Linux serverlarda UFW orqali oddiy va xavfsiz firewall boshqaruvi

Linux serverlarda UFW – murakkab iptables qoidasini osonlashtirib, SSH, HTTP, HTTPS va maxsus portlar uchun firewall boshqaruvini tez va xavfsiz qiladigan vositadir. Ayniqsa Ubuntu va Debian asosli serverlarda UFW yordamida standart kiruvchi trafikni yopish, zarur xizmatlarni ochish, tanlangan IP manzillarga ruxsat berish va xato urinmalarni cheklash mumkin. Serverni himoya qilish uchun tavsiya etiladigan asosiy strategiya: SSHga kirishni kafolatlang, kiruvchi trafikni standartda bloklang, chiqishga ruxsat bering, faqat ishlatiladigan servis portlarini oching va UFW holatini muntazam tekshirib turing.

Web-server internetga ochilgan zahoti botlar, parol urinmalari, zaiflik scannerlari va keraksiz port so‘rovlari bilan to‘qnashadi. Shu sababli firewall – Linux server xavfsizligining birinchi qatlamidir. UFW – texnik jamoalar har kuni amalda ishlatadigan qulay vosita, chunki buyruqlari oson, qoida qo‘shish/ochirish tez, loglar mavjud va iptablesga nisbatan xato konfiguratsiya xavfi kamroq. Ushbu qo‘llanmada UFW o‘rnatish, asosiy buyruqlar, SSH bloklanmasini oldini olish, web-server portlari, IP asosida ruxsat, log monitoringi, IPv6, Docker kabi maxsus holatlar va 2026 standartlariga mos xavfsizlik amaliyotlari bosqichma-bosqich ko‘rsatiladi.

UFW nima va nimaga kerak?

UFW — Uncomplicated Firewall so‘zining qisqartmasi, ya’ni “oddiy firewall”. Orqa fonida Linux kernelning paket filtrlash mexanizmini ishlatadi, lekin administrator uchun ancha tushunarli buyruqlar beradi. Masalan, iptables yoki nftables qoidalarini yozish o‘rniga, sudo ufw allow 443/tcp bilan HTTPS trafikiga ruxsat berasiz.

UFW quyidagi holatlarda juda foydali:

• Yangi VPS yoki dedicated serverda tez tarmoq xavfsizligini ta’minlash.
• Web-serverda faqat 80 va 443 portlarini ochiq qoldirish.
• SSHga kirishni faqat tanlangan IP manzillarga cheklash.
• Brute force urinmalarini kamaytirish uchun SSHga limit qo‘yish.
• Test, staging va boshqaruv panellari internetga to‘liq ochiq bo‘lmasligi.
• Loglar orqali shubhali trafikni kuzatish.

UFW butun xavfsizlik muammolarini hal qilmaydi, lekin hujum yuzasini kamaytiradi. Kuchli parollar, SSH kalitli kirish, muntazam yangilanish, SSL/TLS sozlamalari va ilova xavfsizligi bilan birga foydalanganda, mustahkam asos yaratadi. Agar serveringizda web-sayt joylashtirsangiz, firewall bilan birga SSL sertifikatini ham o‘rnatishni unutmang SSL sertifikatlari.

UFW, iptables va firewalld: Qiyos

Linux ekotizimida firewall boshqaruvi uchun bir nechta vositalar bor. UFW, iptables va firewalld ko‘pincha bir xil ehtiyojga xizmat qiladi, lekin ishlash usuli, platforma mosligi va boshqaruvga yondashuvi turlicha. Quyidagi jadval tanlovni osonlashtiradi:

Agar Ubuntu asosli web-serverni boshqarsangiz, Linux serverlarda UFW ko‘p ehtiyoj uchun yetarli. Katta korporativ tarmoq yoki ko‘p qatlamli xavfsizlik arxitekturasida esa UFW — cloud security group, WAF, IDS/IPS va markaziy loglash bilan birga ishlatilishi lozim.

