Gestionarea UFW pentru Firewall pe Servere Linux

UFW pe servere Linux simplifică gestionarea firewall-ului prin reducerea complexității regulilor iptables, făcând gestionarea traficului pentru SSH, HTTP, HTTPS și porturi personalizate rapidă și sigură. În special pe serverele bazate pe Ubuntu și Debian, UFW permite închiderea traficului implicit, deschiderea serviciilor necesare, permiterea accesului pentru anumite adrese IP și limitarea tentativelor greșite. Abordarea recomandată pentru un început sigur este următoarea: asigurați accesul SSH, respingeți traficul implicit, permiteți traficul extern, deschideți doar porturile serviciilor utilizate și verificați periodic starea UFW.

Atunci când un server web este conectat la internet, acesta se confruntă cu scanări automate, încercări de parolă, scanere de vulnerabilitate și interogări inutile ale porturilor. Din acest motiv, firewall-ul este unul dintre primele straturi de securitate pe serverele Linux. UFW este un instrument practic preferat de echipele tehnice în operațiunile zilnice, deoarece are comenzi ușor de citit, adăugarea și ștergerea regulilor se face rapid, oferă logare și reduce riscul de configurare greșită în comparație cu comenzile iptables. În acest ghid, vom aborda pas cu pas instalarea UFW, comenzile de bază, prevenirea blocării SSH, porturile serverului web, permisiunile bazate pe IP, controlul logurilor, IPv6, situații speciale precum Docker și cele mai bune practici de securitate conform standardelor din 2026.

Ce Este UFW și La Ce Servește?

UFW este acronimul pentru Uncomplicated Firewall, tradus prin firewall simplificat. Acesta utilizează infrastructura de filtrare a pachetelor a nucleului Linux, dar oferă comenzi mai ușor de înțeles pentru administratorii de sistem. De exemplu, în loc să scrieți direct reguli iptables sau nftables, puteți permite traficul HTTPS cu comanda sudo ufw allow 443/tcp.

UFW este deosebit de util în următoarele scenarii:

• Asigurarea rapidă a securității de bază pe un VPS sau server dedicat nou.
• Menținerea deschise doar porturile 80 și 443 pe serverul web.
• Limitarea accesului SSH doar la anumite adrese IP.
• Gestionarea conexiunilor SSH cu limitări pentru a reduce încercările de tip brute force.
• Evitați să lăsați complet deschise panourile de testare, staging și gestionare pe internet.
• Monitorizarea conexiunilor suspecte prin loguri.

UFW nu rezolvă problemele de securitate de unul singur; însă reduce suprafața de atac. Atunci când este utilizat împreună cu parole puternice, acces prin cheie SSH, actualizări regulate, configurări SSL/TLS și securitatea aplicațiilor, formează un strat de bază foarte eficient. Dacă găzduiți un site web pe serverul dumneavoastră, nu trebuie să neglijați utilizarea unui certificat SSL împreună cu firewall-ul certificate SSL.

Compararea UFW, iptables și firewalld

În ecosistemul Linux există diferite instrumente pentru gestionarea firewall-ului. UFW, iptables și firewalld servesc de multe ori aceeași nevoie; totuși, ușurința de utilizare, suportul pentru distribuții și abordarea de gestionare diferă. Tabelul de mai jos vă va ajuta să luați o decizie mai ușoară.

Dacă gestionați un server web bazat pe Ubuntu, UFW este suficient pentru majoritatea nevoilor. În rețelele corporative mari sau în arhitecturi de securitate multilayer, UFW ar trebui să fie considerat împreună cu grupuri de securitate cloud, WAF, IDS/IPS și soluții de logging centralizat.

Instalarea UFW și Primele Controale

UFW vine de obicei preinstalat pe Ubuntu. Totuși, este o idee bună să verificați dacă este instalat. Comanda: sudo ufw status. Dacă primiți un mesaj de tip command not found, va trebui să faceți instalarea.

