Лако управљање заштитним зидом на Linux серверима уз UFW

UFW на Linux серверима је алат за управљање заштитним зидом који поједностављује сложена iptables правила, чинећи управљање заштитним зидом за SSH, HTTP, HTTPS и посебне портове брзим и сигурним. Посебно је користан на серверима базираним на Ubuntu и Debian, где можете затворити подразумевани долазни саобраћај, отворити потребне услуге, дозволити одређеним IP адресама приступ и ограничити неуспеле покушаје. Препоручени приступ за основну сигурност је следећи: осигурајте SSH приступ, одбијте подразумевани долазни саобраћај, дозволите одлазни саобраћај, отворите само портове за услуге које се користе и редовно проверавајте статус UFW.

Када веб сервер постане доступан интернету, суочава се са бот скенирањима, покушајима хаковања, скенерима рањивости и непотребним упитима за портове. Због тога је заштитни зид један од првих слојева безбедности Linux сервера. UFW је практичан алат који технички тимови преферирају у свакодневним операцијама; јер има читљиве команде, брзо додаје и уклања правила, нуди логовање и смањује ризик од погрешне конфигурације у поређењу са iptables командама. У овом водичу ћемо корак по корак обрадити инсталацију UFW, основне команде, спречавање закључавања SSH, портове веб сервера, IP базиране дозволе, контролу логова, IPv6, као и специјалне услове као што су Docker и безбедносне праксе у складу са стандардима из 2026. године.

Шта је UFW и чему служи?

UFW је скраћеница за Uncomplicated Firewall. Може се превести као "поједностављени заштитни зид". У позадини користи инфраструктуру за филтрирање пакета Linux језгра; али нуди администратору система разумљивије команде. На пример, уместо да директно пишете iptables или nftables правила, можете користити команду sudo ufw allow 443/tcp да бисте дозволили HTTPS саобраћај.

UFW је посебно користан у следећим сценаријима:

• Брзо обезбеђивање основне мрежне безбедности на новоуспостављеном VPS или посвећеном серверу.
• Држање отвореним само портова 80 и 443 на веб серверу.
• Ограничење SSH приступа само на одређене IP адресе.
• Управљање SSH везама са лимитима како би се смањили покушаји brute force напада.
• Не остављање тестних, стагинг и управљачких панела потпуно доступним интернету.
• Праћење сумњивих веза путем логова.

UFW сама по себи не решава све безбедносне проблеме; али смањује површину напада. Када се користи у комбинацији са снажним лозинкама, SSH приступом путем кључа, редовним ажурирањима, конфигурацијом SSL/TLS и безбедношћу апликација, ствара веома ефикасан основни слој. Ако хостујете веб сајт на свом серверу, не сме се занемарити коришћење SSL сертификата уз заштитни зид SSL сертификати.

Поређење UFW, iptables и firewalld

У Linux екосистему постоје различити алати за управљање заштитним зидом. UFW, iptables и firewalld често задовољавају исте потребе; али њихова лакоћа коришћења, подршка за дистрибуције и приступ управљању су различити. Долња табела олакшава доношење одлуке.

Ако управљате веб сервером на бази Ubuntu, UFW је довољан за већину потреба. У великим корпоративним мрежама или у сложеним архитектурама безбедности, UFW треба разматрати у комбинацији са облачним безбедносним групама, WAF, IDS/IPS и централизованим решењима за логовање.

Инсталација UFW и прве провере

UFW обично долази већ инсталиран на Ubuntu. Ипак, добра је идеја проверити да ли је инсталиран. Команда: sudo ufw status. Ако добијете излаз попут "command not found", потребно је да инсталирате UFW.

Инсталација на Ubuntu и Debian

Прво ажурирајте списак пакета: sudo apt update. Затим инсталирајте UFW: sudo apt install ufw -y. После инсталације, проверите статус службе: sudo systemctl status ufw. Иако се може чинити да није активан, то је нормално; UFW може остати неактиван док се правила не активирају.

Прво правило у управљању сервером је не журити. Ако радите на удаљеном VPS-у, уверите се да сте дозволили порт за SSH пре него што активирате UFW. У супротном, можете изгубити приступ свом серверу. Ако користите VPS преко Hostragons-а, практично је да запишете опције за приступ панелу и конзоли пре него што направите прву конфигурацију безбедности VPS сервер.

