Τοίχος Προστασίας

Ευαγγελία Κατσιαντώνη5/17/25Περίπου 8 λεπτά

UFW (Uncomplicated Firewall): Ένας Φιλικός Φρουρός για το Σύστημά σας Linux

Θεωρητική Επισκόπηση

Τι είναι το UFW;

Το UFW (Uncomplicated Firewall) είναι ένα πρόγραμμα τείχους προστασίας (firewall) που έχει σχεδιαστεί για να παρέχει μια απλή και φιλική προς το χρήστη διεπαφή για τη διαχείριση των κανόνων του netfilter, του υποσυστήματος του πυρήνα του Linux που είναι υπεύθυνο για το φιλτράρισμα των πακέτων δικτύου. Στην ουσία, το UFW δρα ως ένα αφηρημένο επίπεδο (abstraction layer) πάνω από τις πιο σύνθετες εντολές του iptables (και πιο πρόσφατα του nftables), κάνοντας τη διαμόρφωση του firewall πολύ πιο προσιτή, ειδικά για νέους χρήστες ή διαχειριστές συστημάτων που δεν είναι εξοικειωμένοι με την πολυπλοκότητα του iptables.

Σκεφτείτε το UFW σαν έναν "θυρωρό" για το σύστημά σας. Ελέγχει κάθε "επισκέπτη" (εισερχόμενη ή εξερχόμενη σύνδεση δικτύου) και, βάσει των κανόνων που έχετε ορίσει, αποφασίζει αν θα του επιτρέψει την είσοδο ή την έξοδο.

Η Γένεση του UFW

Πώς και Από Ποιους Επινοήθηκε;

Το UFW αναπτύχθηκε από την Canonical Ltd., την εταιρεία πίσω από τη διανομή Ubuntu Linux. Η ανάγκη για ένα απλούστερο εργαλείο διαχείρισης firewall ήταν εμφανής, καθώς η απευθείας διαχείριση του iptables απαιτούσε μια βαθύτερη κατανόηση των δικτυακών εννοιών και της σύνταξης των εντολών.

Χρονολόγιο Υιοθέτησης από το Ubuntu Linux

Πότε Έγινε Αναπόσπαστο Κομμάτι;

Το UFW εισήχθη για πρώτη φορά στο Ubuntu 8.04 LTS (Hardy Heron), που κυκλοφόρησε τον Απρίλιο του 2008. Από τότε, έχει γίνει ένα προεπιλεγμένο και βασικό εργαλείο για τη διαχείριση του firewall στις περισσότερες εκδόσεις του Ubuntu. Η ενσωμάτωσή του στόχευε στην παροχή μιας πιο "έτοιμης προς χρήση" (out-of-the-box) λύσης ασφάλειας για τους χρήστες του Ubuntu.

Μηχανισμός Λειτουργίας

Στην καρδιά του, το UFW λειτουργεί ως ένας διαχειριστής κανόνων για το υποκείμενο firewall του Linux, το netfilter. Όταν δίνετε μια εντολή στο UFW για να επιτρέψετε ή να απορρίψετε μια σύνδεση, το UFW μεταφράζει αυτή την εντολή σε αντίστοιχους κανόνες iptables (ή nftables σε νεότερες εκδόσεις του Ubuntu).

Η ροή εργασίας είναι η εξής:

Ο χρήστης (ή ο διαχειριστής) ορίζει κανόνες μέσω της γραμμής εντολών του UFW. Αυτοί οι κανόνες καθορίζουν ποια είδη δικτυακής κίνησης επιτρέπονται ή απορρίπτονται.
Το UFW αναλύει αυτούς τους κανόνες και τους μετατρέπει στις κατάλληλες εντολές iptables ή nftables.
Το netfilter, που είναι ενσωματωμένο στον πυρήνα του Linux, εφαρμόζει αυτούς τους κανόνες σε κάθε πακέτο δικτύου που εισέρχεται ή εξέρχεται από το σύστημα.
Βάσει των κανόνων, τα πακέτα επιτρέπονται να περάσουν ή απορρίπτονται (δηλαδή, μπλοκάρονται).

