan sudo ufw allow 22/tcp. Untuk Ubuntu, sudo ufw allow OpenSSH juga boleh digunakan. Jika port custom seperti 2222, gunakan sudo ufw allow 2222/tcp.

Hadkan SSH Kepada IP Tertentu

Cara paling selamat: buka SSH hanya kepada IP admin yang tetap. Contoh IP pejabat: 203.0.113.10, perintahnya sudo ufw allow from 203.0.113.10 to any port 22 proto tcp. Ini memastikan SSH tidak terbuka kepada umum.

Jika ada beberapa admin, tambah aturan untuk setiap IP. Jika IP berubah-ubah, guna VPN atau bastion host, atau akses konsol dari panel provider sebagai backup.

Limit Cubaan Brute Force SSH

UFW menawarkan perintah limit untuk kurangkan cubaan login bertubi-tubi. Perintah: sudo ufw limit 22/tcp. Ia hadkan sambungan yang terlalu kerap. Namun, fail2ban masih perlu untuk perlindungan lebih lengkap. Gabungan UFW limit, fail2ban, SSH key dan polisi user yang ketat adalah amalan terbaik.

Buka Port Web Server: HTTP dan HTTPS

Untuk laman web, port 80/tcp (HTTP) dan 443/tcp (HTTPS) mesti dibuka. HTTPS kini wajib untuk SEO, keselamatan browser dan kepercayaan pengguna. Tanpa SSL, laman web akan diberi amaran dan boleh kehilangan trafik serta jualan Sijil SSL.

Aturan Asas Nginx atau Apache

Buka HTTP: sudo ufw allow 80/tcp. Buka HTTPS: sudo ufw allow 443/tcp. Boleh juga gunakan sudo ufw app list untuk lihat profil aplikasi UFW. Nginx Full atau Apache Full membenarkan HTTP dan HTTPS sekali gus: sudo ufw allow Nginx Full / sudo ufw allow Apache Full.

Adakah Cukup Hanya HTTPS?

Secara teknikal, site boleh hanya beroperasi atas HTTPS. Namun, proses auto-renew SSL (Let’s Encrypt) dan redirect HTTP ke HTTPS memerlukan port 80 dibuka. Sebaiknya, buka kedua-dua port dan guna redirect 301 secara aplikasi untuk semua HTTP ke HTTPS.

Port Khas, Database dan Panel Admin

Memang mudah buka port, tetapi kepakaran ialah tahu port mana tak patut dibuka. Contohnya, port MySQL (3306), PostgreSQL (5432), Redis (6379), Elasticsearch (9200) jika dibuka ke internet boleh jadi risiko besar. Pastikan database hanya listen di localhost atau melalui private network.

Buka Port Khas untuk IP Tertentu

Jika hanya server aplikasi boleh akses database, gunakan aturan IP. Contoh: sudo ufw allow from 198.51.100.25 to any port 5432 proto tcp. Elak sudo ufw allow 5432/tcp pada database production, kerana ia terbuka kepada semua.

Untuk database, panel admin dan servis dalaman, sentiasa gunakan IP restriction.

Panel Hosting: cPanel, Plesk dan Lain-lain

Panel hosting seperti cPanel dan Plesk menggunakan pelbagai port. Semak senarai port rasmi sebelum aktifkan UFW. Jika tidak, email, DNS, FTP atau akses panel boleh terputus. Untuk pengguna hosting pengurusan, kebiasaannya provider akan urus aturan ini Penyimpanan Web.

Padam, Edit dan Susun Aturan UFW

Pengurusan aturan UFW mudah, tetapi pastikan rekod diambil bila ubah aturan di production. Lihat aturan bernombor: sudo ufw status numbered. Padam aturan dengan sudo ufw delete nombor, contohnya sudo ufw delete 5.

Boleh juga padam dengan perintah penuh: sudo ufw delete allow 8080/tcp untuk buang aturan port 8080. Untuk aturan lebih kompleks, padam berdasarkan nombor lebih selamat.

Susunan aturan penting jika gabung allow dan deny. Untuk tambah deny IP di atas sekali, guna sudo ufw insert 1 deny from 203.0.113.55. Ini sesuai untuk halang IP yang disyaki menyerang server.

