كيفية حظر منافذ محددة على نظام لينكس باستخدام UFW أو firewalld

لحظر منفذ معين على نظام لينكس، أضف قاعدة جدار حماية للمنفذ والبروتوكول المطلوب حظرهما. على سبيل المثال، في نظام أوبونتو الذي يستخدم UFW، sudo ufw deny 8080/tcpيتم حظر اتصالات TCP الواردة الجديدة إلى المنفذ 8080. أما في الأنظمة التي تستخدم firewalld، فيمكنك إزالة السماح الحالي للمنفذ أو إضافة قاعدة رفض صريحة. الأهم هو تغيير جدار الحماية الذي يستخدمه نظامك فعليًا، بدلًا من دمج UFW وfirewalld وقواعد nftables منخفضة المستوى.

قبل أن تقوم بحظر منفذ

أولاً، تأكد من رقم المنفذ وما إذا كان التطبيق يستخدم بروتوكول TCP أو UDP أو كليهما. لا تقوم قاعدة TCP بحظر UDP تلقائيًا على نفس الرقم. يمكنك أيضًا التحقق من منافذ الاستماع باستخدام:

sudo ss -lntup

تتحكم قاعدة جدار الحماية في حركة مرور الشبكة، لكنها لا تمنع التطبيق من الاستماع محليًا. إذا لم تكن بحاجة إلى الخدمة إطلاقًا، فإن إيقافها أو تعطيلها عادةً ما يكون أفضل من الاعتماد على قاعدة جدار الحماية فقط.

إذا كنت متصلاً بالجهاز عبر SSH، فاحمِ قاعدة الوصول عن بُعد قبل تفعيل جدار الحماية أو تشديد إعداداته. يُحذّر دليل UFW الحالي تحديدًا من أن تفعيل UFW قد يُعطّل اتصالات SSH الحالية، ويوصي بإضافة السماح المطلوب لـ SSH أولًا.

قم بحظر منفذ باستخدام UFW

تُوثّق أوبونتو برنامج UFW كأداة افتراضية لتكوين جدار الحماية . عادةً ما يكون UFW مُعطّلاً في البداية، لذا تحقق من حالته قبل إضافة أو تفعيل القواعد.

1. تحقق من جدار الحماية UFW وقم بتمكينه بأمان

sudo ufw status

إذا كانت النتيجة هي Status: inactive"نعم" وترغب في تفعيل UFW، فقم أولاً بالسماح لخدمة الإدارة عن بُعد التي تعتمد عليها. بالنسبة لملف تعريف OpenSSH القياسي:

sudo ufw allow OpenSSH
sudo ufw enable

2. أضف قاعدة رفض للمنفذ

استبدل 8080هذا الرقم بالمنفذ الذي تريد حظره. حدد البروتوكول ليكون الأمر واضحًا لا لبس فيه:

sudo ufw deny 8080/tcp

بالنسبة لبروتوكول UDP، استخدم:

sudo ufw deny 8080/udp

إذا كان التطبيق يستخدم كلا البروتوكولين، فأضف كلا القاعدتين. يدعم جدار الحماية UFW أيضًا خاصية الرفض reject؛ فعلى عكس الرفض الصامت، يُعلم الرفض المرسل بأن الاتصال قد رُفض.

3. التحقق من قاعدة UFW أو إزالتها

sudo ufw status numbered

يجب أن يُظهر الناتج إدخال DENY IN للمنفذ المحظور. كما يدعم بناء جملة UFW الرسمي حذف القاعدة بتكرارها باستخدام delete:

sudo ufw delete deny 8080/tcp

قم بحظر منفذ باستخدام جدار الحماية

إذا كان نظام لينكس الخاص بك يستخدم برنامج firewalld، فابدأ بالعثور على المنطقة النشطة:

sudo firewall-cmd --get-active-zones
sudo firewall-cmd --zone=public --list-all

استبدل publicما يلي إذا كانت واجهتك تنتمي إلى منطقة مختلفة. إذا تم فتح المنفذ 8080 بشكل صريح، فقم بإزالة هذا الإذن وأعد تحميل التكوين الدائم:

sudo firewall-cmd --permanent --zone=public --remove-port=8080/tcp
sudo firewall-cmd --reload

إذا كان المنفذ لا يزال مسموحًا به بشكل غير مباشر من خلال تعريف الخدمة، أو إذا كنت تريد حظرًا صريحًا على وجه التحديد، فأضف قاعدة رفض شاملة:

sudo firewall-cmd --permanent --zone=public --add-rich-rule='rule port port="8080" protocol="tcp" reject'
sudo firewall-cmd --reload
sudo firewall-cmd --zone=public --list-rich-rules

يدعم دليل قواعد جدار الحماية (firewalld) مطابقة المنافذ rejectمع dropالإجراءات. كما يشرح دليل أوامر جدار الحماية (firewall-cmd) التكوينات المنفصلة لوقت التشغيل والتكوينات الدائمة.

لإزالة حظر جدار الحماية الصريح هذا لاحقًا، قم بإزالة نفس القاعدة الغنية وأعد التحميل:

sudo firewall-cmd --permanent --zone=public --remove-rich-rule='rule port port="8080" protocol="tcp" reject'
sudo firewall-cmd --reload

تأكد من أن المنفذ لم يعد قابلاً للوصول

أعد تشغيل sudo ss -lntupالأمر إذا أردتَ معرفة ما إذا كان التطبيق لا يزال يستمع. ثم اختبره من جهاز آخر على الشبكة المعنية. إذا كان برنامج Netcat مُثبّتًا، فقد يبدو فحص TCP كالتالي nc -vz SERVER_IP 8080. اختبره من نفس مسار الشبكة الذي يستخدمه عملاؤك الحقيقيون؛ فاختبار localhost لا يُثبت حظر حركة المرور الخارجية.

إذا كان من غير المرغوب فيه كشف الخدمة نهائياً، فيجب تعطيلها أو إعادة تهيئتها. جدار الحماية هو طبقة للتحكم في الوصول، وليس بديلاً عن إزالة المستمعين غير الضروريين.