Instalarea pe Ubuntu și Debian

Mai întâi, actualizați lista de pachete: sudo apt update. Apoi, instalați UFW: sudo apt install ufw -y. După instalare, verificați starea serviciului: sudo systemctl status ufw. Chiar dacă nu apare activ în output, acest lucru poate fi normal; UFW poate rămâne pasiv până când regulile sunt activate.

Prima regulă în gestionarea serverului este să nu vă grăbiți. Dacă lucrați pe un VPS de la distanță, asigurați-vă că ați permis accesul pe portul SSH înainte de a activa UFW. Altfel, riscați să pierdeți accesul la propriul server. Dacă utilizați un VPS de la Hostragons, este o măsură practică să notați opțiunile de acces la panou și consola înainte de a face prima configurare a securității server VPS.

Vizualizarea Stării Curente

Pentru a verifica starea UFW, puteți utiliza comanda sudo ufw status verbose. Pentru o listă detaliată și numerotată a regulilor, comanda sudo ufw status numbered este crucială. Când ștergeți o regulă, lista numerotată este foarte utilă. De exemplu, pentru a șterge un port pe care l-ați deschis din greșeală, vedeți mai întâi numărul său, apoi utilizați comanda sudo ufw delete 3 pentru a-l elimina.

Început Securizat: Regulile Implicite

Pe un server Linux nou, cel mai sigur model de început este următorul: respingeți conexiunile implicite, permiteți conexiunile externe, deschideți doar porturile necesare. Această abordare respectă principiul minimului privilegiu.

Comenzile de bază care trebuie aplicate sunt:

• sudo ufw default deny incoming
• sudo ufw default allow outgoing
• sudo ufw allow OpenSSH sau sudo ufw allow 22/tcp
• sudo ufw enable
• sudo ufw status verbose

Aici, punctul critic este accesul SSH. Dacă SSH operează pe un alt port, de exemplu 2222, nu activați UFW fără a rula comanda sudo ufw allow 2222/tcp. Schimbarea portului standard 22 pentru securitatea serverului nu asigură singură securitate; totuși, poate reduce încercările automate ale boturilor. Mai important, trebuie să dezactivați autentificarea prin parolă pentru SSH și să utilizați accesul bazat pe chei.

Asigurarea Accesului SSH

SSH este poarta de gestionare a serverului dumneavoastră. Din acest motiv, este serviciul care trebuie tratat cu cea mai mare atenție în configurarea UFW. Dacă accesul SSH este deschis pentru orice adresă IP, browserele automate de pe internet pot începe rapid să testeze serverul dumneavoastră.

Permisiunea pentru Portul SSH

Dacă se utilizează portul standard, comanda este simplă: sudo ufw allow 22/tcp. Dacă profilul de aplicație Ubuntu este disponibil, sudo ufw allow OpenSSH poate fi folosit. Dacă utilizați un port diferit, de exemplu 2222, este necesară comanda sudo ufw allow 2222/tcp.

Limitarea Accesului SSH la IP-uri Specifice

Una dintre cele mai sigure metode este deschiderea accesului SSH doar pentru adresele IP statice ale administratorilor. De exemplu, dacă adresa dumneavoastră de birou este 203.0.113.10, puteți utiliza comanda: sudo ufw allow from 203.0.113.10 to any port 22 proto tcp. Astfel, portul SSH nu va rămâne deschis pentru toată lumea pe internet.

Dacă aveți mai mulți administratori, adăugați reguli separate pentru fiecare IP. Dacă utilizați IP dinamic, evaluați această metodă cu atenție; accesul poate fi întrerupt atunci când IP-ul se schimbă. În astfel de situații, gestionarea prin VPN, bastion host sau accesul de urgență prin panoul furnizorului reprezintă soluții mai profesionale.

Utilizarea Limitelor pentru Tentativele de Brute Force

UFW oferă o comandă de limitare pentru a reduce încercările frecvente de conectare. Comanda este: sudo ufw limit 22/tcp. Această regulă ajută la limitarea numărului de încercări de conectare într-un interval specificat. Cu toate acestea, aceasta nu poate înlocui complet instrumentele precum fail2ban. În medii de producție, securitatea SSH ar trebui să folosească UFW limit, fail2ban, accesul bazat pe chei și politici de utilizator puternice împreună.