Провера тренутног стања

Да бисте видели статус UFW, можете користити команду sudo ufw status verbose. За детаљнији и нумерисани списак правила, важна је команда sudo ufw status numbered. Када уклањате правило, нумерисана листа је веома корисна. На пример, ако сте случајно отворили порт, прво ћете видети његов број, а затим ћете га уклонити командом sudo ufw delete 3.

Сигуран почетак: подразумевана правила

На новом Linux серверу, најбезбеднији почетни модел је обично: подразумевано одбијање долазних веза, дозволити одлазне везе, отворите само неопходне портове. Овај приступ је у складу са принципом најмањих привилегија.

Основне команде које треба применити су:

• sudo ufw default deny incoming
• sudo ufw default allow outgoing
• sudo ufw allow OpenSSH или sudo ufw allow 22/tcp
• sudo ufw enable
• sudo ufw status verbose

Критична тачка овде је SSH приступ. Ако SSH ради на другом порту, на пример 2222, немојте активирати UFW без покретања команде sudo ufw allow 2222/tcp. Промена стандардног порта 22 за безбедност сервера сама по себи не обезбеђује безбедност; али може смањити аутоматске покушаје ботова. Важније је искључити улазне лозинке за SSH и користити приступ путем кључа.

Побољшање безбедности SSH приступа

SSH је управљачка капија вашег сервера. Због тога је услуга која се мора највише пажљиво обрадити у конфигурацији UFW. Ако је SSH приступ отворен за сваку IP адресу, аутоматизовани скенери на интернету могу брзо почети да тестирају ваш сервер.

Дозволите SSH порт

Ако користите стандардни порт, команда је једноставна: sudo ufw allow 22/tcp. Ако постоји профил за апликацију на Ubuntu, може се користити и sudo ufw allow OpenSSH. Ако користите различити порт, на пример 2222, потребна је команда sudo ufw allow 2222/tcp.

Ограничите SSH приступ на одређену IP адресу

Један од најсигурнијих метода је отворити SSH приступ само за фиксне администраторске IP адресе. На пример, ако је ваш канцеларијски IP 203.0.113.10, можете користити следећу команду: sudo ufw allow from 203.0.113.10 to any port 22 proto tcp. На тај начин SSH порт не остаје отворен за интернет уопште.

Ако имате више администратора, додајте одвојено правило за сваку IP адресу. Ако користите динамичку IP адресу, пажљиво размотрите ову методу; ако се IP промени, можете изгубити приступ. У таквим случајевима, управљање преко VPN-а, bastion host или хитни приступ через конзолу преко провајдера је професионалније решење.

Користите лимите за покушаје brute force напада

UFW нуди команду limit да смањи учесталост покушаја везе. Команда: sudo ufw limit 22/tcp. Ово правило помаже у ограничавању превише покушаја везе у одређеним интервалима. Међутим, не може у потпуности заменити алате као што је fail2ban. У производном окружењу, безбедност SSH треба комбиновати с UFW лимитом, fail2ban, приступом путем кључа и чврстим политикама корисника.

Отварање портова веб сервера: HTTP и HTTPS

За објављивање веб сајта обично су потребни портови 80/tcp и 443/tcp. Порт 80 је за HTTP, а порт 443 за HTTPS саобраћај. Модерни SEO, безбедност прегледача и поверење корисника чине HTTPS стандардом. Сајтови без SSL сертификата могу се суочити са упозорењима о безбедности и губитком конверзије SSL сертификати.

Основна правила за Nginx или Apache

Команда за HTTP: sudo ufw allow 80/tcp. Команда за HTTPS: sudo ufw allow 443/tcp. Да бисте отворили оба портова, већина администатора преферира да их напише одвојено, уместо да користи команду sudo ufw allow 80,443/tcp.

Такође се могу користити UFW профили апликација. За Nginx можете видети профиле помоћу команде sudo ufw app list. На пример, Nginx Full профил дозвољава и HTTP и HTTPS приступ. Команда: sudo ufw allow Nginx Full. На Apache страни, слично се може користити Apache Full профил.

Да ли је довољно користити само HTTPS?