UFW o‘rnatish va ilk tekshiruvlar

UFW odatda Ubuntu’da default o‘rnatilgan bo‘ladi. Baribir, mavjudligini tekshirishdan boshlang. Buyruq: sudo ufw status. Agar command not found chiqsa, o‘rnatishingiz kerak.

Ubuntu va Debian’da o‘rnatish

Avval paketlarni yangilang: sudo apt update. So‘ng o‘rnatish: sudo apt install ufw -y. O‘rnatgandan so‘ng servis holatini tekshiring: sudo systemctl status ufw. Agar active ko‘rinmasa, bu normal: UFW qoidalari faollashmaguncha passiv bo‘lishi mumkin.

Server boshqaruvining birinchi qoidasiga shoshilmaslik kiradi. Uzoqdagi VPSda ishlasangiz, UFW faollashdan oldin SSH portiga ruxsat berganingizga ishonch hosil qiling — aks holda serverga kirishdan ayrilishingiz mumkin. Hostragons orqali VPS ishlatsangiz, ilk xavfsizlik sozlamasidan oldin panelga kirish va konsol variantlarini eslab qo‘ying VPS server.

Mavjud holatni ko‘rish

UFW holatini ko‘rish uchun sudo ufw status verbose ishlating. Qoidalarni raqamli va to‘liq ko‘rish uchun sudo ufw status numbered muhim. Qoida o‘chirishda raqamli ro‘yxat ancha qulay: masalan, xato port ochgan bo‘lsangiz, raqamni aniqlab, sudo ufw delete 3 bilan olib tashlaysiz.

Xavfsiz boshlanish: Standart qoida

Yangi Linux serverda eng xavfsiz start: kiruvchi trafikni standartda bloklash, chiqishga ruxsat berish, faqat kerakli portlarni ochish. Bu “minimal imtiyoz” tamoyiliga mos.

Asosiy buyruqlar:

• sudo ufw default deny incoming
• sudo ufw default allow outgoing
• sudo ufw allow OpenSSH yoki sudo ufw allow 22/tcp
• sudo ufw enable
• sudo ufw status verbose

Bu yerda eng muhim nuqta – SSH. Agar SSH boshqa portda ishlasa (masalan, 2222), sudo ufw allow 2222/tcp ni ishlatmasdan UFWni faollashtirmang. 22 portini o‘zgartirish yolg‘iz xavfsizlik bermaydi, lekin botlarni kamaytiradi. Asosiysi — SSH uchun parolni o‘chirish va kalitli kirishdan foydalanish.

SSH kirishini xavfsiz qilish

SSH — serveringizning boshqaruv eshigi. Shu sababli UFW konfiguratsiyasida eng ehtiyotkorlik bilan ko‘rilishi kerak. Agar SSH har bir IPdan ochiq bo‘lsa, botlar tezda serverga urina boshlaydi.

SSH portiga ruxsat berish

Standart port bo‘lsa, buyruq oddiy: sudo ufw allow 22/tcp. Ubuntu’da OpenSSH profili bo‘lsa, sudo ufw allow OpenSSH ham ishlaydi. Agar port boshqa, masalan 2222 bo‘lsa: sudo ufw allow 2222/tcp.

SSHni faqat tanlangan IPga ochish

Eng xavfsiz yo‘l — SSHni faqat administrator IPlariga ochish. Masalan, ofis IP’ingiz 203.0.113.10 bo‘lsa: sudo ufw allow from 203.0.113.10 to any port 22 proto tcp. Shunda port umumiy internetga ochiq emas.

Bir nechta admin bo‘lsa, har IP uchun alohida qoida qo‘shing. Dinamik IP ishlatsangiz, bu usulni ehtiyotkorlik bilan tanlang: IP o‘zgarsa, kirishdan ayrilasiz. Bu holatlarda VPN, bastion host yoki provayder paneli orqali konsol kirishi professional yechim.