Deschiderea Porturilor Serverului Web: HTTP și HTTPS

Pentru a publica un site web, de obicei sunt necesare porturile 80/tcp și 443/tcp. Portul 80 este pentru traficul HTTP, iar portul 443 este pentru traficul HTTPS. SEO modern, securitatea browserelor și încrederea utilizatorilor fac ca HTTPS să fie standard. Site-urile fără certificat SSL se confruntă atât cu avertismente de securitate, cât și cu pierderi în ratele de conversie certificate SSL.

Reguli de Bază pentru Nginx sau Apache

Comanda pentru HTTP este: sudo ufw allow 80/tcp. Comanda pentru HTTPS este: sudo ufw allow 443/tcp. Pentru a deschide ambele porturi, este mai citibil pentru majoritatea administratorilor să scrieți separat, în loc de sudo ufw allow 80,443/tcp.

Profilurile de aplicație UFW pot fi, de asemenea, utilizate. Puteți vizualiza profilurile pentru Nginx cu comanda sudo ufw app list. De exemplu, profilul Nginx Full permite accesul atât la HTTP, cât și la HTTPS. Comanda este: sudo ufw allow Nginx Full. Pe partea Apache, un profil similar numit Apache Full poate fi utilizat.

Este Suficient Să Folosiți Numai HTTPS?

Tehnic, site-ul dumneavoastră poate fi publicat doar prin HTTPS; totuși, procesele de reînnoire a certificatelor precum Let’s Encrypt și redirecționarea de la HTTP la HTTPS necesită de obicei ca portul 80 să fie deschis în majoritatea scenariilor. Prin urmare, este mai practic să gestionați atât porturile 80, cât și 443 pe serverele web. La nivel de aplicație, redirecționarea tuturor cererilor HTTP către HTTPS cu 301 este cea mai corectă abordare.

Porturi Speciale, Baze de Date și Panouri de Gestionare

Deschiderea oricărui port este ușoară; adevărata expertiză constă în a ști care porturi nu ar trebui deschise. Porturi precum 3306 pentru MySQL, 5432 pentru PostgreSQL, 6379 pentru Redis și 9200 pentru Elasticsearch pot crea riscuri semnificative de securitate dacă sunt lăsate deschise pe internet. Aceste servicii ar trebui să asculte, dacă este posibil, doar pe localhost sau să fie accesibile prin rețea privată.

Deschiderea unui Port Special pentru o Anumită IP

Dacă doriți ca doar serverul de aplicații să aibă acces la serverul de baze de date, ar trebui să utilizați o regulă bazată pe IP. Comanda este: sudo ufw allow from 198.51.100.25 to any port 5432 proto tcp. Această regulă deschide accesul PostgreSQL doar pentru IP-ul specificat.

Un exemplu greșit ar fi utilizarea comenzii sudo ufw allow 5432/tcp în mod deschis pe baza de date de producție. Acest lucru creează o suprafață de atac inutilă. Pentru serverele de baze de date, panourile de gestionare și serviciile interne ar trebui să se ia întotdeauna în considerare restricțiile IP sursă.

Atenție la cPanel, Plesk și Panourile de Gestionare

Panourile de control pentru hosting pot utiliza mai multe porturi. Dacă utilizați Plesk, cPanel sau un panou de gestionare personalizat, nu activați UFW fără a verifica lista oficială a porturilor. Altfel, accesul la email, DNS, FTP sau panou poate fi întrerupt. Pentru utilizatorii care preferă hosting gestionat, această complexitate este de obicei gestionată de furnizor Hostragons Web Hosting.

Ștergerea, Editarea Regulilor și Logica de Ordine

Gestionarea regulilor cu UFW este simplă; totuși, este important să păstrați o evidență atunci când faceți modificări în mediu de producție. Vizualizați mai întâi regulile existente numerotate: sudo ufw status numbered. Găsiți numărul regulii pe care doriți să o ștergeți și folosiți o comandă precum sudo ufw delete 5 pentru a o elimina.