Технички, ваш сајт може бити доступан само преко HTTPS; али процеси обнове сертификата попут Let’s Encrypt и преусмеравање HTTP на HTTPS чине да порт 80 мора бити отворен у већини сценарија. Због тога је практичније управљати портовима 80 и 443 заједно на веб серверима. На нивоу апликације, преусмеравање свих HTTP захтева на HTTPS 301 је најправилнији приступ.

Посебни портови, базе података и управљачки панели

Лако је отворити било који порт; права стручност је знати који порт не треба отворити. Портови попут 3306 за MySQL, 5432 за PostgreSQL, 6379 за Redis и 9200 за Elasticsearch могу представљати озбиљне безбедносне ризике ако су остављени отворени на интернету. Ове услуге треба, ако је могуће, слушати само на localhost или бити доступне преко приватне мреже.

Отворите посебан порт за одређену IP адресу

На пример, ако желите да само ваш апликациони сервер може да приступи бази података, требало би да користите правило засновано на IP адреси. Команда: sudo ufw allow from 198.51.100.25 to any port 5432 proto tcp. Ово правило отвара PostgreSQL приступ само за наведене IP адресе.

Погрешан пример би био користити команду sudo ufw allow 5432/tcp отворено за све на производној бази података. Ово ствара непотребну површину напада. Базе података, управљачки панели и интерне услуге увек треба разматрати уз ограничења извора IP адреса.

Обратите пажњу на cPanel, Plesk и управљачке панеле

Контролни панели за хостинг могу користити више портова. Ако користите Plesk, cPanel или посебан управљачки панел, не активирајте UFW без провере званичне листе портова. У супротном, може доћи до прекида у приступу е-пошти, DNS-у, FTP-у или панелу. За кориснике који бирају управљани хостинг, ову компликованост обично решава добављач Веб хостинг.

Уклањање, уређивање правила и логика нумерисања

Управљање правилима у UFW је једноставно; али је важно водити записе када правите промене у производном окружењу. Прво прегледајте постојећа правила у нумерисаном формату: sudo ufw status numbered. Пронађите број правила које желите да уклоните и уклоните га командом sudo ufw delete 5.

Такође је могуће уклонити правило директно по изразу. На пример, команда sudo ufw delete allow 8080/tcp уклања правило за дозволу за порт 8080. Међутим, у сложеним правилима заснованим на IP адреси, нумерисано уклањање је сигурније.

Редослед правила постаје важан, посебно када се заједно користе allow и deny правила. Ако желите да додате правило за одбијање пре опште дозволе, можете размотрити команду insert. На пример, да бисте одбили одређену IP адресу на самом врху, можете користити sudo ufw insert 1 deny from 203.0.113.55. Овај приступ је користан за брзо блокирање нападача или злоупотребљених IP адреса.

Прати саобраћај уз UFW логове

Заштитни зид није само за отварање и затварање портова, већ је и користан за разумевање понашања мреже. Да бисте омогућили UFW логовање, користите команду sudo ufw logging on. Ниво логова може бити подешен на low, medium, high или full ако је потребно. За већину сервера, low је довољан за почетак.

Да бисте прегледали логове, можете проверити фајл /var/log/ufw.log. Пример команде: sudo tail -f /var/log/ufw.log. Овде можете видети одбијене везе, изворне IP адресе, циљне портове и информације о протоколу. На пример, ако у кратком времену добијете стотине покушаја на порту 22 из различитих IP адреса, потребно је појачати безбедносне мере за SSH.

Држање логова на високом нивоу може повећати употребу диска. Због тога је у серверима са великим прометом потребно размотрити ротацију логова, централизовано логовање и механизме за аларм. У корпоративним пројектима, није само важно чувати безбедносне записе, већ и значајно их пратити.

IPv6 и UFW подешавања

Од 2026. године, IPv6 подршка је постала стандард у многим дата центрима. Међутим, неки администратори могу оставити безбедносне рупе разматрајући само IPv4 правила. Ако ваш сервер добија IPv6 адресу, требало би да се уверите да UFW управља и IPv6 саобраћајем.

Да бисте проверили, у фајлу /etc/default/ufw требало би да постоји редак IPV6=yes. Након измене, можете поново покренути UFW: sudo ufw disable па затим sudo ufw enable. Ако у излазу UFW status видите правила са oznakom v6, то значи да се управља IPv6 страном.

