Installere og sette opp UFW (Uncomplicated Firewall) på Debian/Ubuntu

UFW er et front-end for IP-tables. Formålet med UFW er å gjøre det så enkelt som mulig å konfigurere reglene for IP-tables. IP-tables er et program som redigerer tabellene til brannmuren i linux kjernen.

UFW er nyttig dersom du enkelt ønsker å legge til begrensninger for tilgang til diverse tjenester/porter som er åpen på serveren.

UFW kommer installert som standard på mange operativsystem. Sjekk derfor om UFW allerede er installert. Kjør følgende kommando:

   sudo apt-get install ufw

Dersom ufw allerede er installert vil du bla. se følgende melding "ufw is already the newest version." Når UFW er installert kan du sjekke status ved å kjøre:

   sudo ufw status

Mest sannsynlig vil du få opp "inactive" som svar da vi ikke har laget noen regler enda. Husk på denne kommandoen til senere.

For å legge til regler for brannmuren kan du se følgende syntaks. Tilpass denne ut ifra hvilke tjenester som skal kunne koble til servern. Følgende tar utgangspunkt i at SSH(port 22) og http(port 80) er åpen inn:

   sudo ufw default deny incoming    #Sperrer alle inkommende porter. vi skal åpne for hver enkelt port etterpå
    sudo ufw default allow outgoing    #Åpner for alle utgående porter
    sudo ufw allow ssh    #Åpner for ssh, port 22
    sudo ufw allow www    #Åpner for http, port 80

Dersom du kjører ssh serveren på en annen port enn 22, f.eks 900, kan du åpne for selve porten slik:
 
   sudo ufw allow 900/tcp

Samme gjelder http:

   sudo ufw allow 8080/tcp

Du kan legge til hele port ranges slik:

   sudo ufw allow 1000:2000/tcp

Hvis du har lagt til en feil port eller ønsker å slette en av reglene som er lagt til kjører du:

   sudo ufw delete allow ssh eller sudo ufw delete allow 22/tcp

Etter at alle regelene er lagt til kan vi starte UFW:

   sudo ufw enable

Sjekk så status som nevnt i begynnelsen av guiden. Ferdig! :)

OBS! Dersom du blir utestengt fra serveren kan du logge inn via Java-konsollen i kundesenteret og kjøre sudo ufw disable for deretter å legge til en "allow" regel for den porten du kobler til mot.

‍