วิธีบล็อกพอร์ตเฉพาะบน Linux ด้วย UFW หรือ firewalld

ในการบล็อกพอร์ตเฉพาะบน Linux ให้เพิ่มกฎไฟร์วอลล์สำหรับพอร์ตและโปรโตคอลที่คุณต้องการบล็อก ตัวอย่างเช่น บนระบบ Ubuntu ที่ใช้ UFW sudo ufw deny 8080/tcpจะบล็อกการเชื่อมต่อ TCP ขาเข้าใหม่ที่พอร์ต 8080 บนระบบที่ใช้ firewalld คุณสามารถลบการอนุญาตพอร์ตที่มีอยู่หรือเพิ่มกฎการปฏิเสธอย่างชัดเจน ส่วนสำคัญคือการเปลี่ยนไฟร์วอลล์ที่ระบบของคุณใช้งานจริง แทนที่จะผสมผสาน UFW, firewalld และกฎ nftables ระดับต่ำเข้าด้วยกัน

ก่อนที่คุณจะบล็อกพอร์ต

ขั้นแรก ให้ตรวจสอบหมายเลขพอร์ตและว่าแอปพลิเคชันใช้ TCP, UDP หรือทั้งสองอย่าง กฎ TCP ไม่ได้บล็อก UDP บนหมายเลขเดียวกันโดยอัตโนมัติ คุณยังสามารถตรวจสอบซ็อกเก็ตที่กำลังรอรับการเชื่อมต่อได้ด้วยคำสั่งต่อไปนี้:

sudo ss -lntup

กฎไฟร์วอลล์ควบคุมการรับส่งข้อมูลเครือข่าย แต่ไม่ได้หยุดแอปพลิเคชันจากการรับฟังการเชื่อมต่อในเครื่อง หากคุณไม่ต้องการใช้บริการนั้นเลย การหยุดหรือปิดใช้งานบริการนั้นมักจะดีกว่าการพึ่งพากฎไฟร์วอลล์เพียงอย่างเดียว

หากคุณเชื่อมต่อกับเครื่องผ่าน SSH โปรดปกป้องกฎการเข้าถึงระยะไกลของคุณก่อนที่จะเปิดใช้งานหรือเพิ่มความปลอดภัยของไฟร์วอลล์คู่มือ UFWฉบับปัจจุบันเตือนไว้อย่างชัดเจนว่าการเปิดใช้งาน UFW อาจทำให้การเชื่อมต่อ SSH ที่มีอยู่หยุดชะงัก และแนะนำให้เพิ่มการอนุญาต SSH ที่จำเป็นก่อน

ปิดกั้นพอร์ตด้วย UFW

Ubuntu ระบุว่า UFW เป็นเครื่องมือตั้งค่าไฟร์วอลล์เริ่มต้นโดยปกติ UFW จะถูกปิดใช้งานในตอนเริ่มต้น ดังนั้นควรตรวจสอบสถานะก่อนที่จะเพิ่มหรือเปิดใช้งานกฎต่างๆ

1. ตรวจสอบ UFW และเปิดใช้งานอย่างปลอดภัย

sudo ufw status

หากผลลัพธ์เป็นเช่นนั้นStatus: inactiveและคุณต้องการเปิดใช้งาน UFW ก่อนอื่นให้อนุญาตบริการการจัดการระยะไกลที่คุณใช้งานอยู่ สำหรับโปรไฟล์ OpenSSH มาตรฐาน:

sudo ufw allow OpenSSH
sudo ufw enable

2. เพิ่มกฎการปฏิเสธสำหรับพอร์ต

แทนที่8080ด้วยพอร์ตที่คุณต้องการบล็อก ระบุโปรโตคอลเพื่อให้กฎมีความชัดเจน:

sudo ufw deny 8080/tcp

สำหรับ UDP ให้ใช้:

sudo ufw deny 8080/udp

หากแอปพลิเคชันใช้ทั้งสองโปรโตคอล ให้เพิ่มกฎทั้งสองข้อ UFW ยังรองรับการrejectปฏิเสธแบบเงียบๆ (non-silent deny) โดยการปฏิเสธแบบเงียบๆ จะแจ้งให้ผู้ส่งทราบว่าการเชื่อมต่อถูกปฏิเสธ