Ако не користите IPv6, пре него што га потпуно онемогућите, прво проверите захтеве провајдера и апликација. Погрешна конфигурација IPv6 може довести до тога да услуга коју сте искључили на IPv4 остане доступna преко IPv6. Ово је честа, али често занемарена безбедносна грешка.

Зашто UFW може другачије реаговати када се користи Docker?

Docker може директно променити iptables правила када објављује портове контејнера. Ово може бити изненађујуће за администраторе који користе UFW; јер порт који изгледа затворен у UFW може постати доступан због Docker publish подешавања. На пример, команда docker run -p 8080:80 објављује порт 80 унутар контејнера на хосту као 8080.

На серверима који користе Docker, потребно је извршити следеће провере:

• Проверите које портове су отворени у излазу docker ps.
• Уклоните непотребне -p или ports дефиниције.
• Размотрите објављивање услуга само на 127.0.0.1.
• Проверите облачне безбедносне групе и UFW правила заједно.
• У производном окружењу, обавите контролисано објављивање преко реверзне прокси.

Безбедност у архитектурама контејнера није само о UFW командама. Docker мреже, безбедност слика, управљање секрета и стратегија ажурирања морају бити планирани у пакету. Правilan избор сервера за апликације са великим прометом је кључан за безбедност и перформансе Дедиковани Сервер.

Контролна листа безбедносних мера за UFW

Следећа контролна листа може се користити као практични стандард за новоуспостављени Linux сервер. Посебно пре објављивања веб пројекта, API, e-commerce сајта или корисничког панела, прегледање ових тачака смањује ризике од прекида и безбедности.

• Ажурирајте сервер: sudo apt update && sudo apt upgrade -y.
• Тестирајте SSH приступ и оставите отворену другу терминалну сесију ако је могуће.
• Одбијте подразумевани долазни саобраћај: sudo ufw default deny incoming.
• Дозволите подразумевани одлазни саобраћај: sudo ufw default allow outgoing.
• Дозволите SSH порт или примените ограничење засновано на IP-у.
• Отворите само портове 80 и 443 за веб сервер.
• Не остављајте портове база података отворене за интернет.
• Активирајте UFW: sudo ufw enable.
• Проверите правила: sudo ufw status verbose и sudo ufw status numbered.
• Активирајте логовање и проверите сумњиви саобраћај у првих 24 сата.
• Прегледајте IPv6 правила.
• Ако користите Docker или контролни панел, тестирајте ефекте додатних портова.

Реални пример: Инсталација UFW за WordPress сервер

Замислите да један WordPress сајт ради на Ubuntu са Nginx, PHP-FPM и MySQL. MySQL слуша само на localhost, сајт се објављује преко HTTPS и SSH ће бити доступан само са IP адресе администратора. У овом сценарију, конфигурација UFW може изгледати овако:

• sudo ufw default deny incoming
• sudo ufw default allow outgoing
• sudo ufw allow from 203.0.113.10 to any port 22 proto tcp
• sudo ufw allow 80/tcp
• sudo ufw allow 443/tcp
• sudo ufw logging on
• sudo ufw enable
• sudo ufw status verbose

У овој конфигурацији, SSH није доступан свима, два порта неопходна за веб саобраћај су отворена, а база података је затворена за спољни свет. На WordPress страни, безбедносни додаци, јака лозинка за администратора, ажурне теме и додаци, редовно прављење резервних копија и SSL у комбинацији пружају веома чврст основ. Управљање доменом и исправна конфигурација DNS записа такође су важни за доступност Проверa домена.

Чести проблеми и решења

SSH веза је прекинута када је UFW активиран

То се обично дешава када се UFW активира без дозволе за SSH порт. Ако имате консолу доступну преко панела провајдера, можете се прикључити и додати дозволу sudo ufw allow 22/tcp или за порт који користите. Ако немате конзолу, можда ћете морати да контактирате техничку подршку. Због тога је увек потребно додати SSH правило пре него што активирате UFW.

Веб сајт се не отвара

Чак и ако Nginx или Apache раде, ако су портови 80 и 443 затворени, неће бити могуће приступити сајту. Проверавајте портове помоћу sudo ufw status verbose. Такође, потврдите порт на којем веб сервер слуша помоћу команде ss -tulpn. Уверите се да су DNS записи исправно усмерени Управљање ДНС-ом.

