Linux-Admin: Ubuntu-Firewall UFW

Wozu ist das gut?

Um einen Ubuntu-Server nach außen zu sichern, ist eine Firewall sinnvoll, die man zunächst konfigurieren muss.

Paketinstallation

Die benötigte Firewall ufw ist Bestandteil der Standardinstallation von Ubuntu Server, jedoch nicht standardmäßig gestartet.

Setup

Für UFW müssen Regeln definiert werden. Zunächst wird festgelegt, dass eingehende Verbindungen grundsätzlich blockiert werden, wenn keine Regel explizit Dinge erlaubt:

ufw default deny

Danach kann man sich daran machen, die Dienste wieder zu erlauben, die man benötigt, z.B.:

ufw allow ssh
ufw allow http
ufw allow https
ufw allow samba
ufw allow nfs

Für VM-Hosts mit Netzwerkbrücke empfiehlt sich eine zusätzliche Zeile oberhalb von COMMIT in der config-Datei /etc/ufw/before.rules:

# fix vmhost bridged devices
-I FORWARD -m physdev --physdev-is-bridged -j ACCEPT

Außerdem sollte die storage-Netzwerkkarte grundsätzlich nicht blockiert werden (Beispiel eth1):

ufw allow in on eth1 from any to any
ufw allow out on eth1 from any to any

Wenn man genug Löcher gebohrt hat, kann man UFW scharf schalten:

ufw enable