3. ตรวจสอบหรือยกเลิกกฎ UFW

sudo ufw status numbered

ผลลัพธ์ควรแสดง รายการ DENY INสำหรับพอร์ตที่ถูกบล็อก ไวยากรณ์อย่างเป็นทางการของ UFW ยังรองรับการลบกฎโดยการทำซ้ำด้วยdelete:

sudo ufw delete deny 8080/tcp

ปิดกั้นพอร์ตด้วย firewalld

หากระบบ Linux ของคุณใช้ firewalld ให้เริ่มต้นด้วยการค้นหาโซนที่ใช้งานอยู่:

sudo firewall-cmd --get-active-zones
sudo firewall-cmd --zone=public --list-all

publicหากอินเทอร์เฟซของคุณอยู่ในโซนอื่นโปรดแก้ไขข้อมูล ด้านล่าง หากพอร์ต 8080 ถูกเปิดไว้โดยชัดเจน ให้ลบการอนุญาตนั้นออก แล้วโหลดการกำหนดค่าถาวรใหม่:

sudo firewall-cmd --permanent --zone=public --remove-port=8080/tcp
sudo firewall-cmd --reload

หากพอร์ตยังคงได้รับอนุญาตโดยอ้อมตามคำจำกัดความของบริการ หรือคุณต้องการบล็อกอย่างชัดเจน ให้เพิ่มกฎการปฏิเสธแบบละเอียด:

sudo firewall-cmd --permanent --zone=public --add-rich-rule='rule port port="8080" protocol="tcp" reject'
sudo firewall-cmd --reload
sudo firewall-cmd --zone=public --list-rich-rules

เอกสารประกอบการใช้งานกฎที่ซับซ้อนของ firewalldรองรับการจับคู่พอร์ตด้วย การดำเนินการแบบ rejector dropนอกจากนี้คู่มือ firewall-cmdยังอธิบายถึงการกำหนดค่าแบบรันไทม์และแบบถาวรที่แยกจากกันด้วย

หากต้องการลบการบล็อก firewalld ที่ระบุไว้อย่างชัดเจนในภายหลัง ให้ลบกฎ rich rule เดียวกันนั้นออก แล้วโหลดใหม่:

sudo firewall-cmd --permanent --zone=public --remove-rich-rule='rule port port="8080" protocol="tcp" reject'
sudo firewall-cmd --reload

ตรวจสอบให้แน่ใจว่าไม่สามารถเข้าถึงพอร์ตได้อีกต่อไป

sudo ss -lntupหากต้องการตรวจสอบว่าแอปพลิเคชันยังคงทำงานอยู่หรือไม่ ให้รันคำสั่ง อีกครั้ง จากนั้นทดสอบจากเครื่องอื่นในเครือข่ายที่เกี่ยวข้อง หากติดตั้ง Netcat แล้ว การตรวจสอบ TCP อาจมีลักษณะดังนี้ nc -vz SERVER_IP 8080ทดสอบจากเส้นทางเครือข่ายเดียวกันกับที่ไคลเอนต์จริงของคุณใช้ การทดสอบบน localhost ไม่ได้พิสูจน์ว่าการรับส่งข้อมูลภายนอกถูกบล็อก

หากไม่ควรเปิดเผยบริการนั้นเลย ก็ควรปิดใช้งานหรือกำหนดค่าบริการนั้นใหม่ด้วย ไฟร์วอลล์เป็นเพียงชั้นควบคุมการเข้าถึง ไม่ใช่สิ่งที่จะมาทดแทนการลบผู้รับฟังที่ไม่จำเป็นออกไป