د سرور فایروال نصب: سرور د DDoS حملو او بوټ ټرافیک مخنیوی ته څنګه پیاوړی کړو

د سرور فایروال نصب کول پدې معنا دی چې یوازې ضرور پورتونه خلاص پرېږدو او نور غیر ضروري لاسرسی بندوو؛ دا د DDoS، brute force او زیان رسوونکو بوټونو پر وړاندې د امنیت لومړی دفاعي لایه ده. عملي هدف دا دی چې: SSH ته لاسرسی محدود کړئ، ویب سروېسونه کنټرول سره خلاص کړئ، مشکوک درخواستونه rate limit ته واچوئ، logونه وڅارئ، او که امکان وي، د CDN/WAF په څېر بالاترین لایه محافظت تر سرور پورې د ټرافیک د رسېدو نه مخکې فیلتر کړئ.

کله چې خپل ویب سرور انټرنټ ته خلاص کړئ، نو یوازې د څو دقیقو په اندر کې port scanونه، SSH ته هڅې، زیان رسونکي بوټونه او جعلي user-agentونه به تجربه کړئ. په ځانګړي ډول WordPress، e-commerce، panel، API یا game سرور لرونکي سیستمونه کې فایروال نه یوازې تخنیکي انتخاب دی، بلکې د دوام لپاره ضروري ده. پدې لارښود کې به په لینوکس سرورونو کې قدم پر قدم یو پیاوړی فایروال معماري جوړوو؛ UFW، firewalld، nftables، Fail2ban، web application firewall او د DDoS کمښت ستراتیژي به یو ځای توضیح کړو.

مهم حقیقت: یوازې د سرور فایروال د لوی DDoS حملو مخه نه شي نیولی. کله چې ۲۰ Gbps، ۸۰ Gbps یا تر دې لوړ هجم حمله د دیتاسنتر یا شبکه backbone ته ورسیږي، نو داده بسته د OS فایروال قواعدو ته تر رسېدو مخکې bandwidth ډکوي. ځکه، صحیح لاره لایه‌وار امنیت ده: د خدماتو عرضه کوونکي DDoS محافظت، CDN/WAF، OS فایروال، application rate limit او منظم log analysis باید یو ځای فعال وي. د مناسب انفرسترکچر لپاره Hostragons د VPS او VDS سرور حللارې او د ویب سایټ لپاره Hostragons د وېب هاستنګ بسته‌ګانې ته مراجعه وکړئ.

د سرور فایروال څه کار کوي؟

فایروال د شبکه ټرافیک د سرچینې IP، هدف IP، port، پروتوکول، connection status او ځینې وخت د packet مشخصاتو پراساس فیلتر کوي. مثال: ستاسې ویب سایټ لپاره باید ۸۰ او ۴۴۳ پورتونه خلاص وي، خو database پورت ۳۳۰۶ باید انټرنټ ته خلاص نه وي. SSH پورت ۲۲ ته د هر چا لاسرسی پر ځای یوازې ستاسې دفتر IP ته اجازه ورکړئ.

د فایروال هدف د حملو جادویي ختمول نه دي؛ بلکې د حملې سطحه کوچنی کول دي. هر څومره چې attack surface کوچنی شي، حمله‌کوونکي ته کم انتخابونه پاتې کیږي. نوي لینوکس سرور کې SSH، web panel، mail، database، monitoring agent او test services ممکن یو وخت خلاص وي، چې هر یو جلا خطر لري. ښه فایروال د "defaults deny, allow what is needed" اصل لري.

DDoS او بوټ ټرافیک پېژندنه

DDoS حملې ولې جلا دي؟

DDoS یا Distributed Denial of Service حمله، له ګڼو سرچینو د شدید ټرافیک سره هدف خدمت له کاره غورځوي. حمله ځینې وخت bandwidth ډکوي، ځینې وخت سرور CPU او RAM مصرفوي، یا application لایه کې resource-heavy عملیات trigger کوي. مثلا یو کوچنی app سرور که ثانیه کې ۵۰،۰۰۰ HTTP requests واخلي، نو حتی که شبکه ډکه نشي، PHP-FPM، Node.js یا database pool له کاره وځي.