Brute forcega limit qo‘llash

UFW tez-tez bog‘lanishga limit qo‘yish uchun limit buyruqini beradi: sudo ufw limit 22/tcp. Bu, ko‘p urinishlarni cheklashga yordam beradi, lekin fail2ban o‘rnini to‘liq bosmaydi. Ishlab chiqarishda SSH xavfsizligi uchun UFW limit, fail2ban, kalitli kirish va kuchli user siyosati birga ishlatilishi lozim.

Web-server portlarini ochish: HTTP va HTTPS

Web-sayt uchun odatda 80/tcp va 443/tcp portlari ochiq bo‘lishi kerak. 80 — HTTP, 443 — HTTPS. Zamonaviy SEO, browser xavfsizligi va foydalanuvchi ishonchi uchun HTTPS standart. SSL sertifikatsiz saytlar ishonch ogohlantirishiga duch keladi va konversiya pasayadi SSL sertifikatlari.

Nginx yoki Apache uchun asosiy qoida

HTTP uchun: sudo ufw allow 80/tcp. HTTPS uchun: sudo ufw allow 443/tcp. Ikkalasini birga sudo ufw allow 80,443/tcp o‘rniga alohida yozish o‘quvchanlik uchun qulay.

UFWda ilova profillari ham bor. Nginx uchun sudo ufw app list bilan profillarni ko‘rasiz. Nginx Full profili HTTP va HTTPSga ruxsat beradi: sudo ufw allow Nginx Full. Apache uchun ham xuddi shunday Apache Full profili mavjud.

Faqat HTTPS yetarlimi?

Texnik jihatdan sayt faqat HTTPSda ishlashi mumkin; lekin Let’s Encrypt kabi sertifikat yangilash va HTTPdan HTTPSga redirect uchun 80 port ochiq bo‘lishi kerak. Shuning uchun web-serverlarda 80 va 443 portlarni birga boshqarish amaliy. Ilova darajasida barcha HTTP so‘rovlarni 301 bilan HTTPSga o‘tkazish eng to‘g‘ri usul.

Maxsus portlar, ma’lumotlar bazasi va boshqaruv panellari

Har portni ochish oson, haqiqiy mahorat — qaysi portni ochmaslikni bilishda. MySQL uchun 3306, PostgreSQL uchun 5432, Redis uchun 6379, Elasticsearch uchun 9200 portlarni umumiy internetga ochiq qoldirish jiddiy xavf tug‘diradi. Bu xizmatlar faqat localhostda yoki maxsus tarmoqda ishlashi kerak.

Maxsus IPga port ochish

Masalan, faqat ilova serveringizdan bazaga kirish kerak bo‘lsa, IP asosida qoida: sudo ufw allow from 198.51.100.25 to any port 5432 proto tcp. Bu, PostgreSQLga faqat tanlangan IPni ochadi.

Noto‘g‘ri misol – sudo ufw allow 5432/tcp ni ishlab chiqarishda ochiq ishlatish. Bu keraksiz hujum yuzasini yaratadi. Ma’lumotlar bazasi, boshqaruv paneli va ichki xizmatlar uchun har doim manba IP cheklovi o‘ylanishi kerak.

cPanel, Plesk va panellarda ehtiyotkorlik

Hosting panellari bir necha port ishlatadi. Plesk, cPanel yoki boshqa panel ishlatsangiz, rasmiy port ro‘yxatini tekshirmasdan UFWni faollashtirmang. Aks holda email, DNS, FTP yoki panelga kirish uziladi. Boshqariladigan hostingda bu murakkablik odatda provayder tomonidan hal qilinadi Veb-xosting.

Qoida o‘chirish, tahrir va tartib

UFWda qoida boshqaruvi oddiy, lekin ishlab chiqarishda o‘zgartirishda log yuritish muhim. Avval raqamli ro‘yxat: sudo ufw status numbered. O‘chirish uchun raqamni aniqlab, sudo ufw delete 5 bilan olib tashlashingiz mumkin.

To‘g‘ridan-to‘g‘ri ifoda bilan ham o‘chirish mumkin: sudo ufw delete allow 8080/tcp 8080 port uchun ruxsatni olib tashlaydi. Lekin murakkab IP asosli qoidalarda raqamli o‘chirish xavfsizroq.