Ένα σημαντικό χαρακτηριστικό του UFW είναι η σειριακή επεξεργασία των κανόνων. Οι κανόνες αξιολογούνται με τη σειρά που προστέθηκαν. Ο πρώτος κανόνας που ταιριάζει με ένα πακέτο δικτύου είναι αυτός που καθορίζει την ενέργεια (allow/deny).

Προεγκατάσταση και Ενεργοποίηση

Είναι Έτοιμο για Χρήση;

Στις περισσότερες σύγχρονες εγκαταστάσεις του Ubuntu Desktop και Server, το UFW είναι προεγκατεστημένο. Ωστόσο, δεν είναι ενεργοποιημένο από προεπιλογή. Αυτό σημαίνει ότι αμέσως μετά την εγκατάσταση του Ubuntu, το firewall είναι σε ανενεργή κατάσταση και δεν μπλοκάρει καμία σύνδεση.

Για να ελέγξετε την κατάσταση του UFW, μπορείτε να χρησιμοποιήσετε την εντολή:

sudo ufw status

Αν το UFW είναι ανενεργό, θα δείτε ένα μήνυμα που το υποδεικνύει. Για να το ενεργοποιήσετε, χρησιμοποιήστε την εντολή:

sudo ufw enable

Μετά την ενεργοποίηση, είναι καλή πρακτική να ελέγξετε ξανά την κατάσταση για να βεβαιωθείτε ότι είναι ενεργό.

Κανόνες και Πολιτικές

Ορίζοντας την Ασφάλεια

Οι κανόνες (rules) στο UFW καθορίζουν πώς θα χειρίζεται το firewall την εισερχόμενη και εξερχόμενη δικτυακή κίνηση. Οι κανόνες βασίζονται σε διάφορα κριτήρια, όπως:

Πρωτόκολλο (Protocol): TCP, UDP, κ.λπ.
Θύρα (Port): Ένας αριθμός που αναγνωρίζει μια συγκεκριμένη υπηρεσία ή εφαρμογή δικτύου.
Διεύθυνση IP (IP Address): Η μοναδική διεύθυνση ενός υπολογιστή στο δίκτυο.
Εύρος Διευθύνσεων IP (IP Address Range): Ένα σύνολο συνεχόμενων διευθύνσεων IP.
Διεπαφή Δικτύου (Network Interface): Για παράδειγμα, eth0, wlan0.

Οι πολιτικές (policies) καθορίζουν την προεπιλεγμένη συμπεριφορά του firewall για την εισερχόμενη και εξερχόμενη κίνηση, όταν δεν υπάρχει κανένας κανόνας που να ταιριάζει. Υπάρχουν δύο βασικές προεπιλεγμένες πολιτικές:

default deny incoming: Απορρίπτει όλες τις εισερχόμενες συνδέσεις εκτός αν υπάρχει ένας ρητός κανόνας που τις επιτρέπει. Αυτή είναι η πιο ασφαλής προεπιλεγμένη πολιτική για διακομιστές και σταθμούς εργασίας.
default allow outgoing: Επιτρέπει όλες τις εξερχόμενες συνδέσεις. Συνήθως, δεν υπάρχει λόγος να περιορίσετε την εξερχόμενη κίνηση σε έναν προσωπικό υπολογιστή, αλλά σε πιο αυστηρά ελεγχόμενα περιβάλλοντα (π.χ., εταιρικά δίκτυα), μπορεί να χρειαστεί να οριστούν πιο περιοριστικές πολιτικές.

