linux-nerds.org

Your browser does not seem to support JavaScript. As a result, your viewing experience will be diminished, and you have been placed in read-only mode.

Please download a browser that supports JavaScript, or enable it if it's disabled (i.e. NoScript).

ufw - Die einfache Firewall

Linux

3 Beiträge 1 Kommentatoren 357 Aufrufe

FrankM

schrieb am

Was ist ufw?

Uncomplicated Firewall (ufw) — The Uncomplicated Firewall (ufw, and gufw - a Graphical User Interface version of the same) is a frontend for iptables and is particularly well-suited for host-based firewalls. Ufw provides a framework for managing netfilter, as well as a command-line interface for manipulating the firewall.

Quelle: https://wiki.debian.org/Uncomplicated Firewall (ufw)

ufw ist nur ein Frontend, im Hintergrund wird weiterhin iptables benutzt. Aber ufw ist wesentlich einfacher. Ja, ich kann mir nicht alles merken

Ich wollte das mal ausprobieren um zu schauen, ob das meine iptables Einstellungen ersetzen kann. Das hier behandelt ufw nur im Kontext einer Server Installation. Solltet ihr das für einen Desktop benötige, dafür gibt es gufw. Ok, auf geht's..

Installation

apt install ufw

Standardeinstellungen

root@test-server:~# ufw status
Status: active

To                         Action      From
--                         ------      ----
OpenSSH                    ALLOW       Anywhere                  
OpenSSH (v6)               ALLOW       Anywhere (v6)

Hier sieht man den Status, nachdem ich mittels Ansible einen Server in der Hetzner Cloud erstellt habe. Dazu setze ich ein paar Einstellungen, die wären.

    #####################
    # Setup UFW
    #####################
    - name: Enable UFW
       community.general.ufw:
       state: enabled

    - name: Set policy IN
      community.general.ufw:
        direction: incoming
        policy: deny

    - name: Set policy OUT
      community.general.ufw:
        direction: outgoing
        policy: allow

    - name: Set logging
      community.general.ufw:
        logging: 'on'

    - name: Allow OpenSSH rule
      community.general.ufw:
        rule: allow
        name: OpenSSH

Auf der Konsole wäre das dann folgendes

ufw default deny incoming
ufw default allow outgoing
ufw logging on
ufw allow 22/tcp

Ein

ufw enable

und die Firewall ist aktiv. Kann man mit

root@test-server:~# ufw status
Status: active

To                         Action      From
--                         ------      ----
22/tcp                     ALLOW       Anywhere                  
22/tcp (v6)                ALLOW       Anywhere (v6)

überprüfen. Ihr könnt auch mit

iptables -L
ip6tables -L

die entsprechenden Einstellungen für iptables Euch anschauen.

root@test-server:~# iptables -L
Chain INPUT (policy DROP)
target     prot opt source               destination         
ufw-before-logging-input  all  --  anywhere             anywhere            
ufw-before-input  all  --  anywhere             anywhere            
ufw-after-input  all  --  anywhere             anywhere            
ufw-after-logging-input  all  --  anywhere             anywhere            
ufw-reject-input  all  --  anywhere             anywhere            
ufw-track-input  all  --  anywhere             anywhere            

Chain FORWARD (policy DROP)
target     prot opt source               destination         
ufw-before-logging-forward  all  --  anywhere             anywhere            
ufw-before-forward  all  --  anywhere             anywhere            
ufw-after-forward  all  --  anywhere             anywhere            
ufw-after-logging-forward  all  --  anywhere             anywhere            
ufw-reject-forward  all  --  anywhere             anywhere            
ufw-track-forward  all  --  anywhere             anywhere            

Chain OUTPUT (policy ACCEPT)
target     prot opt source               destination         
ufw-before-logging-output  all  --  anywhere             anywhere            
ufw-before-output  all  --  anywhere             anywhere            
ufw-after-output  all  --  anywhere             anywhere            
ufw-after-logging-output  all  --  anywhere             anywhere            
ufw-reject-output  all  --  anywhere             anywhere            
ufw-track-output  all  --  anywhere             anywhere            

Chain ufw-after-forward (1 references)
target     prot opt source               destination         
[..gekürzt..]

Mit

ufw reset

löscht man alle Einstellungen.

