데비안 9에서 ufw로 방화벽을 설정하는 방법

데비안에는 기본 시스템의 일부로 iptables가 설치된 방화벽 관리 도구를 제공하는 여러 패키지가 포함되어 있습니다. 초보자가 iptables 도구를 사용하여 방화벽을 올바르게 구성하고 관리하는 방법을 배우는 것은 복잡 할 수 있지만 UFW는이를 단순화합니다.

UFW (Uncomplicated Firewall)는 iptables 방화벽 규칙을 관리하기위한 사용자에게 친숙한 프런트 엔드이며 주요 목표는 iptables 관리를보다 쉽게 ​​또는 이름이 복잡하지 않은 것처럼 말합니다.

이 튜토리얼에서는 데비안 9에서 UFW로 방화벽을 설정하는 방법을 보여줍니다.

전제 조건

이 학습서를 진행하기 전에 로그인 한 사용자에게 sudo 권한이 있는지 확인하십시오.

UFW 설치

UFW는 Debian 9에서 기본적으로 설치되지 않습니다. 다음을 입력하여 ufw 패키지를 설치할 수 있습니다.

sudo apt install ufw

UFW 상태 확인

설치 프로세스가 완료되면 다음 명령을 사용하여 UFW 상태를 확인할 수 있습니다.

sudo ufw status verbose

결과는 다음과 같습니다.

Status: inactive

UFW는 기본적으로 비활성화되어 있습니다. 설치는 서버에서 잠금을 피하기 위해 방화벽을 자동으로 활성화하지 않습니다.

UFW가 활성화되면 출력은 다음과 유사합니다.

UFW 기본 정책

기본적으로 UFW는 모든 수신 연결을 차단하고 모든 아웃 바운드 연결을 허용합니다. 즉, 서버에 액세스하려는 모든 사용자는 포트를 구체적으로 열지 않으면 연결할 수 없으며 서버에서 실행되는 모든 응용 프로그램 및 서비스는 외부 세계에 액세스 할 수 있습니다.

기본 정책은 /etc/default/ufw 파일에 정의되어 있으며 sudo ufw default 사용하여 변경할 수 있습니다 명령.

방화벽 정책은보다 상세하고 사용자 정의 된 규칙을 작성하기위한 기초입니다. 대부분의 경우 초기 UFW 기본 정책이 좋은 출발점입니다.

응용 프로그램 프로파일

apt 로 패키지를 설치하면 서비스를 설명하고 UFW 설정을 포함하는 /etc/ufw/applications.d 디렉토리에 응용 프로그램 프로파일이 추가됩니다.

시스템 유형에서 사용 가능한 모든 응용 프로그램 프로파일을 나열하려면 다음을 수행하십시오.

sudo ufw app list

시스템에 설치된 패키지에 따라 출력은 다음과 유사합니다.

Available applications: DNS IMAP IMAPS OpenSSH POP3 POP3S Postfix Postfix SMTPS Postfix Submission…

특정 프로파일 및 포함 된 규칙에 대한 자세한 정보를 찾으려면 다음 명령을 사용하십시오.

sudo ufw app info OpenSSH

Profile: OpenSSH Title: Secure shell server, an rshd replacement Description: OpenSSH is a free implementation of the Secure Shell protocol. Port: 22/tcp

위의 출력은 OpenSSH 프로파일이 포트 22 여는 것을 나타냅니다.

SSH 연결 허용

UFW 방화벽을 활성화하기 전에 먼저 들어오는 SSH 연결을 허용해야합니다.

원격 위치에서 서버에 연결하는 경우 (거의 대부분의 경우) 들어오는 SSH 연결을 명시 적으로 허용하기 전에 UFW 방화벽을 활성화하면 더 이상 데비안 서버에 연결할 수 없습니다.

들어오는 SSH 연결을 허용하도록 UFW 방화벽을 구성하려면 다음 명령을 실행하십시오.

sudo ufw allow OpenSSH

Rules updated Rules updated (v6)

SSH 서버가 기본 포트 22 이외의 포트에서 청취중인 경우 해당 포트를 열어야합니다.

예를 들어, ssh 서버는 포트 8822 에서 청취 한 후 다음 명령을 사용하여 해당 포트에서 연결을 허용 할 수 있습니다.

sudo ufw allow 8822/tcp

UFW 활성화

UFW 방화벽이 들어오는 SSH 연결을 허용하도록 구성되었으므로 다음을 실행하여 활성화 할 수 있습니다.

sudo ufw enable

Command may disrupt existing ssh connections. Proceed with operation (y|n)? y Firewall is active and enabled on system startup

방화벽을 활성화하면 기존 ssh 연결이 중단 될 수 있다는 경고 메시지가 표시되면 y 를 Enter 하고 Enter 누르 Enter .

다른 포트에서 연결 허용

서버에서 실행되는 응용 프로그램 및 특정 요구 사항에 따라 다른 포트에 대한 들어오는 액세스를 허용해야합니다.

다음은 가장 일반적인 일부 서비스에 들어오는 연결을 허용하는 방법에 대한 몇 가지 예입니다.