Μπορείτε να δείτε τις τρέχουσες προεπιλεγμένες πολιτικές με την εντολή:

sudo ufw status verbose

Για να αλλάξετε τις προεπιλεγμένες πολιτικές, χρησιμοποιήστε τις εντολές:

sudo ufw default deny incoming
sudo ufw default allow outgoing

Οργάνωση Πολιτικών

Μια Συνολική Εικόνα

Το UFW διαχειρίζεται τους κανόνες του με μια απλή και γραμμική προσέγγιση. Όταν προσθέτετε έναν κανόνα, αυτός αποθηκεύεται και αξιολογείται με τη σειρά που προστέθηκε.

Για να δείτε όλους τους ενεργούς κανόνες, χρησιμοποιήστε την εντολή:

sudo ufw status numbered

Η έξοδος αυτής της εντολής θα σας παρουσιάσει μια αριθμημένη λίστα όλων των ενεργών κανόνων. Η αρίθμηση είναι σημαντική γιατί σας επιτρέπει να διαγράψετε συγκεκριμένους κανόνες με βάση τον αριθμό τους.

Για παράδειγμα, αν θέλετε να διαγράψετε τον κανόνα με αριθμό 3, μπορείτε να χρησιμοποιήσετε την εντολή:

sudo ufw delete 3

Επιπλέον, το UFW παρέχει κάποιες προκαθορισμένες "εφαρμογές" (applications) που αντιπροσωπεύουν κοινές υπηρεσίες δικτύου (π.χ., SSH, HTTP, HTTPS). Αυτές οι εφαρμογές έχουν ήδη καθορισμένες τις θύρες και τα πρωτόκολλα που χρησιμοποιούν. Μπορείτε να δείτε τις διαθέσιμες εφαρμογές με την εντολή:

sudo ufw app list

Και μπορείτε να επιτρέψετε την κίνηση για μια συγκεκριμένη εφαρμογή με την εντολή:

sudo ufw allow OpenSSH

Αυτή η προσέγγιση κάνει τη διαχείριση των κανόνων πιο διαισθητική, καθώς δεν χρειάζεται να θυμάστε τις ακριβείς θύρες για κάθε υπηρεσία.

Συνοψίζοντας την Οργάνωση των Πολιτικών:

Οι προεπιλεγμένες πολιτικές (default allow/deny) καθορίζουν τη βασική συμπεριφορά για όλη την κίνηση.
Οι κανόνες που προσθέτετε παρακάμπτουν τις προεπιλεγμένες πολιτικές για συγκεκριμένες περιπτώσεις (π.χ., επιτρέποντας συνδέσεις σε μια συγκεκριμένη θύρα ή από μια συγκεκριμένη IP).
Οι κανόνες αξιολογούνται με τη σειρά που προστέθηκαν.
Μπορείτε να δείτε όλους τους ενεργούς κανόνες με αρίθμηση χρησιμοποιώντας sudo ufw status numbered.
Μπορείτε να χρησιμοποιήσετε προκαθορισμένες "εφαρμογές" για κοινές υπηρεσίες.

Βασική Χρήση και Διαχείριση του UFW μέσω Τερματικού

Για να αλληλεπιδράσουμε με το UFW, χρησιμοποιούμε την εντολή ufw ακολουθούμενη από διάφορες επιλογές και παραμέτρους. Οι εντολές αυτές εκτελούνται συνήθως με δικαιώματα διαχειριστή (root), γι' αυτό και χρησιμοποιούμε το sudo πριν από την ufw.