Qoida tartibi, allow va deny birga ishlatilganda ahamiyatli. Umumiy ruxsatdan oldin maxsus bloklash qoidasini joylashtirish uchun insert ishlatiladi. Masalan, IPni eng yuqoriga bloklash uchun: sudo ufw insert 1 deny from 203.0.113.55. Bu, zararli IPlarni tezda bloklash uchun qulay.

UFW loglari bilan trafik monitoringi

Firewall — faqat portni ochish/yopish uchun emas, balki tarmoq harakatini tushunish uchun ham kerak. UFW loglarini yoqish: sudo ufw logging on. Log darajasi low, medium, high yoki full bo‘lishi mumkin. Ko‘p serverda boshlash uchun low yetarli.

Loglarni ko‘rish uchun: /var/log/ufw.log faylini tekshiring. Misol: sudo tail -f /var/log/ufw.log. Bu yerda bloklangan kirishlar, manba IP, port va protokol ko‘rinadi. Masalan, qisqa vaqtda ko‘p IPdan 22 portga urinish bo‘lsa, SSH xavfsizligini kuchaytirish kerak.

Loglarni doim yuqori darajada saqlash diskni tez to‘ldiradi. Shuning uchun ko‘p trafikli serverlarda log rotatsiyasi, markaziy loglash va ogohlantirish tizimi o‘ylanishi kerak. Katta loyihalarda faqat log saqlash emas, balki ularni tahlil qilish ham muhim.

IPv6 va UFW sozlamalari

2026dan boshlab ko‘p data centerlarda IPv6 standart. Le­kin ba’zi adminlar faqat IPv4 qoidalarini o‘ylab, xavfsizlikda xato qiladilar. Serveringiz IPv6 manzil olsa, UFW IPv6 trafikni ham boshqarayotganini tekshiring.

/etc/default/ufw faylida IPV6=yes satri bo‘lishi kerak. O‘zgartirgandan so‘ng UFWni qayta ishga tushiring: sudo ufw disable, so‘ng sudo ufw enable. UFW statusda v6 qoidalar ko‘rinsa, IPv6 ham boshqarilmoqda.

IPv6 ishlatmasangiz, to‘liq o‘chirishdan oldin provayder va ilova talabini tekshiring. Noto‘g‘ri IPv6 konfiguratsiya, IPv4da yopilgan servisni IPv6da ochiq qoldirishi mumkin. Bu, tez-tez uchraydigan, ammo ko‘pincha ko‘zdan qochadigan xato.

Docker ishlatganda UFW nega boshqacha?

Docker konteyner portlarini publish qilganda iptables qoidalarini to‘g‘ridan-to‘g‘ri o‘zgartiradi. Bu UFW ishlatadigan admin uchun kutilmagan holat: UFWda yopiq ko‘rinadigan port Docker publish bilan tashqaridan ochiq bo‘lishi mumkin. Masalan, docker run -p 8080:80 konteynerdagi 80 portni hostda 8080 sifatida ochadi.

Docker ishlatadigan serverlarda quyidagilarni tekshiring:

• docker ps natijasida qaysi portlar tashqariga ochiq ko‘ring.
• Keraksiz -p yoki ports parametrini olib tashlang.
• Servislarni faqat 127.0.0.1da publish qilishni ko‘rib chiqing.
• Cloud security group va UFW qoidalarni birga nazorat qiling.
• Ishlab chiqarishda reverse proxy orqali publish qilgan ma’qul.

Konteyner arxitekturada xavfsizlik — faqat UFWdan iborat emas. Docker tarmoq, imij xavfsizligi, secret boshqaruvi va yangilanish strategiyasi birga rejalanishi lozim. Yuqori trafikli ilovalar uchun to‘g‘ri server tanlash ham xavfsizlik va performansga ta’sir qiladi Maxsus Server.