De asemenea, este posibil să ștergeți direct cu o expresie de regulă. De exemplu, comanda sudo ufw delete allow 8080/tcp va elimina regula de permisiune pentru portul 8080. Totuși, în cazul regulilor complexe bazate pe IP, ștergerea numerotată este mai sigură.

Ordinea regulilor devine importantă, în special atunci când se folosesc atât reguli de allow cât și deny. Dacă doriți să adăugați o regulă de respingere pentru un IP specific înaintea unei reguli generale de permisiune, puteți evalua comanda insert. De exemplu, pentru a respinge un IP specific, puteți folosi sudo ufw insert 1 deny from 203.0.113.55. Această abordare este utilă pentru a bloca rapid adresele IP ale atacatorilor sau ale celor care abuzează.

Monitorizarea Traficului cu Logurile UFW

Firewall-ul nu este doar pentru a deschide și închide porturi, ci este și valoros pentru a înțelege comportamentul rețelei. Pentru a activa logurile UFW, se folosește comanda sudo ufw logging on. Nivelul de logare poate fi setat la low, medium, high sau full, dacă este necesar. De obicei, pentru majoritatea serverelor, low este suficient pentru început.

Pentru a examina logurile, puteți verifica fișierul /var/log/ufw.log. Exemplu de comandă: sudo tail -f /var/log/ufw.log. Aici puteți vedea conexiunile respinse, adresele IP sursă, porturile țintă și informațiile despre protocol. De exemplu, dacă primiți încercări de conectare la portul 22 de la sute de IP-uri diferite într-un timp scurt, atunci trebuie să întăriți măsurile de securitate pentru SSH.

Menținerea logurilor la un nivel ridicat poate crește utilizarea discului. Din acest motiv, pe serverele cu trafic intens, ar trebui să se considere rotirea logurilor, logarea centralizată și mecanismele de alarmă. În proiectele corporative, nu doar păstrarea înregistrărilor de securitate este importantă, ci și monitorizarea acestora într-un mod semnificativ.

IPv6 și Setările UFW

Începând cu 2026, suportul pentru IPv6 a devenit standard în multe centre de date. Cu toate acestea, unii administratori pot lăsa vulnerabilități gândindu-se doar la regulile IPv4. Dacă serverul dumneavoastră primește o adresă IPv6, trebuie să vă asigurați că UFW gestionează și traficul IPv6.

Pentru a verifica, ar trebui să găsiți linia IPV6=yes în fișierul /etc/default/ufw. După ce ați făcut modificări, UFW poate fi repornit: sudo ufw disable și apoi sudo ufw enable. Dacă în output-ul comenzii UFW status vedeți reguli cu v6, înseamnă că partea IPv6 este gestionată.

Dacă nu folosiți IPv6, verificați mai întâi cerințele furnizorului și aplicației înainte de a dezactiva complet. O configurare greșită a IPv6 poate permite accesul la un serviciu care a fost oprit pe partea IPv4. Aceasta este o eroare de securitate frecvent întâlnită, dar adesea neobservată.

De Ce UFW Poate Comporta Diferit Când Folosiți Docker?

Docker poate modifica direct regulile iptables atunci când publică porturile containerelor. Aceasta poate fi surprinzătoare pentru administratorii care folosesc UFW; deoarece un port care apare închis în UFW poate deveni accesibil extern din cauza setărilor Docker publish. De exemplu, comanda docker run -p 8080:80 publică portul 80 din container pe 8080 pe host.

Pe serverele care folosesc Docker, ar trebui efectuate următoarele controale:

• Examinați ieșirea docker ps pentru a vedea care porturi sunt deschise către exterior.
• Eliminați definițiile inutile -p sau ports.
• Considerați publicarea serviciilor doar pe 127.0.0.1.
• Verificați grupurile de securitate cloud și regulile UFW împreună.
• În medii de producție, publicați controlat printr-un reverse proxy.

Securitatea în arhitecturile de containere nu se limitează doar la comenzile UFW. Rețelele Docker, securitatea imaginilor, gestionarea secretelor și strategia de actualizare trebuie planificate împreună. Alegerea serverului corect pentru aplicații cu trafic intens este, de asemenea, la fel de critică ca securitatea și performanța Server Dedicat.