بوټونه همیشه زیان رسونکي دي؟

نه. Googlebot، Bingbot او monitor bots ګټور دي. خو زیان رسونکي بوټونه admin panel scan، open directories، spam، content scraping، XML-RPC abuse، fake signup او login attempts کوي. هدف دا نه دی چې ټول بوټونه بند شي، بلکې د چلند پراساس فرق وکړی. High error rate، rapid requests، unusual headers او مشکوک URL patterns مهم indicators دي.

د نصب نه مخکې چک لیست

د ژوندۍ سرور فایروال قواعدو لیکلو تر ټولو ستر خطر دا دی چې خپل ځان له سرور څخه بند کړئ. نو مخکې له بدلون، دا چک لیست وکاروئ:

• فعال SSH session مه بندوئ؛ دویم terminal کې test وکړئ.
• تصدیق کړئ چې provider console، VNC یا rescue access لري.
• اوسني خلاص پورتونه لیست کړئ: ss -tulpn یا netstat -tulpn وکاروئ.
• Web، mail، DNS، database، panel، monitoring services کوم portونه کاروي یادداشت کړئ.
• که IPv6 کاروئ، د IPv6 فایروال قواعد هم پلان کړئ.
• لومړی allow قواعد، بیا deny قواعد تطبیق کړئ.
• تصدیق کړئ چې قواعد permanent دي؛ restart سره له منځه نه ځي.

مثلا، یواځې web hosting سرور کې اکثره وخت یوازې ۸۰، ۴۴۳ او محدود SSH پورتونه خلاص وي. که mail server نشته، ۲۵، ۴۶۵، ۵۸۷، ۹۹۳ پورتونه خلاص نه وي. Database که local وي، ۳۳۰۶ یا ۵۴۳۲ باید بیرون ته بند وي.

کوم فایروال ابزار انتخاب کړئ؟

لینوکس کې مختلف ابزارونه دي؛ اکثره یو kernel filtering backend لري، فرق یې في user interface کې دی. UFW د مبتدیانو لپاره ساده دی، firewalld د enterprise او Red Hat سیسټمونو لپاره مناسب دی، nftables advanced flexibility لري. جدول دا انتخاب اسانه کوي:

قدم پر قدم سرور فایروال نصب

۱. خلاص پورتونه او سروېسونه مشخص کړئ

اول قدم دا دی چې پوه شئ څه خلاص دي. لینوکس سرور کې ss -tulpn معلوموي چې کوم سروېس کوم پورت کې listening دی. مثلا nginx که 0.0.0.0:80 او 0.0.0.0:443 کې listening وي، web traffic له ټولو interfaces قبلوي. MariaDB که 0.0.0.0:3306 خلاص وي، دا خطرناک دی؛ اکثره وخت database باید 127.0.0.1 وي.

عملي قاعده: هیڅ سروېس چې له انټرنټ څخه access ته ضرورت نه لري، باید 0.0.0.0 کې listening نه وي. اول service config اصلاح کړئ، بیا فایروال تطبیق کړئ. که فایروال disable شي، بیا هم service باید بیرون ته خلاص نه وي.

۲. Default policy بند کړئ

د secure قواعدو کې default incoming traffic رد کیږي، outgoing traffic د ضرورت مطابق خلاص وي. دا approach دا یقیني کوي چې نوي services غلطی سره انټرنټ ته خلاص نشي. UFW کې، اول SSH ته اجازه، بیا ۸۰ او ۴۴۳، بیا default deny incoming، فایروال enable کړئ.

مثالي پروسه: SSH ته د admin IP اجازه، HTTP/HTTPS خلاص کړئ، غیر ضروري پورتونه بند کړئ، بیا enable کړئ. SSH ته اجازه نه ورکول او فایروال فعالول د remote سرورونو تر ټولو عامه اشتباه ده.

۳. SSH لاسرسی محدود کړئ

SSH د حمله‌کوونکو favorite هدف دی. Default ۲۲ پورت خلاص وي، هره ورځ سلګونه یا زرونه password attempts کیږي. بهترینه لاره دا ده چې SSH یوازې مشخص IP ته خلاص کړئ. ثابت IP لرئ، یوازې office یا VPN IP ته اجازه ورکړئ. که ثابت IP نشته، حداقل key-based authentication وکاروئ او password login بند کړئ.

• Root SSH login بند کړئ.
• Password پر ځای SSH key وکاروئ.
• AllowUsers یا AllowGroups سره user محدود کړئ.
• Fail2ban سره failed attempts اتوماتically بند کړئ.
• Panel port هم IP restriction ته واچوئ.