열린 포트 80-HTTP

다음 명령으로 HTTP 연결을 허용 할 수 있습니다.

sudo ufw allow

http 프로파일 대신 포트 번호 80 사용할 수 있습니다.

sudo ufw allow 80/tcp

열린 포트 443-HTTPS

다음 명령으로 HTTP 연결을 허용 할 수 있습니다.

sudo ufw allow

https 대신 동일한 것을 달성하기 위해 포트 번호 443 사용할 수 있습니다.

sudo ufw allow 443/tcp

열린 포트 8080

sudo ufw allow 8080/tcp

포트 범위 허용

UFW를 사용하면 포트 범위에 대한 액세스를 허용 할 수도 있습니다. UFW로 포트 범위를 허용 할 때 tcp 또는 udp 프로토콜을 지정해야합니다.

예를 들어, tcp 및 udp 모두에서 7100 에서 7200 까지의 포트를 허용하려면 다음 명령을 실행하십시오.

sudo ufw allow 7100:7200/tcp sudo ufw allow 7100:7200/udp

특정 IP 주소 허용

sudo ufw allow from 64.63.62.61

특정 포트에서 특정 IP 주소 허용

특정 포트에 대한 액세스를 허용하려면 IP 주소가 64.63.62.61 인 작업 시스템의 포트 22를 가정 해 다음 명령을 사용하십시오.

sudo ufw allow from 64.63.62.61 to any port 22

서브넷 허용

IP 주소의 서브넷에 연결하는 명령은 단일 IP 주소를 사용할 때와 동일하지만 넷 마스크를 지정해야한다는 점만 다릅니다. 예를 들어, 192.168.1.1 ~ 192.168.1.254 ~ 포트 3360 (MySQL) 범위의 IP 주소에 대한 액세스를 허용하려면 다음 명령을 사용할 수 있습니다.

sudo ufw allow from 192.168.1.0/24 to any port 3306

특정 네트워크 인터페이스에 대한 연결 허용

특정 포트에 대한 액세스를 허용하려면 포트 3360을 특정 네트워크 인터페이스 eth2 에만 사용하려면 allow in on 및 네트워크 인터페이스 이름을 사용하십시오.

sudo ufw allow in on eth2 to any port 3306

연결 거부

모든 들어오는 연결에 대한 기본 정책은 deny 로 설정되어 있습니다. 즉, 연결을 특별히 열지 않으면 UFW가 들어오는 모든 연결을 차단합니다.

포트 80 및 443 을 열고 서버가 23.24.25.0/24 네트워크의 공격을 받고 23.24.25.0/24 합니다. 23.24.25.0/24 에서 모든 연결을 거부하려면 다음 명령을 사용하십시오.

sudo ufw deny from 23.24.25.0/24

sudo ufw deny from 23.24.25.0/24 to any port 80 sudo ufw deny from 23.24.25.0/24 to any port 443

거부 규칙을 작성하는 것은 허용 규칙을 작성하는 것과 동일하며 allow 만 deny 로 deny 됩니다.

UFW 규칙 삭제

규칙 번호와 실제 규칙을 지정하여 UFW 규칙을 삭제하는 방법에는 두 가지가 있습니다.

UFW를 처음 사용하는 경우 규칙 번호로 UFW 규칙을 삭제하는 것이 더 쉽습니다.

규칙 번호로 규칙을 삭제하려면 먼저 삭제하려는 규칙 번호를 찾아야합니다. 그렇게하려면 다음 명령을 실행하십시오.

sudo ufw status numbered

Status: active To Action From -- ------ ---- 22/tcp ALLOW IN Anywhere 80/tcp ALLOW IN Anywhere 8080/tcp ALLOW IN Anywhere

포트 8080에 대한 연결을 허용하는 규칙 번호 3을 삭제하려면 다음 명령을 사용할 수 있습니다.

sudo ufw delete 2

두 번째 방법은 실제 규칙을 지정하여 규칙을 삭제하는 것입니다. 예를 들어, 포트 8069 를 여는 규칙을 추가 한 경우 다음을 사용하여 삭제할 수 있습니다.

sudo ufw delete allow 8069

UFW 비활성화

어떤 이유로 든 UFW를 중지하고 모든 규칙을 비활성화하려면 다음을 실행하십시오.

sudo ufw disable

나중에 UTF를 다시 활성화하고 모든 규칙을 활성화하려면 다음을 입력하십시오.

sudo ufw enable

UFW 재설정

UFW를 재설정하면 UFW가 비활성화되고 모든 활성 규칙이 삭제됩니다. 모든 변경 사항을 되돌리고 새로 시작하려는 경우에 유용합니다.

UFW를 재설정하려면 다음 명령을 입력하십시오.

sudo ufw reset

결론

데비안 9 머신에서 UFW 방화벽을 설치하고 구성하는 방법을 배웠습니다. 불필요한 모든 연결을 제한하면서 시스템의 올바른 기능에 필요한 모든 들어오는 연결을 허용하십시오.

ufw 방화벽 iptables 데비안 보안