Pantau Trafik dengan Log UFW

Firewall bukan sekadar tutup port, tetapi untuk faham perilaku network. Hidupkan log dengan sudo ufw logging on. Level log boleh low, medium, high atau full. Level low biasanya memadai.

Semak log di /var/log/ufw.log. Contoh: sudo tail -f /var/log/ufw.log. Di sini, anda boleh lihat sambungan yang ditolak, IP sumber, port sasaran dan protokol. Jika banyak cubaan ke port 22 dari pelbagai IP, perketatkan polisi SSH.

Log level tinggi akan guna ruang disk lebih banyak. Untuk server trafik tinggi, guna log rotation, log pusat dan alert automatik. Dalam projek enterprise, log bukan sekadar simpan tetapi mesti dipantau secara bermakna.

IPv6 dan Konfigurasi UFW

Tahun 2026, sokongan IPv6 jadi standard di banyak data center. Jangan lupa, aturan hanya untuk IPv4 boleh menyebabkan lubang keselamatan. Pastikan UFW urus trafik IPv6 jika server ada alamat IPv6.

Semak fail /etc/default/ufw, pastikan IPV6=yes. Selepas ubah, restart UFW: sudo ufw disable dan sudo ufw enable. Jika status UFW ada aturan v6, bermakna IPv6 juga dikawal.

Jika tidak guna IPv6, jangan terus disable. Semak keperluan provider dan aplikasi. Salah konfigurasi, port yang ditutup di IPv4 mungkin terbuka di IPv6 - ini kesilapan yang kerap berlaku.

Perbezaan UFW dengan Docker

Docker boleh ubah aturan iptables secara automatik bila publish port. Ini kadang-kadang menyebabkan port yang nampak tertutup di UFW, sebenarnya terbuka kerana publish Docker. Contoh, docker run -p 8080:80 akan buka port 80 dalam container ke 8080 host.

Jika guna Docker, semak:

• Output docker ps untuk port yang dibuka ke luar.
• Padam publish -p atau ports yang tidak perlu.
• Pastikan servis hanya listen di 127.0.0.1 jika tidak perlu akses luar.
• Gabungkan semakan cloud security group dengan aturan UFW.
• Gunakan reverse proxy untuk kawal akses di production.

Keselamatan Docker bukan sekadar aturan UFW. Perlu rancang network Docker, image security, pengurusan secret dan update container. Untuk aplikasi trafik tinggi, pemilihan server yang tepat penting untuk prestasi dan keselamatan Pelayan Berdedikasi.

Senarai Semak Keselamatan UFW

Checklist berikut sesuai untuk server Linux yang baru dibina. Semak sebelum publish web, API, e-commerce atau panel pelanggan bagi elak downtime dan risiko keselamatan:

• Kemas kini server: sudo apt update && sudo apt upgrade -y.
• Uji akses SSH dan buka satu lagi terminal sebagai backup.
• Tolak trafik masuk secara default: sudo ufw default deny incoming.
• Benarkan trafik keluar: sudo ufw default allow outgoing.
• Buka port SSH atau gunakan restriction IP.
• Buka port web: 80 dan 443 sahaja.
• Jangan buka port database kepada internet.
• Aktifkan UFW: sudo ufw enable.
• Sahkan aturan: sudo ufw status verbose dan sudo ufw status numbered.
• Hidupkan log dan pantau trafik dalam 24 jam pertama.
• Semak aturan IPv6.
• Jika guna Docker atau panel hosting, test impak port tambahan.

Contoh Praktikal: Setup UFW untuk Server WordPress

Bayangkan satu site WordPress di Ubuntu dengan Nginx, PHP-FPM dan MySQL. MySQL hanya listen di localhost, site publish secara HTTPS dan SSH hanya boleh diakses dari IP admin. Konfigurasi UFW boleh jadi seperti berikut:

• sudo ufw default deny incoming
• sudo ufw default allow outgoing
• sudo ufw allow from 203.0.113.10 to any port 22 proto tcp
• sudo ufw allow 80/tcp
• sudo ufw allow 443/tcp
• sudo ufw logging on
• sudo ufw enable
• sudo ufw status verbose

Dalam setup ini, SSH hanya dibuka kepada IP admin, port web sahaja dibuka dan database tertutup kepada luar. Tambahkan plugin keselamatan WordPress, password admin yang kuat, tema dan plugin terkini, backup regular dan SSL untuk perlindungan padu. Konfigurasi domain dan DNS yang betul juga penting untuk kelancaran site Semakan domain.