Port بدلول یوازې noise کموي، خو اصلي امنیت IP restriction، قوي authentication او log monitoring سره رامنځته کیږي.

۴. ویب پورتونه کنټرول سره خلاص کړئ

د web hosting سرور لپاره ۸۰ او ۴۴۳ پورتونه ضروري دي. نن سبا ۴۴۳ (HTTPS) باید اصلي پورت وي، ۸۰ یوازې د HTTPS redirect لپاره خلاص وي. SSL نه لرونکي سایټونه هم user trust او هم SEO کې زیانمن کیږي. دلته Hostragons د SSL سندونه ته طبیعي داخلي لینک ورکړئ.

Web ports خلاصول کې real IP ته پام وکړئ. که CDN یا reverse proxy لرئ، سرور باید یوازې د CDN IP ranges ته ۸۰ او ۴۴۳ خلاص کړي، نه ټول انټرنټ ته. دا سره حمله‌کوونکی که اصلي IP هم پیدا کړي، مستقیم ویب سروېس ته نشي رسیدلی.

۵. Database او داخلي سروېسونه بند کړئ

MySQL، MariaDB، PostgreSQL، Redis، Elasticsearch، MongoDB او ورته سروېسونه انټرنټ ته خلاص پرېښودل ستر خطر لري. Redis authentication نشتوالی، Elasticsearch unauthorized access یا MongoDB open management port پخوا ډیر data leaks ته سبب شوي. دا سروېسونه باید یوازې localhost یا private network ته خلاص وي.

مثلا WordPress site چې سرور کې دی، database باید 127.0.0.1 کې listening وي. که application او database جلا سرورونه دي، یوازې app سرور IP ته اجازه ورکړئ. Public ۳۳۰۶ یا ۵۴۳۲ خلاص پرېښودل، د bot scan لپاره تر ټولو مشهور غلطی ده.

۶. Fail2ban سره Brute Force بند کړئ

Fail2ban logs وڅاري، repeated failed attempts تشخیص کړي، او IP address موقتاً بندوي. SSH، nginx، Apache، Postfix، Dovecot، WordPress login او panel services ته jail تعریف کړئ. مثلا، IP که ۱۰ دقیقه کې ۵ ناکامه SSH هڅې وکړي، ۱ ساعت بند کړئ.

د Fail2ban config کې ډیر aggressive قواعد احتیاط سره وکاروئ. غلط log pattern real users بندوي. نو ابتدا کې bantime معقول واچوئ، logs وڅارئ، بیا تدریجي سختوالی اضافه کړئ.

۷. Rate limiting او connection limits اضافه کړئ

DDoS او bot traffic ته OS-level rate limit مرسته کوي. مثلا، که له یوې IP ثانیه کې ډیر connections راځي، limit واچوئ. Nginx کې limit_req او limit_conn modules، Apache کې mod_evasive یا ورته حلونه وکاروئ. Application کې login، search، cart، payment او API endpoints ته هم rate limit تعریف کړئ.

مثالي مثال: login page کې هر IP ته دقیقه کې ۱۰ attempts، search endpoint کې ثانیه کې ۲-۵ request، API کې user-based token limit، IP limit او behavior analysis یو ځای تعریف کړئ. دا سره حمله‌کوونکی یوازې IP بدلولو سره ټول limits نشي bypass کولای.

UFW سره د امنیتي نصب نمونه

Ubuntu یا Debian سرور کې ساده secure setup دا ډول دی: اول موجود services وڅارئ، admin IP ته SSH اجازه ورکړئ، ۸۰ او ۴۴۳ خلاص کړئ، default incoming deny کړئ، UFW status وڅارئ. که SSH ته IP محدودول نشي کولای، موقتاً ټولو IP ته SSH اجازت ورکړئ، بیا VPN یا ثابت IP ته محدود کړئ.

مثالي rules: admin IP 203.0.113.10 دی. SSH یوازې دې IP ته خلاص وي. Web traffic ۸۰ او ۴۴۳ ته خلاص وي. Database، Redis، panel او test ports بند وي. دا setup د کوچني او متوسط کاروباري ویب سایټ لپاره مناسب دی. Domain او DNS تنظیم لپاره Hostragons د ډومېن لټون او ثبت ته داخلي لینک ورکړئ.

firewalld او Zone concept

AlmaLinux، Rocky Linux او RHEL سرورونه کې firewalld عام دی. firewalld zone concept لري: public zone د انټرنټ interface لپاره، trusted zone د private network لپاره، drop zone unwanted traffic ته. مهم فرق runtime او permanent rules دی؛ runtime په فوري توګه فعال شي خو restart سره له منځه ځي، permanent قواعد دائمي دي خو reload ته اړتیا لري.