Hier noch die Ausgabe auf --help

root@test-server:~# ufw --help

Usage: ufw COMMAND

Commands:
 enable                          enables the firewall
 disable                         disables the firewall
 default ARG                     set default policy
 logging LEVEL                   set logging to LEVEL
 allow ARGS                      add allow rule
 deny ARGS                       add deny rule
 reject ARGS                     add reject rule
 limit ARGS                      add limit rule
 delete RULE|NUM                 delete RULE
 insert NUM RULE                 insert RULE at NUM
 prepend RULE                    prepend RULE
 route RULE                      add route RULE
 route delete RULE|NUM           delete route RULE
 route insert NUM RULE           insert route RULE at NUM
 reload                          reload firewall
 reset                           reset firewall
 status                          show firewall status
 status numbered                 show firewall status as numbered list of RULES
 status verbose                  show verbose firewall status
 show ARG                        show firewall report
 version                         display version information

Application profile commands:
 app list                        list application profiles
 app info PROFILE                show information on PROFILE
 app update PROFILE              update PROFILE
 app default ARG                 set default application policy

FrankM

schrieb am

Um eine Rule zu löschen, macht man folgendes

root@semaphore:/home/semaphore# ufw status numbered

Status: active

Um eine Rule zu löschen, macht man folgendes

root@semaphore:/home/semaphore# ufw status numbered
Status: active

     To                         Action      From
     --                         ------      ----
[ 1] 22/tcp                     ALLOW IN    Anywhere                  
[ 2] 3000/tcp                   ALLOW IN    Anywhere                  
[ 3] 80                         ALLOW IN    Anywhere                  
[ 4] 443                        ALLOW IN    Anywhere                  
[ 5] 22/tcp (v6)                ALLOW IN    Anywhere (v6)             
[ 6] 3000/tcp (v6)              ALLOW IN    Anywhere (v6)             
[ 7] 80 (v6)                    ALLOW IN    Anywhere (v6)             
[ 8] 443 (v6)                   ALLOW IN    Anywhere (v6)

Jetzt kann man mit der Nummer die Rule löschen.

 root@semaphore:/home/semaphore# ufw delete 2
 Deleting:
  allow 3000/tcp
 Proceed with operation (y|n)? y       
 Rule deleted

F Offline
F Offline
FrankM

schrieb am zuletzt editiert von

#3
Beispiel um eingehend einen Port für eine IP-Adresse zu erlauben.
```
ufw allow from 1.1.1.1 to any port 8000
```
Im Fediverse -> @FrankM@nrw.social

NanoPi R5S

Quartz64 Model B, 4GB RAM

Quartz64 Model A, 4GB RAM

RockPro64 v2.1
1 Antwort Letzte Antwort

0

Anmelden zum Antworten

C

#Microsoft hat fertig: 25.000 PCs in SchleswigHolstein auf #Linux & #LibreOffice
Beobachtet Ignoriert Geplant Angeheftet Gesperrt Verschoben Uncategorized microsoft linux libreoffice windows outlook
1

0 Stimmen

1 Beiträge

9 Aufrufe

Niemand hat geantwortet
F

Forgejo Installation mit Restic nach Hetzner S3 sichern
Beobachtet Ignoriert Geplant Angeheftet Gesperrt Verschoben Forgejo restic linux forgejo
2