1. Έλεγχος της Κατάστασης του UFW

sudo ufw status

Για πιο λεπτομερείς πληροφορίες:

sudo ufw status verbose

2. Ενεργοποίηση και Απενεργοποίηση του UFW

Για ενεργοποίηση:

sudo ufw enable

Για απενεργοποίηση:

sudo ufw disable

3. Διαχείριση Κανόνων: Δημιουργία, Προσθήκη και Διαγραφή

α) Επιτρέποντας Συνδέσεις (Allow)

Επιτρέποντας συνδέσεις σε μια συγκεκριμένη θύρα (TCP):
```
sudo ufw allow 80/tcp
```
Επιτρέποντας συνδέσεις σε μια συγκεκριμένη θύρα (UDP):
```
sudo ufw allow 53/udp
```
Επιτρέποντας συνδέσεις από μια συγκεκριμένη διεύθυνση IP:
```
sudo ufw allow from 192.168.1.100
```
Επιτρέποντας συνδέσεις από μια συγκεκριμένη IP σε μια συγκεκριμένη θύρα (TCP):
```
sudo ufw allow from 192.168.1.100 to any port 22 proto tcp
```
Επιτρέποντας συνδέσεις σε μια συγκεκριμένη θύρα σε μια συγκεκριμένη διεπαφή δικτύου (TCP):
```
sudo ufw allow in on eth0 to any port 80 proto tcp
```
Χρησιμοποιώντας προφίλ εφαρμογών:
```
sudo ufw allow OpenSSH
```

β) Απορρίπτοντας Συνδέσεις (Deny)

Απορρίπτοντας συνδέσεις σε μια συγκεκριμένη θύρα (TCP):
```
sudo ufw deny 80/tcp
```
Απορρίπτοντας συνδέσεις από μια συγκεκριμένη διεύθυνση IP:
```
sudo ufw deny from 192.168.1.101
```

γ) Διαγραφή Κανόνων (Delete)

Χρησιμοποιώντας τον αριθμό του κανόνα:
```
sudo ufw status numbered
sudo ufw delete 3
```
Χρησιμοποιώντας την ίδια σύνταξη με την προσθήκη:
```
sudo ufw delete allow 80/tcp
sudo ufw delete allow from 192.168.1.100
```

4. Απενεργοποίηση Κανόνων (Disable)

Απενεργοποίηση κανόνα με βάση τον αριθμό:
```
sudo ufw disable 3
```
Ενεργοποίηση απενεργοποιημένου κανόνα με βάση τον αριθμό:
```
sudo ufw enable 3
```

5. Επαναφορά των Προεπιλεγμένων Ρυθμίσεων (Reset)

Προσοχή: Αυτή η ενέργεια αφαιρεί όλους τους κανόνες.

sudo ufw reset

6. Διαχείριση Εξερχόμενων Συνδέσεων (Outgoing)

Αλλαγή της προεπιλεγμένης πολιτικής για τις εξερχόμενες συνδέσεις σε deny:
```
sudo ufw default deny outgoing
```
Επέτρεπε την εξερχόμενη TCP κίνηση στην θύρα 80:
```
sudo ufw allow out to any port 80 proto tcp
```

7. Λογογράφηση (Logging)

Ενεργοποίηση καταγραφής:
```
sudo ufw logging on
```
Απενεργοποίηση καταγραφής:
```
sudo ufw logging off
```

Ρύθμιση επιπέδου καταγραφής:

sudo ufw logging low
sudo ufw logging medium
sudo ufw logging high

Πηγές Τεκμηρίωσης

Ubuntu Manpage for UFW: https://manpages.ubuntu.com/manpages/jammy/man8/ufw.8.html
UFW Community Help Wiki: https://help.ubuntu.com/community/UFW
DigitalOcean Tutorial on UFW: https://www.digitalocean.com/community/tutorials/how-to-set-up-a-firewall-with-ufw-on-ubuntu-20-04 (Παρόλο που αναφέρεται στην 20.04, οι βασικές αρχές ισχύουν και για άλλες εκδόσεις)
Netfilter Project: https://www.netfilter.org/ (Για περισσότερες πληροφορίες σχετικά με το υποκείμενο σύστημα firewall του Linux)
NFTables Wiki: https://wiki.nftables.org/wiki-nftables/ (Πληροφορίες για το nftables, το νεότερο υποσύστημα firewall που χρησιμοποιείται σε νεότερες εκδόσεις.