Uncomplicated FireWall ist eine Schnittstelle zur Konfiguration des Paketfilters iptables, die darauf ausgerichtet ist, die Konfiguration einer Firewall zu vereinfachen.

Beschreibung

Installation

# apt install ufw

Anwendungen

Syntax

Optionen

Parameter

Umgebungsvariablen

Exit-Status

Konfiguration

SSH erlauben

Für den Fall, daß die Firewall auf einem entfernten Rechner eingerichtet werden soll, ist zwingend darauf zu achten, daß vor deren Aktiviierung der entsprechnede Port für SSH-Verbindungen zugelassen wird:

# ufw allow ssh

oder

# ufw allow 22

Da mit der Datei /etc/services eine Liste existiert, in der für jeden Dienst eine Port-Nummer hinterlegt ist, kann bei der Erstellung der Regeln gewählt werden, ob der jeweilige Dienst (hier: ssh) oder die Port-Nummer (hier: 22) angegeben wird.

Sollte der Dienst SSH so konfiguriert worden sein, daß dieser einen abweichenden Port verwendet (hier: 2222), kann auch dieser bei Erstellung der Regel angegeben werden:

# ufw allow 2222

UFW aktivieren

Das Starten der Firewall erfolgt mit dem Kommando:

# ufw enable

Sollte die Einrichtung der Firewall über eine bereits aktive SSH-Sitzung erfolgen, wird eine Meldung ausgegeben, die davor warnt, daß die Verbindung gestört werden könnte:

# ufw enable
Command may disrupt existing ssh connections. 

• Proceed with operation (y|n)? y

Firewall is active and enabled on system startup

Wurde die Regel für SSH-Verbindungen bereits erstellt, kann die Frage mit y(es) beantwortet werden.

Die Firewall sollte nun aktiv sein.

• Der aktuelle Status kann wie folgt abgefragt werden:

# ufw status verbose
Status: active
Logging: on (low)
Default: deny (incoming), allow (outgoing), disabled (routed)
New profiles: skip

To                         Action      From
--                         ------      ----
22/tcp                     ALLOW IN    Anywhere
22/tcp (v6)                ALLOW IN    Anywhere (v6)

IPv6

Ist eine Unterstützung von IPv6 erforderlich, muß dies zunächst mit einem Eintrag in der Konfigurationsdatei aktiviert werden:

# vi /etc/default/ufw

Hier muß sichergestellt werden, daß der Eintrag IPV6=yes existiert:

# /etc/default/ufw
#

# Set to yes to apply rules to support IPv6 (no means only IPv6 on loopback
# accepted). 

• You will need to 'disable' and then 'enable' the firewall for

# the changes to take affect.
IPV6=yes

Wurde dieser Eintrag hinzugefügt, werden die entsprechenden Regeln sowohl für IPv4, als auch für IPv6 erstellt.

Standardrichtlinien

• Standardrichtlinien sollten zuerst erstellt werden & definieren das Verhalten der Firewall, wenn keine der anderen Regeln auf die jeweilige Situation passt.
• Die Standardeinstellung ist die, dass eingehende Verbindungen abgelehnt & ausgehende Verbindungen zugelassen werden - so wird sichergestellt, dass niemand den entsprechenden Rechner von außen erreichen kann, während Anwendungen mit der Außenwelt kommunizieren können.
• Dieses Standardverhalten lässt sich mit den folgenden Befehlen wiederherstellen:

# ufw default deny incoming
# ufw default allow outgoing

• Zum Schutz eines Arbeitsplatzrechners könnten diese Standardeinstellungen bereits ausreichen, während die Regeln von Rechnern, die ihre Dienste Clients zur Verfügung stellen (Web-Server, Mail-Server, etc.) entsprechend angepasst werden müssen.

ICMP

Um ICMP-Anfragen zu blockieren, ist eine Anpassung der Standardeinstellungen erforderlich, da hierfür keine Regeln mit ufw über die Kommandozeile definiert werden können.