UFW uchun amaliy xavfsizlik checklist

Quyidagi ro‘yxat — yangi Linux serverda amaliy start standarti. Web-proyekt, API, internet-do‘kon yoki mijoz panelini ochishdan oldin bu punktlarni ko‘rib chiqing — uzilish va xavfsizlik riskini kamaytiradi.

• Serverni yangilang: sudo apt update && sudo apt upgrade -y.
• SSH kirishini test qiling, imkon bo‘lsa ikkinchi terminalni ochiq qoldiring.
• Kiruvchi trafikni standartda bloklang: sudo ufw default deny incoming.
• Chiqish trafikiga ruxsat: sudo ufw default allow outgoing.
• SSH portga ruxsat yoki IP asosida cheklov qo‘shing.
• Web-server uchun faqat 80 va 443 portlarini oching.
• Ma’lumotlar bazasi portlarini umumiy internetga ochmang.
• UFWni faollashtiring: sudo ufw enable.
• Qoidalarni tekshiring: sudo ufw status verbose va sudo ufw status numbered.
• Loglashni yoqing, dastlabki 24 soat ichida shubhali trafikni ko‘ring.
• IPv6 qoidalarini ko‘rib chiqing.
• Docker yoki panel ishlatsangiz, portlar ta’sirini test qiling.

Amaliy misol: WordPress server uchun UFW

Bitta WordPress sayti Ubuntu’da Nginx, PHP-FPM va MySQL bilan ishlaydi deb tasavvur qilamiz. MySQL faqat localhostda, sayt HTTPSda, SSH esa administrator IPdan ochiladi. UFW konfiguratsiyasi quyidagicha:

• sudo ufw default deny incoming
• sudo ufw default allow outgoing
• sudo ufw allow from 203.0.113.10 to any port 22 proto tcp
• sudo ufw allow 80/tcp
• sudo ufw allow 443/tcp
• sudo ufw logging on
• sudo ufw enable
• sudo ufw status verbose

Bunda SSH umumiy ochiq emas, web trafik uchun kerakli portlar ochiq, bazaga kirish yopiq. WordPressda xavfsizlik pluginlari, kuchli admin paroli, yangilangan tema va pluginlar, muntazam backup va SSL bilan mustahkam asos hosil bo‘ladi. Domain boshqaruvi va DNS yozuvlarining to‘g‘ri sozlanishi ham muhim domen so'rov.

Ko‘p uchraydigan xatolar va yechimlar

UFW faollashganda SSH uzildi

Bu ko‘pincha SSH portga ruxsat bermasdan UFWni faollashtirganda bo‘ladi. Agar provayder panelidan konsolga kira olsangiz, sudo ufw allow 22/tcp yoki o‘z portingiz uchun ruxsat qo‘shing. Konsol yo‘q bo‘lsa, texpodga murojaat qilish kerak. Shu sababli UFW faollashdan oldin har doim SSH qoidasi qo‘shilishi shart.

Web-sayt ochilmayapti

Nginx yoki Apache ishlasa ham, 80 va 443 portlar bloklangan bo‘lsa, saytga kira olmaysiz. sudo ufw status verbose bilan portlarni tekshiring. Web-serverning tinglayotgan portini ss -tulpn bilan aniqlang. DNS yozuvlari to‘g‘ri yo‘nalganiga ham ishonch hosil qiling DNS boshqaruvi.

Mail xizmatlari ishlamayapti

Email serverlari SMTP, IMAP, POP3 va ularning xavfsiz variantlari uchun bir necha port ishlatadi: 25, 465, 587, 993, 995 va boshqalar. Agar mail hostingdan foydalansangiz, bu portlarni o‘z serveringizda ochishingiz shart emas korporativ elektron pochta hosting.

Qoida qo‘shdim, lekin effekt bermadi

Noto‘g‘ri protokol, port, Docker ta’siri, cloud security group yoki ilovaning boshqa portda tinglashi bunga sabab. UFW tarmoq darajasini filtrlashni boshqaradi; lekin ilova ishlamasa, port ochiq bo‘lsa ham xizmat ko‘rsatmaydi. Firewall, servis holati va provayder tarmoq qoidalari birga nazorat qilinishi kerak.

