Come bloccare porte specifiche su Linux con UFW o firewalld

Per bloccare una porta specifica su Linux, è necessario aggiungere una regola del firewall per la porta e il protocollo che si desidera bloccare. Su un sistema Ubuntu che utilizza UFW, ad esempio, sudo ufw deny 8080/tcpsi bloccano le nuove connessioni TCP in entrata sulla porta 8080. Sui sistemi che utilizzano firewalld, è possibile rimuovere un'autorizzazione di porta esistente o aggiungere una regola di rifiuto esplicita. L'aspetto importante è modificare il firewall effettivamente utilizzato dal sistema, anziché combinare regole di UFW, firewalld e regole di basso livello di nftables.

Prima di bloccare una porta

Innanzitutto, conferma il numero di porta e se l'applicazione utilizza TCP, UDP o entrambi. Una regola TCP non blocca automaticamente UDP sulla stessa porta. Puoi anche controllare i socket in ascolto con:

sudo ss -lntup

Una regola del firewall controlla il traffico di rete; non impedisce all'applicazione di rimanere in ascolto localmente. Se non hai bisogno del servizio, interromperlo o disabilitarlo è generalmente preferibile rispetto al semplice utilizzo di una regola del firewall.

Se si è connessi alla macchina tramite SSH, è necessario proteggere la regola di accesso remoto prima di abilitare o rafforzare il firewall. Il manuale di UFW avverte specificamente che l'abilitazione di UFW può interrompere le connessioni SSH esistenti e raccomanda di aggiungere prima l'autorizzazione SSH necessaria.

Blocca una porta con UFW

Ubuntu documenta UFW come strumento predefinito per la configurazione del firewall . UFW è normalmente disabilitato inizialmente, quindi è consigliabile verificarne lo stato prima di aggiungere o abilitare regole.

1. Verifica UFW e abilitalo in modo sicuro

sudo ufw status

Se il risultato è Status: inactivee si desidera abilitare UFW, è necessario prima consentire il servizio di gestione remota su cui si fa affidamento. Per un profilo OpenSSH standard:

sudo ufw allow OpenSSH
sudo ufw enable

2. Aggiungere una regola di negazione per la porta

Sostituisci 8080con la porta che desideri bloccare. Specifica il protocollo in modo che la regola sia inequivocabile:

sudo ufw deny 8080/tcp

Per UDP, utilizzare:

sudo ufw deny 8080/udp

Se un'applicazione utilizza entrambi i protocolli, aggiungi entrambe le regole. UFW supporta anche reject; a differenza di un rifiuto silenzioso, un rifiuto comunica al mittente che la connessione è stata rifiutata.

3. Verificare o rimuovere la regola UFW

sudo ufw status numbered

L'output dovrebbe mostrare una voce DENY IN per la porta bloccata. La sintassi ufficiale di UFW supporta anche l'eliminazione della regola ripetendola con delete:

sudo ufw delete deny 8080/tcp

Blocca una porta con firewalld

Se la tua installazione Linux utilizza firewalld, inizia individuando la zona attiva:

sudo firewall-cmd --get-active-zones
sudo firewall-cmd --zone=public --list-all

Sostituire publicquanto segue se l'interfaccia appartiene a una zona diversa. Se la porta 8080 è stata aperta esplicitamente, rimuovere tale autorizzazione e ricaricare la configurazione permanente:

sudo firewall-cmd --permanent --zone=public --remove-port=8080/tcp
sudo firewall-cmd --reload

Se la porta è ancora consentita indirettamente da una definizione di servizio, oppure se si desidera specificamente un blocco esplicito, aggiungere una regola di rifiuto avanzata:

sudo firewall-cmd --permanent --zone=public --add-rich-rule='rule port port="8080" protocol="tcp" reject'
sudo firewall-cmd --reload
sudo firewall-cmd --zone=public --list-rich-rules

La documentazione di firewalld rich-rule supporta le corrispondenze di porta con azioni rejectOR . Il relativo manuale firewall-cmd spiega anche le configurazioni separate in fase di esecuzione e permanenti.drop

Per rimuovere in seguito quel blocco esplicito di firewalld, rimuovi la stessa regola avanzata e ricarica:

sudo firewall-cmd --permanent --zone=public --remove-rich-rule='rule port port="8080" protocol="tcp" reject'
sudo firewall-cmd --reload

Conferma che la porta non è più raggiungibile

Esegui sudo ss -lntupnuovamente il test se desideri verificare se un'applicazione è ancora in ascolto. Quindi, esegui il test da un'altra macchina sulla rete pertinente. Se Netcat è installato, un controllo TCP potrebbe apparire in questo modo nc -vz SERVER_IP 8080. Esegui il test dallo stesso percorso di rete utilizzato dai tuoi client reali; un test in locale non dimostra che il traffico esterno sia bloccato.

Se il servizio non deve mai essere esposto, è necessario disabilitarlo o riconfigurarlo. Un firewall è un livello di controllo degli accessi, non un sostituto per la rimozione dei listener non necessari.