Kesilapan Umum dan Cara Atasi

SSH Terputus Selepas UFW Diaktifkan

Ini berlaku jika port SSH tidak dibenarkan sebelum UFW diaktifkan. Jika ada akses konsol dari panel provider, login dan sudo ufw allow 22/tcp atau port custom. Jika tiada, hubungi support. Pastikan SSH dibuka sebelum enable UFW.

Laman Web Tidak Boleh Diakses

Jika Nginx/Apache berjalan tetapi port 80 dan 443 ditutup, laman web tidak boleh diakses. Semak dengan sudo ufw status verbose dan pastikan port didengar oleh server melalui ss -tulpn. Semak juga DNS pengurusan DNS.

Mail Server Tidak Berfungsi

Email memerlukan pelbagai port seperti SMTP, IMAP, POP3 dan versi selamat: 25, 465, 587, 993, 995. Jika guna mail hosting, mungkin tidak perlu buka port ini di server sendiri hosting e-mel korporat.

Aturan Ditambah Tetapi Tidak Berkesan

Mungkin salah protokol, port, Docker override atau security group cloud tidak selari. UFW mengawal peringkat network, tetapi jika servis tidak listen, port terbuka pun tiada gunanya. Gabungkan semakan firewall, status servis dan aturan network provider.

Amalan Terbaik UFW Tahun 2026

Keselamatan server kini lebih dari sekadar tutup port. Konfigurasi UFW yang baik tahun 2026 perlu:

• Buka hanya port yang benar-benar diperlukan.
• Gunakan SSH key untuk authentication.
• Hadkan port pengurusan kepada IP tetap atau VPN.
• Pantau log UFW dan sistem secara berkala.
• Sediakan recovery plan untuk aturan firewall yang salah.
• Gabungkan UFW dengan WAF, SSL, update, backup dan keselamatan aplikasi.
• Dokumenkan setiap aturan dan sebabnya untuk rujukan pasukan.

Firewall yang dikonfigurasi baik adalah pelengkap infrastruktur hosting yang pantas dan boleh diharap. Apabila trafik projek bertambah, perancangan bukan sekadar port, tetapi juga pemantauan, backup, CDN, SSL dan sistem monitoring Pakej Hosting.

Soalan Lazim

Adakah UFW menjadikan server saya benar-benar selamat?

Tidak. UFW mengurangkan permukaan serangan dan menutup port yang tidak perlu, tetapi ia mesti digabungkan dengan update, SSH key, password kuat, SSL, backup dan keselamatan aplikasi.

Cukupkah buka port 80 dan 443 dengan UFW?

Untuk web hosting, biasanya port 80 dan 443 memadai. Untuk pengurusan, pastikan port SSH (22 atau custom) dibuka dengan selamat. Port database dan panel admin sebaiknya dihadkan kepada IP tertentu.

Adakah menukar port SSH meningkatkan keselamatan?

Ia hanya mengurangkan cubaan bot, bukan perlindungan sebenar. Amalan terbaik ialah guna SSH key, tutup akses password, restriction IP dan UFW limit atau fail2ban.

Adakah UFW mengawal Docker container?

Tidak semestinya. Docker boleh override aturan iptables. Semak output docker ps, port yang publish dan aturan UFW bersama-sama.

Perlu semak konfigurasi IPv6 bila guna UFW?

Ya. Jika server ada IPv6, pastikan UFW urus trafik IPv6. Semak /etc/default/ufw dan status UFW untuk aturan v6.

Ringkasnya, UFW di Linux membolehkan pengurusan firewall yang pantas, mudah dibaca dan berkesan. Dengan aturan asas yang tepat, perlindungan SSH, kawalan port web dan pemantauan log, permukaan serangan server dapat dikurangkan secara drastik. Jika anda mula projek baru, rancang infrastruktur hosting yang selamat, gunakan SSL dan jalankan penyelenggaraan berkala. Hostragons menawarkan pelbagai solusi hosting untuk keperluan dan pertumbuhan projek anda, serta membantu anda bina strategi keselamatan yang berkembang seiring trafik dan keperluan.