Поштански сервиси не раде

Поштански сервери користе више портова за SMTP, IMAP, POP3 и сигурне варијације. Портови 25, 465, 587, 993, 995 могу бити потребни у зависности од сценарија. Ако користите услугу хостинга поште, можда неће бити потребно да отварате ове портове на вашем серверу корпоративно е-пошта хостинг.

Додао сам правило, али није имало ефекта

Погрешан протокол, погрешан порт, утицај Docker-а, облачне безбедносне групе или апликација која слуша на другом порту могу бити разлози за то. UFW правило управља филтрирањем на мрежном слоју; ако апликација не ради, чак и ако је порт отворен, неће пружити услугу. Због тога је важно проверити стање сервиса, firewall и правила мреже провајдера.

Најбоље UFW безбедносне праксе за 2026. годину

Ажурна безбедност сервера захтева више од простог затварања неколико порта. Добра конфигурација UFW у 2026. години треба да буде подржана следећим принципима:

• Принцип најмањих привилегија: Отворите само портове који су заиста потребни.
• Безбедност аутентификације: Користите приступ путем кључа за SSH.
• Ограничење IP адреса: Држите управљачке портове иза фиксне IP адресе или VPN-а.
• Уочљивост: Редовно надгледајте UFW логове и системске логове.
• План Б: Имајте конзолу за хитне случајеве или процедуре опоравка за погрешно правило firewall-а.
• Слојевита безбедност: Користите UFW у комбинацији са WAF, SSL, ажурирањем, прављењем резервних копија и безбедношћу апликација.
• Документација: Запишите зашто је свако правило додато унутар тима.

Добро конфигурисан заштитни зид је допунски део ефикасне и поуздане хостинг инфраструктуре. Како ваш пројекат расте, не само правила портова, већ и коришћење ресурса, резервне копије, CDN, SSL и решења за надгледање морају бити планирана Хостинг пакети.

Често постављана питања

Да ли активирање UFW чини мој сервер потпуно безбедним?

Не. UFW смањује површину напада и пружа важан слој безбедности затварањем непотребних портова; али сама по себи није довољна. Треба је користити у комбинацији са ажурирањима, SSH кључем, снажним лозинкама, SSL-ом, резервним копијама и безбедношћу апликација.

Да ли је довољно отворити портове 80 и 443 уз UFW?

За веб сајт, обично су портови 80 и 443 довољни. Међутим, за управљање SSH-ом, требате сигурно отворити порт 22 или ваш посебан SSH порт. Портови база података и управљачког панела требало би, ако је могуће, да буду ограничени на IP адресе.

Промена SSH порта повећава ли безбедност?

Промена SSH порта може смањити аутоматске покушаје ботова; али не треба се сматрати правим безбедносним мерама. Снажнији приступ је користити SSH кључ, искључити улазне лозинке, применити ограничење IP адреса и користити UFW limit или fail2ban.

Да ли UFW правила контролишу и Docker контејнере?

Неће увек контролисати онако како очекујете. Docker може директно променити iptables правила током објављивања портова. Због тога, на серверима који користе Docker, потребno je proveriti izlaz docker ps, објављене портове и UFW правила заједно.

Да ли треба да проверим IPv6 подешавања када користим UFW?

Да. Ако ваш сервер добија IPv6 адресу, требало би да се уверите да UFW управља IPv6 саобраћајем. Редак IPV6=yes треба проверити у фајлу /etc/default/ufw, а правила v6 треба потврдити у излазу UFW status.

Укратко, управљање заштитним зидом на Linux серверима уз UFW може бити брзо, читљиво и ефикасно. Правила за сигуран почетак, безбедност SSH, контролисано отварање веб портова и праћење логова могу значајно смањити површину напада вашег сервера. Ако покрећете нови пројекат, планирање сигурне хостинг инфраструктуре, SSL-а и редовног одржавања доноси боље резултате на дуге стазе. За избор инфраструктуре која одговара вашим потребама, можете погледати решења Hostragons и постепено побољшати вашу безбедносну конфигурацију у складу са вашим циљевима раста.