Opțiunile de firewall din Debian controlează ce conexiuni de rețea pot accesa un computer desktop sau un server. Alegerea principală nu se rezumă doar la nftables, UFW și firewalld. Ea implică, de asemenea, alegerea unui nivel de gestionare. nftables funcționează în strânsă legătură cu sistemul de firewall Linux, în timp ce UFW și firewalld oferă modalități de nivel superior pentru crearea și gestionarea regulilor.
Opțiunea potrivită depinde de experiența dvs., de serviciile expuse de sistem și de frecvența cu care se modifică configurația firewall-ului. Un utilizator începător de desktop are nevoie, de obicei, de o interfață simplă. Un administrator care gestionează mai multe servicii poate avea nevoie de mai mult control și de o separare mai clară între modificările temporare și cele permanente.
Cuprins
În ce fel diferă cele trei opțiuni de firewall
| Instrument | Nivel de gestionare | Cel mai potrivit pentru | Considerent principal |
|---|---|---|---|
| nftables | Gestionarea directă a regulilor pentru sistemul de firewall Linux | Administratorii care au nevoie de reguli precise | Mai puternic, dar mai ușor de configurat greșit |
| UFW | Interfață simplă de linie de comandă pentru reguli obișnuite de firewall | Utilizatori începători de desktop și servere simple | Mai puțin complex de utilizat, cu mai puține funcții de gestionare |
| firewalld | Manager de politici cu zone și reguli bazate pe servicii | Sisteme cu roluri de rețea variabile sau cu mai multe niveluri de încredere | Necesită înțelegerea zonelor, a serviciilor și a stării regulilor |
nftables nu este același tip de instrument ca UFW sau firewalld. nftables este utilizat pentru a defini direct regulile de firewall. UFW și firewalld gestionează regulile de firewall prin propriile comenzi și modele de configurare. Instalarea sau utilizarea unuia dintre ele nu înseamnă că toate trei trebuie configurate în același timp.
nftables pentru control direct și detaliat
nftables este potrivit atunci când aveți nevoie de un control exact asupra traficului. Acesta poate defini reguli pentru adrese, porturi, protocoale, interfețe, stări de conexiune și trafic IPv4 sau IPv6. Acest lucru îl face o alegere excelentă pentru administratorii care înțeleg deja politica de firewall și doresc o configurație care să corespundă îndeaproape proiectului sistemului.
Controlul suplimentar sporește, de asemenea, efortul de depanare. O mică eroare într-o regulă sau într-un lanț poate bloca un serviciu necesar, inclusiv SSH. Regulile trebuie planificate înainte de a fi aplicate, iar administratorii la distanță ar trebui să mențină accesul la consolă sau accesul out-of-band disponibil, atunci când este posibil.
Pentru o configurare persistentă a nftables, salvați regulile dorite în configurația sistemului și asigurați-vă că serviciul corespunzător le încarcă în timpul pornirii. Verificați regulile active cu:
sudo nft list rulesetSetul de reguli afișat este sursa de referință utilă atunci când verificați ce aplică kernelul în prezent. Un fișier de configurare care a fost editat, dar nu a fost încărcat, nu reprezintă firewall-ul activ.
UFW pentru politici simple de desktop și server
UFW este conceput pentru a facilita exprimarea sarcinilor obișnuite ale unui firewall. Adesea, acesta reprezintă un punct de plecare adecvat pentru un desktop Debian sau un server mic cu un set limitat de servicii. Puteți permite sau refuza traficul în funcție de serviciu, port, adresă sau direcție, fără a fi nevoie să scrieți singur setul complet de reguli de nivel inferior.
UFW este o alegere potrivită atunci când politica este stabilă și simplă. De exemplu, un server poate avea nevoie de acces SSH și de unul sau mai multe servicii web, în timp ce alte conexiuni de intrare rămân blocate. Este mai puțin potrivit atunci când politica necesită procesarea avansată a traficului sau un număr mare de condiții de rețea separate.
Verificați dacă UFW este activ și examinați politica sa curentă cu:
sudo ufw status verboseÎnainte de a activa UFW pe un server la distanță, permiteți mai întâi serviciul SSH sau portul SSH propriu-zis. Mențineți sesiunea curentă deschisă în timp ce testați o nouă politică. O regulă care blochează conexiunea de administrare poate împiedica accesul la distanță ulterior, chiar și atunci când firewall-ul în sine funcționează conform configurației.
firewalld pentru zone și roluri de rețea variabile
firewalld gestionează politica de firewall prin zone. O zonă reprezintă un nivel de încredere pentru o conexiune de rețea, iar serviciile sau porturile pot fi permise în cadrul acelei zone. Acest model poate fi util atunci când un sistem utilizează interfețe diferite sau trece de la un mediu de rețea la altul.
firewalld separă modificările din timpul rulării de configurația permanentă. O regulă din timpul rulării afectează starea curentă a firewall-ului. O regulă permanentă este menită să rămână valabilă după o reîncărcare sau o repornire. O modificare efectuată doar în timpul rulării poate dispărea ulterior, așa că verificați dacă modificările importante sunt salvate în forma dorită.
Verificările utile includ:
sudo firewall-cmd --state
sudo firewall-cmd --get-active-zones
sudo firewall-cmd --list-allfirewalld poate oferi mai mult decât are nevoie un începător pentru o rețea simplă. Devine util atunci când sistemul are mai multe interfețe, niveluri de încredere variabile sau o politică gestionată prin nume de servicii și zone.
Reguli IPv6 și acoperirea firewall-ului
IPv6 trebuie inclus în planul de firewall. O regulă care protejează traficul IPv4 nu garantează automat că traficul IPv6 este acoperit. Verificați modul în care instrumentul selectat gestionează ambele familii de adrese și examinați regulile active, nu doar fișierul de configurare.
Cu nftables, proiectarea regulilor poate face distincția între IPv4 și IPv6 sau poate utiliza o familie care acoperă ambele. În cazul UFW, suportul pentru IPv6 depinde de configurația sa pentru IPv6. În cazul firewalld, verificați zona activă și regulile acesteia pentru familia de adrese relevantă. Dacă IPv6 este activat pe sistem, testați serviciile atât pe IPv6, cât și pe IPv4.
Ce instrument de firewall Debian ar trebui să alegeți?
- Alegeți UFW pentru un utilizator începător de desktop sau un server mic, cu o listă scurtă și stabilă de servicii permise.
- Alegeți firewalld atunci când sistemul are mai multe interfețe de rețea, roluri de rețea variabile sau este necesară gestionarea politicilor prin zone și servicii.
- Alegeți nftables atunci când un administrator experimentat are nevoie de reguli precise, condiții avansate sau control direct asupra setului de reguli active.
Pentru orice server expus, documentați serviciile necesare înainte de a modifica firewall-ul. Confirmați accesul SSH, includeți IPv6 acolo unde este activat, verificați regulile active după fiecare modificare și asigurați-vă că configurația este persistentă folosind instrumentul selectat. Când un sistem la distanță devine inaccesibil, utilizați accesul la consolă, dacă este disponibil, și contactați serviciul de asistență dacă nu puteți restabili accesul în condiții de siguranță.