Enterprise برخه کې firewalld سره service-based definitions اسانه دي. مثلا http او https public zone کې خلاص کړئ، SSH یوازې مشخص IP ته اجازه ورکړئ. که management، backup او user traffic جلا interfaces لري، zone structure امنیت او readibility لوړوي.

CDN، WAF او provider-level DDoS محافظت

Local فایروال د packets نه وروسته تصمیم نیسي. لوی DDoS حملو کې هدف دا دی چې traffic سرور ته د رسیدو نه مخکې فیلتر شي. CDN، WAF او provider-level DDoS محافظت ډېر مهم دي. CDN static content edge location ته انتقالوي، WAF application layer کې malicious requests فیلتر کوي، provider protection network-level attackونه جذب یا پاکوي.

د مثالي setup لپاره DNS records باید CDN ته اشاره وکړي، real server IP پټ شي، سرور فایروال یوازې CDN IP ranges ته ۸۰ او ۴۴۳ خلاص کړي. Management ports VPN یا ثابت IP ته محدود وي. دا سره direct IP attack احتمال کموي او bot traffic د application ته د رسیدو نه مخکې فیلتر کیږي. د web security او performance لپاره د ویب‌سایټ د چټکولو او امنیت لارښودونه ته لینک ورکړئ.

د بوټونو پر وړاندې application-layer تدابیر

Bot management یوازې د IP ban لیست نه دی. Modern bots proxy، mobile network، data center IPs او مختلف user agents کاروي. نو behavioral approach ضروري دی. Short time کې ډیر login attempts، constant 404 scanning، wp-login.php یا xmlrpc.php abuse، abnormal click pattern او مشکوک headers باید وڅارئ.

• Login او signup forms کې rate limit وکاروئ.
• XML-RPC access بند یا محدود کړئ.
• Admin panel ته غیر URL، IP restriction او multi-factor authentication اضافه کړئ.
• Suspicious user-agent او referer patterns WAF کې فیلتر کړئ.
• Forms کې CAPTCHA یا invisible bot detection mechanisms متوازن وکارئ.
• API endpoints ته keys، signatures، quotas او timestamp controls اضافه کړئ.

Bot management کې user experience ته پام وکړئ. Excessive CAPTCHA، aggressive blocking یا غلط geo-blocking users ته ضرر رسوي. نو measurement، testing او gradual tightening بهترینه لاره ده.

Log monitoring او alert rules

فایروال نصب ختم نه دی؛ دا یو live system دی او باید منظم monitored شي. auth.log یا secure کې SSH attempts، nginx access logs کې abnormal request volume، error logs کې 404 او 500 ډیروالی، system metrics کې CPU او connection count باید وڅارئ. ساده alarm حتی د حملې په وخت کې څو دقیقې درته خوندي کوي.

ابتدایی thresholds: ۵ دقیقه کې له یوه IP نه ۱۰۰+ 404 requests، ۱ دقیقه کې login page ته ۲۰+ attempts، CPU ۱۰ دقیقه ۹۰٪+ وي، connection count normal نه درې چنده شي. Threshold هر سایټ ته فرق لري؛ مهم دا دی چې normal traffic profile وپیژنئ.

عامې غلطۍ او د مخنیوي لاره

• SSH ته اجازه نه ورکول او فایروال فعالول: remote سرور ته access له لاسه ورکوی. همیشه دویم session سره test وکړئ.
• IPv6 هیرول: که IPv4 بند وي، سروېس ممکن IPv6 کې خلاص پاتې شي.
• Database انټرنټ ته خلاص پرېښودل: ۳۳۰۶، ۵۴۳۲، ۶۳۷۹، ۹۲۰۰ پورتونه bot scan ته آسانه هدف دي.
• CDN کارول خو real IP خلاص پرېښودل: Attackers CDN bypass کولی شي.
• Rules documenting نه کول: emergency کې قواعد فهمول سخت کیږي.
• Backup access plan نه لرل: غلط rule سره console access نه وي، downtime اوږدیږي.