2026 uchun eng yaxshi UFW xavfsizlik amaliyotlari

Yangilangan server xavfsizligi — faqat portlarni bloklashdan ko‘ra kengroq. 2026da yaxshi UFW konfiguratsiyasi quyidagi tamoyillar bilan mustahkamlanadi:

• Minimal imtiyoz: faqat zarur portlarni oching.
• Identifikatsiya xavfsizligi: SSHda kalitli kirishdan foydalaning.
• IP cheklov: boshqaruv portlarini faqat muayyan IP yoki VPN orqali oching.
• Kuzatuvchanlik: UFW va tizim loglarini muntazam tekshirib turing.
• Zaxira reja: xato firewall uchun konsol kirishi yoki recovery protokoli bo‘lsin.
• Qatlamli xavfsizlik: UFWni WAF, SSL, yangilanish, backup va ilova xavfsizligi bilan birga ishlating.
• Dokumentatsiya: har bir qoida sababini jamoa ichida qayd qiling.

To‘g‘ri firewall konfiguratsiyasi, ishonchli va samarali hosting infratuzilmasining ajralmas qismi. Loyihangiz trafik o‘sishi bilan faqat port qoidalari emas, balki resurs foydalanish, backup, CDN, SSL va monitoring ham rejalashtirilishi lozim Hosting paketlari.

Ko‘p so‘raladigan savollar

UFW faollash serverimni to‘liq xavfsiz qiladi?

Yo‘q. UFW hujum yuzasini kichiklashtirib, keraksiz portlarni bloklab muhim qatlam beradi, lekin yolg‘iz yetarli emas. Yangilanish, SSH kalit, kuchli parol, SSL, backup va ilova xavfsizligi bilan birga ishlatilishi kerak.

UFWda 80 va 443 portlarni ochish yetarlimi?

Web-sayt uchun odatda 80 va 443 yetarli. Lekin SSH boshqaruvi uchun 22 yoki maxsus port ham xavfsiz ochilishi lozim. Ma’lumotlar bazasi va panel portlari esa IPga cheklanishi kerak.

SSH portini o‘zgartirish xavfsizligini oshiradimi?

SSH portini o‘zgartirish botlarni kamaytiradi, lekin haqiqiy xavfsizlik sifatida ko‘rilmaydi. Kuchli usul — SSH kalit ishlatish, parolni o‘chirish, IP cheklash va UFW limit/fail2ban ishlatish.

UFW qoidalari Docker konteynerlarni ham boshqaradimi?

Har doim kutilganidek boshqarmaydi. Docker port publishda iptablesni to‘g‘ridan-to‘g‘ri o‘zgartiradi. Shuning uchun docker ps, ochiq portlar va UFW qoidalarini birga tekshiring.

UFWda IPv6 sozlamalarini tekshirish shartmi?

Ha. Serveringiz IPv6 manzil olsa, UFW IPv6 trafikni ham boshqarayotganiga ishonch hosil qiling. /etc/default/ufwda IPV6=yes sozlamasi va UFW statusda v6 qoidalar ko‘ring.

Xulosa qilib aytganda, Linux serverlarda UFW orqali firewall boshqaruvi tez, o‘quvchan va samarali amalga oshiriladi. To‘g‘ri start qoidalari, SSH xavfsizligi, web portlarni kontrolli ochish va log monitoringi bilan serveringiz hujum yuzasini sezilarli kamaytirishingiz mumkin. Yangi loyihani ishga tushirsangiz, xavfsiz hosting, SSL va muntazam texnik xizmatni birga rejalashtirish uzoq muddatda barqaror natija beradi. O‘z ehtiyojingizga mos infratuzilmani tanlash uchun Hostragons echimlarini ko‘rib chiqing va xavfsizlik konfiguratsiyasini o‘sish maqsadlariga mos ravishda bosqichma-bosqich kuchaytirishingiz mumkin.