• Die Dateien, die zu diesem Zweck editiert werden müssen, finden sich im Verzeichnis /etc/ufw mit den Namen before.rules (für IPv4) und before6.rules (für IPv6):

...
# ok icmp codes for INPUT
-A ufw-before-input -p icmp --icmp-type destination-unreachable -j ACCEPT
-A ufw-before-input -p icmp --icmp-type time-exceeded -j ACCEPT
-A ufw-before-input -p icmp --icmp-type parameter-problem -j ACCEPT
-A ufw-before-input -p icmp --icmp-type echo-request -j ACCEPT
...

...
# ok icmp codes for INPUT (rfc4890, 4.4.1 and 4.4.2)
-A ufw6-before-input -p icmpv6 --icmpv6-type destination-unreachable -j ACCEPT
-A ufw6-before-input -p icmpv6 --icmpv6-type packet-too-big -j ACCEPT
# codes 0 and 1
-A ufw6-before-input -p icmpv6 --icmpv6-type time-exceeded -j ACCEPT
# codes 0-2 (echo-reply needs to be before INVALID, see above)
-A ufw6-before-input -p icmpv6 --icmpv6-type parameter-problem -j ACCEPT
-A ufw6-before-input -p icmpv6 --icmpv6-type echo-request -j ACCEPT
-A ufw6-before-input -p icmpv6 --icmpv6-type router-solicitation -m hl --hl-eq 255 -j ACCEPT
-A ufw6-before-input -p icmpv6 --icmpv6-type router-advertisement -m hl --hl-eq 255 -j ACCEPT
-A ufw6-before-input -p icmpv6 --icmpv6-type neighbor-solicitation -m hl --hl-eq 255 -j ACCEPT
-A ufw6-before-input -p icmpv6 --icmpv6-type neighbor-advertisement -m hl --hl-eq 255 -j ACCEPT
# IND solicitation
-A ufw6-before-input -p icmpv6 --icmpv6-type 141 -m hl --hl-eq 255 -j ACCEPT
# IND advertisement
-A ufw6-before-input -p icmpv6 --icmpv6-type 142 -m hl --hl-eq 255 -j ACCEPT
# MLD query
-A ufw6-before-input -p icmpv6 --icmpv6-type 130 -s fe80::/10 -j ACCEPT
# MLD report
-A ufw6-before-input -p icmpv6 --icmpv6-type 131 -s fe80::/10 -j ACCEPT
# MLD done
-A ufw6-before-input -p icmpv6 --icmpv6-type 132 -s fe80::/10 -j ACCEPT
# MLD report v2
-A ufw6-before-input -p icmpv6 --icmpv6-type 143 -s fe80::/10 -j ACCEPT
# SEND certificate path solicitation
-A ufw6-before-input -p icmpv6 --icmpv6-type 148 -m hl --hl-eq 255 -j ACCEPT
# SEND certificate path advertisement
-A ufw6-before-input -p icmpv6 --icmpv6-type 149 -m hl --hl-eq 255 -j ACCEPT
# MR advertisement
-A ufw6-before-input -p icmpv6 --icmpv6-type 151 -s fe80::/10 -m hl --hl-eq 1 -j ACCEPT
# MR solicitation
-A ufw6-before-input -p icmpv6 --icmpv6-type 152 -s fe80::/10 -m hl --hl-eq 1 -j ACCEPT
# MR termination
-A ufw6-before-input -p icmpv6 --icmpv6-type 153 -s fe80::/10 -m hl --hl-eq 1 -j ACCEPT
...

Diese Dateien müssen so modifiziert werden, daß am Ende jeder Zeile des Abschnitts # ok icmp codes for INPUT das Schlüsselwort ACCEPT gegen DROP ausgetauscht wird.