2

0 Stimmen

2 Beiträge

349 Aufrufe

F

Ich habe ja im obigen Beispiel, den gesamten Ordner von der Postgres Installation gesichert. backup_pfad_postgres="/home/pguser/db-data" Ich habe dann mal ein wenig in der Dokumentation gelesen und das hier gefunden. https://www.postgresql.org/docs/current/app-pgdump.html Einfach den Ordner zu sichern, ist ja bei jeder Datenbank ein gewisses Risiko. Die Konsistenz der Daten ist nicht gesichert. Darum gibt es bei den Datenbanken auch immer Tools, mit denen man die Daten sichern kann. In der Doku steht folgendes. pg_dump — extract a PostgreSQL database into a script file or other archive file Aber wichtiger ist das hier. pg_dump is a utility for backing up a PostgreSQL database. It makes consistent backups even if the database is being used concurrently. pg_dump does not block other users accessing the database (readers or writers). Das macht also konsistente Backups. Wichtig noch zu wissen ist folgendes. pg_dump only dumps a single database. To back up an entire cluster, or to back up global objects that are common to all databases in a cluster (such as roles and tablespaces), use pg_dumpall. Ok, das scheint gut geeignet zu sein, um die Datenbank zu sichern. Aber, wie? Auf meinen Eingangsbeitrag kam es zu folgendem Dialog auf Mastodon. https://nrw.social/deck/@nebucatnetzer@social.linux.pizza/114132208440509237 Das war der Anstoß sich mit dem Thema zu beschäftigen. Und ich hatte dann folgende Lösung. podman exec -it postgres pg_dump -U postgres -f /var/lib/postgresql/data/dump.txt Ok, was mache ich hier? Wir führen einen Befehl vom Host aus gesehen, im Container aus. podman exec -it postgres Der Teil führt den folgenden Befehl im Container aus. pg_dump -U postgres -f /var/lib/postgresql/data/dump.txt pg_dump - Das Tool fürs Backup -U postgres - Der Befehl wird als User postgres ausgeführt -f /var/lib/postgresql/data/dump.txt - Das Dump File wird im Data Ordner abgelegt, den haben wir ja persistent auf dem Host. Somit kann ich das jetzt einfach in mein Backup Script einbauen und brauchen nicht mehr den ganzen Ordner zu kopieren, sondern nur noch das Dump File. Ich werde diese Änderungen in das obige Script einbauen.
F

Redis ConnectionPool
Beobachtet Ignoriert Geplant Angeheftet Gesperrt Verschoben Redis redis linux ki-generiert
2

0 Stimmen

2 Beiträge

332 Aufrufe

F

Die Antwort von ChatGPT wie der Redis ConnectionPool funktioniert. Ein paar Dinge finde ich komisch. https://chat.openai.com/share/b10fdadc-2c9b-404a-bc99-c883d110d6af
F

Pycharm - Nach Stromausfall startet es nicht mehr.
Beobachtet Ignoriert Geplant Angeheftet Gesperrt Verschoben Linux pycharm linux
1

0 Stimmen

1 Beiträge

151 Aufrufe

Niemand hat geantwortet
F

duf - ein hübsches Kommandozeilen Tool
Beobachtet Ignoriert Geplant Angeheftet Gesperrt Verschoben Linux linux duf
1

1

0 Stimmen

1 Beiträge

192 Aufrufe

Niemand hat geantwortet
F

checkmk - Agent auf einem Debian Buster Server installieren
Beobachtet Ignoriert Geplant Angeheftet Gesperrt Verschoben checkmk checkmk linux
1

2

0 Stimmen

1 Beiträge

894 Aufrufe

Niemand hat geantwortet
F

Linux Mint 20 & Scannen mit HP LaserJet Pro MFP M28a
Beobachtet Ignoriert Geplant Angeheftet Gesperrt Verschoben Linux linuxmint linux
2

1

0 Stimmen

2 Beiträge

1k Aufrufe

F

Nachdem ich jetzt ja wieder auf Linux Mint Cinnamon in Version 20.2 unterwegs bin, hatte ich wieder das Problem das der Drucker ohne Probleme druckt aber nicht scannt. Ich habe dann mal dieses Tool installiert apt install hplip-gui [image: 1625908296630-0918fea1-0edf-43c1-aa29-9d79efda177c-grafik.png] Dann auf Scan geklickt, dann meckerte er über ein fehlendes Plugin. Ok, installiert, danach kamen Verbindungsfehler beim Scannen. Einmal den USB-Stecker entfernt, danach ging alles. Bitte nicht fragen warum, hplip hasse ich noch mehr als WLAN Ok, nicht mehr anfassen.... [image: 1625908444519-79d636b7-2b49-4152-b158-e65cebabf148-grafik.png] In der Linux Mint Hilfe findet man dazu folgendes -> Klick
F

Redis Replication
Beobachtet Ignoriert Geplant Angeheftet Gesperrt Verschoben Redis linux redis
4

1 Stimmen

4 Beiträge

619 Aufrufe

F

Um die Verbindung zu testen, kann man folgende Befehle nutzen. redis-cli -h 10.1.1.0 -p 6379 -a <PASSWORD> und telnet 10.1.1.0 6379