د عملي فایروال سیاست نمونه

د کوچني business ویب سایټ لپاره دا summary policy مناسب ده: incoming traffic default بند، ۴۴۳ ټول visitors ته خلاص، ۸۰ یوازې د HTTPS redirect لپاره، SSH یوازې VPN یا ثابت admin IP ته، database local یا private network کې، CDN کاروئ نو ۸۰ او ۴۴۳ یوازې CDN IP ته، Fail2ban SSH او web login attempts وڅاري، logs مرکزی monitor ته لیږي.

د متوسط e-commerce سایټ کې اضافي: payment callback IP allowlist، admin panel VPN ته انتقال، API user-based quotas، WAF کې SQL injection/XSS rules فعال، country یا ASN-based temporary filtering. دا plan باید مستند وي؛ د حملې په وخت کې predefined procedure downtime کموي.

تست کول: قواعد واقعا کار کوي؟

د فایروال نصب وروسته حتماً test وکړئ. له مختلف network نه port scan وکړئ، SSH یوازې allowed IP ته کار کوي، web site HTTPS ته accessible دی، database port بیرون ته بند دی. CDN کاروئ، real server IP ته HTTP request واستوئ، blocked دی که نه.

Test کې production systems ته ضرر رسونکي aggressive scans مه کوئ. هدف secure validation دی. هربدلون وروسته rules export یا note کړئ، مشکل کې rollback آسانه وي.

د ساتنې او update پلان

د سرور امنیت یو وخت نصب نه دی، بلکه منظم maintenance ده. نوی service اضافه کړئ، ports چک کړئ، زوړ service لرې کړئ، permissions حذف کړئ، security updates په وخت تطبیق کړئ، logs periodical وګورئ. میاشت کې یو ځل port audit، درې میاشت کې firewall rules مرور کړئ.

Backup plan د security strategy برخه ده. DDoS access قطع کولی شي، خو ransomware یا unauthorized access data loss ته سبب کیږي. Secure hosting، SSL، domain management او backup یو ځای فکر کړئ. دلته د خوندي هاستنګ د ټاکنې پر مهال مهم ټکي او د SSL سند نصب څنګه ترسره کېږي ته داخلي لینک ورکړئ.

نتیجه

د سرور فایروال نصب سرور د DDoS او بوټونو پر وړاندې مکمل invisible نه کوي، خو attack surface کموي، unauthorized access خطر کموي، او incident ته controlled response ممکنوي. بهترینه نتیجه د provider-level DDoS، CDN/WAF، tight port policy، SSH restriction، Fail2ban، rate limit او منظم log monitoring سره ترلاسه کیږي.

که نوی project لانچ کوئ، د فایروال policy له شروع پلان کړئ، وروسته اصلاح کول سخت دي. Hostragons کې د سرور، hosting، domain او SSL انتخاب سره security ته هم پام وکړئ، تر څو resilient web environment ولرئ. د ضرورت اساساتو لپاره دا چک لیست وکاروئ: ports بند کړئ، SSH محدود کړئ، HTTPS mandatory کړئ، logs وڅارئ.

پرله پسې پوښتنې

ایا سرور فایروال DDoS حمله مکمل بندولی شي؟

نه. Local فایروال small scale او protocol-level حملې کموي، خو لوی DDoS ته provider-level DDoS، CDN او WAF ته اړتیا ده.

د ویب سرور کوم ports باید خلاص وي؟

معمولي ویب سرور کې ۸۰ او ۴۴۳ خلاص وي. SSH یوازې admin IP ته باید خلاص وي. Database او internal ports باید بیرون ته بند وي.

UFW یا firewalld باید وکاروم؟

Ubuntu او Debian لپاره UFW اسانه ده. AlmaLinux، Rocky Linux او RHEL کې firewalld عام دی. Advanced او custom scenarios کې nftables مناسب دی.

بوټ ټرافیک یوازې د IP بندولو سره کنټرولیدای شي؟

اکثر نه. Modern bots مختلف IPs او proxies لري. IP blocking سره rate limit، WAF rules، behavior analysis، CAPTCHA او application quotas هم باید وي.

د فایروال نصب کې تر ټولو ستر خطر څه دی؟

غلط rule سره SSH access قطع کول. نو لومړی SSH اجازه، دویم session test، provider console access آماده لرئ.