Dateien

Sicherheit

Dokumentation

RFC

Man-Pages

Info-Pages

Siehe auch

Links

Projekt-Homepage

Weblinks

Einzelnachweise

Testfragen

Kontrollfragen

# ufw allow from 60.70.80.90 to any port 12345

# ufw deny from 60.70.80.0/24

# ufw allow from 60.70.80.90 to any port 80,443
# ufw deny from 60.70.80.0/24

TMP

Status & Reset

Statusüberprüfung

# ufw status
Status: inactive

# ufw status
Status: active

To                         Action      From
--                         ------      ----
22/tcp                     ALLOW       Anywhere
22/tcp (v6)                ALLOW       Anywhere (v6)

# ufw status numbered
Status: active

     To                         Action      From
     --                         ------      ----
[ 1] 22/tcp                     ALLOW IN    Anywhere
[ 2] 22/tcp (v6)                ALLOW IN    Anywhere (v6)

# ufw status verbose
Status: active
Logging: on (low)
Default: deny (incoming), allow (outgoing), disabled (routed)
New profiles: skip

To                         Action      From
--                         ------      ----
22/tcp                     ALLOW IN    Anywhere
22/tcp (v6)                ALLOW IN    Anywhere (v6)

Start & Stop von UFW

Mit der Option disable läßt sich die Firewall deaktivieren:

# ufw disable
Firewall stopped and disabled on system startup

Die Aktivierung erfolgt mit dem Schlüsselwort enable:

# ufw enable
Command may disrupt existing ssh connections. 

• Proceed with operation (y|n)? y

Firewall is active and enabled on system startup

Ein Neustart der Firewall erfolgt mit der Option reload:

# ufw reload
Firewall reloaded

Zurücksetzen der Firewall

Sollen die Standardeinstellungen der Firewall wiederhergestellt werden, kann dies mit der Option reset erreicht werden und erfordert eine Bestätigung mit y:

# ufw reset
Resetting all rules to installed defaults. 

connections. 

Backing up 'user.rules' to '/etc/ufw/user.rules.20210222_111416'
Backing up 'before.rules' to '/etc/ufw/before.rules.20210222_111416'
Backing up 'after.rules' to '/etc/ufw/after.rules.20210222_111416'
Backing up 'user6.rules' to '/etc/ufw/user6.rules.20210222_111416'
Backing up 'before6.rules' to '/etc/ufw/before6.rules.20210222_111416'
Backing up 'after6.rules' to '/etc/ufw/after6.rules.20210222_111416'

Dies bewirkt eine Deaktivierung der Firewall und das Löschen sämtlicher zuvor definierter Regeln.

• Es erfolgt jedoch eine Sicherung der benutzerdefinierten Regeln in entsprechende Backup-Dateien.
• Zu beachten ist hierbei, daß die Standardrichtlinien, sofern diese geändert wurden, nicht zurückgesetzt werden.

Grafische Benutzeroberfläche

Sollte sich die Konfiguration der unkomplizierten Firewall über die Kommandozeile dennoch als zu kompliziert erweisen, existiert mit gufw eine grafisches Frontend, welches ebenfalls über die Paketverwaltung installierbar ist:

# apt install gufw

• Nach dem Start der Anwendung muß die Firewall, wenn nicht bereits via Terminal geschehen, zunächst aktiviert werden.
• Dies geschieht mit dem Schalter neben Status:.
• Ist die Firewall nun aktiv, verhält sie sich gemäß den Standardrichtlinien so, daß ausgehende Verbindungen erlaubt und eingehende blockiert werden.
• Für einen gewöhnlichen Arbeitsplatzrechner könnte die Konfiguration hiermit bereits abgeschlossen sein.

• Über das Drop-Down-Menü Profile: lassen sich unterschiedliche Einstellungen für verschiedene Umgebungen aktivieren (Büro, Zuhause, Öffentlich).
• Eigene Profile können über Bearbeiten --> Einstellungen hinzugefügt (+) oder entfernt (-) werden.
• Hier kann auch die Einstellung des Log-Levels (Niedrig ..
• Vollständig) verändert, bzw.
• die Protokollierung abgeschaltet werden.

• Mit einem Klick auf die Registerkarte Regeln wird eine Liste der benutzerdefinierten Regeln angezeigt, die anfänglich noch keine Einträge enthält.
• Hier lassen sich eigene Regeln hinzufügen (+), entfernen (-) und bearbeiten (☼).

Referenz

Programmoptionen

Regeldefinition

Konfigurationsdateien

Links

1. https://www.digitalocean.com/community/tutorials/how-to-set-up-a-firewall-with-ufw-on-ubuntu-18-04