Lista de Control pentru Securitate UFW Aplicabilă

Lista de control de mai jos poate fi utilizată ca un standard practic de început pe un server Linux nou instalat. În special, revizuirea acestor puncte înainte de a lansa un proiect web, API, site de comerț electronic sau panou pentru clienți poate reduce riscurile de întrerupere și securitate.

• Actualizați serverul: sudo apt update && sudo apt upgrade -y.
• Testați accesul SSH și, dacă este posibil, lăsați deschis o a doua sesiune de terminal.
• Respingeți traficul implicit: sudo ufw default deny incoming.
• Permiteți traficul extern: sudo ufw default allow outgoing.
• Permiteți accesul pe portul SSH sau aplicați limitări bazate pe IP.
• Deschideți doar porturile 80 și 443 pentru serverul web.
• Nu deschideți porturile bazei de date pe internet.
• Activați UFW: sudo ufw enable.
• Verificați regulile: sudo ufw status verbose și sudo ufw status numbered.
• Activați logarea și verificați traficul suspect în primele 24 de ore.
• Revizuiți regulile IPv6.
• Dacă utilizați Docker sau un panou de control, testați efectele porturilor suplimentare.

Exemplu Real: Instalarea UFW pentru un Server WordPress

Presupunem că un singur site WordPress funcționează pe Ubuntu cu Nginx, PHP-FPM și MySQL. MySQL ascultă doar pe localhost, site-ul este publicat prin HTTPS, iar accesul SSH se face din IP-ul administratorului. În acest scenariu, configurarea UFW ar putea fi următoarea:

• sudo ufw default deny incoming
• sudo ufw default allow outgoing
• sudo ufw allow from 203.0.113.10 to any port 22 proto tcp
• sudo ufw allow 80/tcp
• sudo ufw allow 443/tcp
• sudo ufw logging on
• sudo ufw enable
• sudo ufw status verbose

În această configurație, SSH nu este deschis pentru toată lumea, cele două porturi necesare pentru traficul web sunt deschise, iar baza de date este închisă pentru exterior. Pe partea WordPress, includerea de pluginuri de securitate, o parolă puternică pentru administrator, teme și pluginuri actualizate, backupuri regulate și SSL formează o bază foarte solidă. De asemenea, gestionarea numelui de domeniu și configurarea corectă a înregistrărilor DNS sunt importante pentru accesibilitate Verificare domeniu.

Erori Frecvente și Recomandări de Soluționare

SSH A fost Deconectat După Activarea UFW

Aceasta se întâmplă de obicei atunci când UFW este activat fără a permite portul SSH. Dacă aveți acces la consola din panoul furnizorului, conectați-vă și adăugați sudo ufw allow 22/tcp sau o permisiune pentru portul personalizat pe care îl utilizați. Dacă nu aveți acces la consolă, ar putea fi necesar să contactați echipa de suport. Din acest motiv, regula SSH ar trebui să fie întotdeauna adăugată înainte de a activa UFW.

Site-ul Web Nu Se Deschide

Chiar dacă Nginx sau Apache rulează, dacă porturile 80 și 443 sunt închise, nu se poate accesa site-ul. Verificați porturile cu sudo ufw status verbose. De asemenea, verificați portul pe care serverul web îl ascultă folosind comanda ss -tulpn. Asigurați-vă că înregistrările DNS sunt corect direcționate Managementul DNS.

Serviciile de Email Nu Funcționează

Serverele de email folosesc mai multe porturi pentru SMTP, IMAP, POP3 și variantele lor securizate. Porturile 25, 465, 587, 993, 995 pot fi necesare în funcție de scenariu. Dacă folosiți un serviciu de email hosting, este posibil să nu fie nevoie să deschideți aceste porturi pe serverul dumneavoastră hosting e-mail corporate.

