راه‌اندازی فایروال UFW و بستن پورت‌های اضافی

فایروال اولین لایه دفاعی سرور است؛ با UFW فقط سرویس‌های لازم را باز نگه دارید و بقیه پورت‌ها را ببندید.

آخرین به‌روزرسانی: ۲۸ مهر ۱۴۰۵ · زمان مطالعه: حدود 3 دقیقه · سطح: کاربردی

چرا این موضوع مهم است؟

موضوع Firewall یکی از پایه‌های نگهداری سرور است. رعایت آن باعث پایداری بیشتر، کاهش ریسک امنیتی و صرفه‌جویی در زمان پشتیبانی می‌شود.

هدف این مقاله، اجرای قابل تکرار و امن مراحل روی سرورهای مجازی ایران و اروپاست؛ نه صرفاً کپی چند دستور.

پیش‌نیازها

• دسترسی SSH با کاربر root یا کاربر دارای sudo
• Ubuntu 22.04/24.04 یا Debian 12 (سازگاری با توزیع‌های مشابه)
• نسخه پشتیبان از فایل‌ها و دیتابیس‌های مهم

راهنمای گام‌به‌گام

گام 1 — وضعیت فعلی فایروال را بررسی کنید

وضعیت فعلی فایروال را بررسی کنید. برای اطمینان، نتیجه را از یک مسیر دوم (مرورگر، کلاینت یا ابزار مانیتورینگ) هم بررسی کنید.

گام 2 — پورت SSH را قبل از فعال‌سازی مجاز کنید

پورت SSH را قبل از فعال‌سازی مجاز کنید. این کار را در بازه کم‌ترافیک انجام دهید و در صورت نیاز کاربران را از قبل مطلع کنید.

گام 3 — پورت‌های وب 80 و 443 را باز کنید

پورت‌های وب 80 و 443 را باز کنید. این مرحله را با دقت انجام دهید و خروجی دستور را بررسی کنید تا از اعمال درست تغییرات مطمئن شوید.

گام 4 — قوانین پیش‌فرض ورودی را deny کنید

قوانین پیش‌فرض ورودی را deny کنید. پس از اجرا، وضعیت سرویس و لاگ‌ها را کنترل کنید؛ تغییر بدون بررسی می‌تواند خطای پنهان ایجاد کند.

گام 5 — فایروال را فعال و وضعیت آن را بررسی کنید

فایروال را فعال و وضعیت آن را بررسی کنید. اگر روی چند سرور کار می‌کنید، این مورد را یک‌بار روی محیط تست اجرا و سپس روی تولید اعمال کنید.

گام 6 — برای هر سرویس جدید قانون مشخص اضافه کنید

برای هر سرویس جدید قانون مشخص اضافه کنید. مقدارهای نمونه را با اطلاعات واقعی سرور خود جایگزین کنید و از اجرای دستور با مقادیر پیش‌فرض پرهیز کنید.

نمونه دستورها

sudo ufw allow OpenSSH
sudo ufw allow 80,443/tcp
sudo ufw default deny incoming
sudo ufw enable
sudo ufw status verbose

نکات امنیتی و بهینه‌سازی

• نسخه پکیج‌ها و سیستم‌عامل را به‌روز نگه دارید؛ بسیاری از نفوذها از نسخه‌های قدیمی شروع می‌شوند.
• دسترسی‌ها را حداقلی نگه دارید و فقط پورت‌ها و کاربران لازم را باز بگذارید.
• پیش از هر تغییر بزرگ، نسخه پشتیبان قابل بازیابی تهیه کنید و بازیابی را تست کنید.

خطاهای رایج و راه‌حل

• قبل از بازگردانی بکاپ، مطمئن شوید نسخه بکاپ با نسخه فعلی سازگار است.
• خطای Permission denied معمولاً به مالکیت یا مجوز فایل مربوط است؛ chmod -R 777 راه‌حل نیست.
• قبل از بازگردانی بکاپ، مطمئن شوید نسخه بکاپ با نسخه فعلی سازگار است.

سؤالات متداول

جمع‌بندی

اگر به منابع بیشتری نیاز دارید، پیش از ارتقای سرور ابتدا گلوگاه واقعی را با متریک مشخص کنید.