Cum să blochezi anumite porturi pe Linux cu UFW sau firewalld

Pentru a bloca un anumit port pe Linux, adăugați o regulă de firewall pentru portul și protocolul pe care doriți să le opriți. Pe un sistem Ubuntu care folosește UFW, de exemplu, sudo ufw deny 8080/tcpblochează noile conexiuni TCP primite către portul 8080. Pe sistemele care folosesc firewalld, puteți elimina o alocație de port existentă sau puteți adăuga o regulă explicită de respingere. Partea importantă este să schimbați firewall-ul pe care sistemul dvs. îl folosește de fapt, în loc să combinați regulile UFW, firewalld și regulile nftables de nivel scăzut.

Înainte de a bloca un port

Mai întâi, confirmați numărul portului și dacă aplicația utilizează TCP, UDP sau ambele. O regulă TCP nu blochează automat UDP pe același număr. De asemenea, puteți verifica socket-urile de ascultare cu:

sudo ss -lntup

O regulă de firewall controlează traficul de rețea; nu împiedică aplicația să asculte local. Dacă nu aveți deloc nevoie de serviciu, oprirea sau dezactivarea acestuia este de obicei mai bună decât să vă bazați doar pe o regulă de firewall.

Dacă sunteți conectat la mașină prin SSH, protejați regula de acces la distanță înainte de a activa sau a înăspri firewall-ul. Manualul actual UFW avertizează în mod specific că activarea UFW poate perturba conexiunile SSH existente și recomandă adăugarea mai întâi a permisiunii SSH necesare.

Blocați un port cu UFW

Ubuntu documentează UFW ca instrument implicit de configurare a firewall-ului . UFW este în mod normal dezactivat inițial, așa că verificați starea acestuia înainte de a adăuga sau activa reguli.

1. Verificați UFW și activați-l în siguranță

sudo ufw status

Dacă rezultatul este Status: inactiveși doriți să activați UFW, permiteți mai întâi serviciul de gestionare la distanță pe care vă bazați. Pentru un profil OpenSSH standard:

sudo ufw allow OpenSSH
sudo ufw enable

2. Adăugați o regulă de refuz pentru port

Înlocuiți 8080cu portul pe care doriți să îl blocați. Specificați protocolul astfel încât regula să fie lipsită de ambiguitate:

sudo ufw deny 8080/tcp

Pentru UDP, utilizați:

sudo ufw deny 8080/udp

Dacă o aplicație folosește ambele protocoale, adăugați ambele reguli. UFW acceptă și reject; spre deosebire de o respingere silențioasă, o respingere îi spune expeditorului că conexiunea a fost refuzată.

3. Verificați sau eliminați regula UFW

sudo ufw status numbered

Rezultatul ar trebui să afișeze o intrare DENY IN pentru portul blocat. Sintaxa oficială UFW permite, de asemenea, ștergerea regulii prin repetarea acesteia cu delete:

sudo ufw delete deny 8080/tcp

Blocarea unui port cu firewalld

Dacă instalarea Linux folosește firewalld, începeți prin a găsi zona activă:

sudo firewall-cmd --get-active-zones
sudo firewall-cmd --zone=public --list-all

Înlocuiți publicmai jos dacă interfața dvs. aparține unei alte zone. Dacă portul 8080 a fost deschis explicit, eliminați această alocație și reîncărcați configurația permanentă:

sudo firewall-cmd --permanent --zone=public --remove-port=8080/tcp
sudo firewall-cmd --reload

Dacă portul este încă permis indirect de o definiție de serviciu sau dacă doriți în mod specific un bloc explicit, adăugați o regulă de respingere bogată:

sudo firewall-cmd --permanent --zone=public --add-rich-rule='rule port port="8080" protocol="tcp" reject'
sudo firewall-cmd --reload
sudo firewall-cmd --zone=public --list-rich-rules

Documentația rich-rule pentru firewalld acceptă potriviri de porturi cu acțiuni precum rejectsau drop. Manualul său pentru firewall-cmd explică, de asemenea, configurațiile separate pentru runtime și cele permanente.

Pentru a elimina ulterior acel bloc explicit de firewalld, eliminați aceeași regulă îmbogățită și reîncărcați fișierul:

sudo firewall-cmd --permanent --zone=public --remove-rich-rule='rule port port="8080" protocol="tcp" reject'
sudo firewall-cmd --reload

Confirmați că portul nu mai este accesibil

Rulați sudo ss -lntupdin nou dacă doriți să vedeți dacă o aplicație încă ascultă. Apoi testați de pe o altă mașină din rețeaua relevantă. Dacă este instalat Netcat, o verificare TCP poate arăta astfel nc -vz SERVER_IP 8080. Testați de pe aceeași cale de rețea pe care o folosesc clienții dvs. reali; un test localhost nu dovedește că traficul extern este blocat.

Dacă serviciul nu ar trebui să fie expus niciodată, dezactivați sau reconfigurați și serviciul în sine. Un firewall este un strat de control al accesului, nu un substitut pentru eliminarea listenerelor inutile.