Am Adăugat O Regulă Dar Nu A Funcționat

Protocol greșit, port greșit, efectul Docker, grupul de securitate cloud sau aplicația care ascultă pe un port diferit pot cauza această problemă. Regula UFW gestionează filtrarea la nivel de rețea; dacă aplicația nu funcționează, chiar dacă portul este deschis, nu va oferi servicii. Prin urmare, ar trebui să se verifice împreună firewall-ul, starea serviciului și regulile rețelei furnizorului.

Cele Mai Bune Practici de Securitate UFW pentru 2026

Securitatea modernă a serverului este mai cuprinzătoare decât simpla închidere a câtorva porturi. O bună configurație UFW în 2026 ar trebui să fie susținută de următoarele principii:

• Principiul minimului privilegiu: Deschideți doar porturile cu adevărat necesare.
• Securitatea autentificării: Utilizați accesul bazat pe chei pentru SSH.
• Restricționarea IP: Plasați porturile de gestionare în spatele unei IP statice sau VPN.
• Observabilitate: Monitorizați regulile UFW și logurile sistemului în mod regulat.
• Plan de rezervă: Asigurați-vă că aveți acces la consolă sau proceduri de recuperare pentru reguli greșite de firewall.
• Securitate stratificată: Folosiți UFW împreună cu WAF, SSL, actualizări, backupuri și securitatea aplicațiilor.
• Documentație: Păstrați o evidență a motivelor pentru care fiecare regulă a fost adăugată în cadrul echipei.

Un firewall bine configurat este o parte complementară a unei infrastructuri de hosting performante și fiabile. Pe măsură ce traficul proiectului dumneavoastră crește, nu doar regulile porturilor, ci și utilizarea resurselor, backupurile, CDN, SSL și soluțiile de monitorizare trebuie să fie planificate Pachete de hosting.

Întrebări Frecvente

Activarea UFW face serverul complet sigur?

Nu. UFW reduce suprafața de atac și oferă un strat important de securitate prin închiderea porturilor inutile; totuși, nu este suficient de unul singur. Trebuie utilizat împreună cu actualizări, chei SSH, parole puternice, SSL, backupuri și securitatea aplicațiilor.

Este suficient să deschideți porturile 80 și 443 cu UFW?

Pentru un site web, de obicei, porturile 80 și 443 sunt suficiente. Totuși, pentru gestionarea SSH, trebuie să deschideți în siguranță 22 sau portul SSH personalizat. Porturile bazei de date și ale panoului de gestionare ar trebui, de asemenea, să fie restricționate pe cât posibil pe baza IP.

Schimbarea portului SSH îmbunătățește securitatea?

Schimbarea portului SSH poate reduce încercările automate ale boturilor; totuși, nu ar trebui considerată o măsură de securitate reală. Abordarea mai puternică este utilizarea cheii SSH, dezactivarea autentificării prin parolă, aplicarea restricțiilor IP și utilizarea limitelor UFW sau fail2ban.

Regulile UFW controlează și containerele Docker?

Nu întotdeauna în modul în care te aștepți. Docker poate modifica direct regulile iptables atunci când publică porturi. Prin urmare, pe serverele utilizând Docker, ieșirea docker ps, porturile publicate și regulile UFW trebuie verificate împreună.

Trebuie să verific regulile IPv6 când folosesc UFW?

Da. Dacă serverul dumneavoastră primește o adresă IPv6, trebuie să vă asigurați că UFW gestionează și traficul IPv6. Trebuie verificată setarea IPV6=yes în fișierul /etc/default/ufw și confirmate regulile v6 în ieșirea UFW status.

În concluzie, gestionarea firewall-ului cu UFW pe servere Linux poate fi realizată rapid, clar și eficient. Regulile de început corecte, securitatea SSH, deschiderea controlată a porturilor web și monitorizarea logurilor pot reduce semnificativ suprafața de atac a serverului dumneavoastră. Dacă lansați un nou proiect, planificarea unei infrastructuri de hosting sigure, utilizarea SSL și pașii de întreținere regulată vor aduce rezultate mai sănătoase pe termen lung. Puteți explora soluțiile Hostragons pentru a alege infrastructura potrivită nevoilor dumneavoastră și pentru a dezvolta treptat configurația de securitate în funcție de obiectivele de creștere.