{"id":3259,"date":"2023-03-09T23:36:53","date_gmt":"2023-03-09T22:36:53","guid":{"rendered":"https:\/\/www.gcportal.com\/wordpress\/?p=3259"},"modified":"2023-03-11T19:55:12","modified_gmt":"2023-03-11T18:55:12","slug":"ufw-installazione-e-configurazione-su-ubuntu","status":"publish","type":"post","link":"https:\/\/www.gcportal.com\/wordpress\/archives\/3259","title":{"rendered":"UFW Installazione e configurazione su UBUNTU"},"content":{"rendered":"\n

Introduzione<\/h2>\n\n\n\n

Alla base di qualsiasi Cloud Server vi \u00e8 sempre uno strumento di protezione che, affidandosi ad alcune regole, permette la comunicazione del server da e verso l\u2019esterno. Questo componente software prende il nome di Firewall e rappresenta la prima barriera di sicurezza per prevenire l\u2019accesso al tuo server da parte di utenti non autorizzati o semplicemente per assicurarsi che un determinato servizio non sia raggiungibile dall\u2019esterno della propria macchina. <\/p>\n\n\n\n

UFW, acronimo di Uncomplicated Firewall, \u00e8 uno dei software pi\u00f9 utilizzati per gestire un firewall su Linux, da linea di comando, in maniera semplice e intuitiva.<\/p>\n\n\n\n

In questo tutorial imparerai a installare e configurare correttamente UFW sul tuo server Ubuntu 18.04.

Per iniziare dovrai connetterti al tuo server tramite una connessione SSH. Se non l\u2019hai ancora fatto, ti consigliamo di seguire questa guida per connetterti in sicurezza con il protocollo SSH<\/a>. In caso di server locale puoi passare al punto successivo e aprire il terminale del tuo server.<\/p>\n\n\n\n

Installazione di UFW Firewall<\/h2>\n\n\n\n

UFW \u00e8 un software preinstallato nella maggior parte delle distribuzioni Linux. Qualora non dovesse essere gi\u00e0 installato sul tuo sistema, puoi comunque installarlo digitando il comando:<\/p>\n\n\n\n

$ sudo apt update<\/mark><\/strong>
$ sudo apt-get install ufw<\/mark><\/strong>

UFW pu\u00f2 lavorare gestendo sia indirizzi IPV4, abilitati di default, sia IPV6 qualora necessario. Se dovessi aver bisogno di abilitare anche gli IPV6, puoi modificare questa opzione dal file \u201c\/etc\/default\/ufw\u201d. <\/p>\n\n\n\n

Per poter apportare questa modifica apri il file con l’editor nano:
$ sudo nano \/etc\/default\/ufw<\/mark><\/strong>
Imposta quindi su \u201cyes\u201d la voce \u201cIPV6\u201d. <\/p>\n\n\n\n

\"\"
$ sudo nano \/etc\/default\/ufw<\/em><\/strong><\/figcaption><\/figure>\n\n\n\n

Al termine della modifica, salva e chiudi il documento (CTRL + X \/ Y \/ Invio).<\/p>\n\n\n\n

La modifica avr\u00e0 effetto dal prossimo riavvio di UFW. Per riavviare subito il firewall e rendere operative le modifiche, puoi digitare:

$ sudo ufw reload<\/mark><\/strong><\/p>\n\n\n\n

Configurazione di base del Firewall<\/h2>\n\n\n\n

In una fase iniziale \u00e8 buona norma bloccare ogni tipo di comunicazione dall’esterno verso il server cloud. In questa maniera sar\u00e0 pi\u00f9 facile sbloccare in seguito le comunicazioni con altre macchine, identificate mediante il loro IP, o su determinate porte o servizi.<\/p>\n\n\n\n

Allo stesso modo bisogna abilitare il traffico uscente per il server, per accertarsi che le applicazioni, che girano sul proprio server, possano interrogare servizi esterni.<\/p>\n\n\n\n

Per bloccare ogni forma di comunicazione VERSO il server digita:<\/p>\n\n\n\n

$ sudo ufw default deny incoming<\/strong><\/mark> <\/code><\/pre>\n\n\n\n
Per consentire ogni forma di comunicazione in uscita DAL server digita:<\/p>\n\n\n\n
$ sudo ufw default allow outgoing<\/strong><\/mark><\/code><\/pre>\n\n\n\n
\"\"<\/figure>\n\n\n\n
Consentire la comunicazione SSH<\/h2>\n\n\n\n
Spesso l\u2019interazione con il proprio server avviene mediante una connessione SSH. Questa tuttavia rientra tra le connessioni in entrata che sono state bloccate, proprio perch\u00e8 vi \u00e8 un tentativo di comunicazione VERSO il Server.<\/p>\n\n\n\n
\u00c8 necessario quindi aggiungere questa tipologia di connessione tra le regole<\/strong> di UFW, che permettono di sovrascrivere le politiche standard definite in precedenza per il firewall.<\/p>\n\n\n\n
Per consentire quindi le connessioni SSH al server, si pu\u00f2 digitare uno dei due comandi:<\/p>\n\n\n\n
$ sudo ufw allow ssh<\/mark><\/strong><\/code><\/pre>\n\n\n\n
$ sudo ufw allow 22<\/mark><\/strong><\/code><\/pre>\n\n\n\n
Il fatto che si possano utilizzare due diversi comandi per poter ottenere lo stesso identico effetto \u00e8 dato dal fatto che in un file di configurazione di UFW \u00e8 presente un’associazione tra la parola \u201cssh\u201d e la sua relativa porta (22). Aprendo il file \u201c\/etc\/services\u201d \u00e8 possibile infatti visualizzare l’elenco di tutte queste associazioni.<\/p>\n\n\n\n
$ nano \/etc\/services<\/mark><\/strong><\/code><\/pre>\n\n\n\n
Abilitare una porta o connessione da un IP<\/h2>\n\n\n\n
Non esiste un servizio associato di default a ogni porta. Di conseguenza, qualora si volesse consentire il traffico su una porta diversa da quelle standard, baster\u00e0 digitare:<\/p>\n\n\n\n
$ sudo ufw allow port_number<\/mark><\/strong><\/code><\/pre>\n\n\n\n
N.B. <\/strong>Sostituisci chiaramente \u201cport_number\u201d con il numero della porta che vuoi sbloccare.<\/p>\n\n\n\n
Potresti inoltre voler abilitare il traffico TRA il tuo server e un\u2019altra macchina (comunicazione bidirezionale) aggiungendo una regola ad hoc.<\/p>\n\n\n\n
Per accettare tutto il traffico proveniente da un indirizzo IP, indipendentemente dalla porta sulla quale esso voglia comunicare, ti baster\u00e0 digitare:<\/p>\n\n\n\n
$ sudo ufw allow from ip_address <\/mark><\/strong><\/code><\/pre>\n\n\n\n
Qualora volessi limitare la comunicazione di quella macchina a una sola porta del tuo server, potrai usare il seguente comando:<\/p>\n\n\n\n
$ sudo ufw allow from ip_address to any port port_number<\/mark><\/strong><\/code><\/pre>\n\n\n\n
N.B.<\/strong> Sostituisci il parametro \u201cip_address\u201d con l\u2019IP della macchina da voler autorizzare e \u201cport_number\u201d con la porta da voler \u2018sbloccare\u2019.<\/p>\n\n\n\n
Ad esempio, se volessi abilitare una macchina con IP \u201c87.197.5.125\u201d per la connessione SSH al tuo server, dovresti digitare:<\/p>\n\n\n\n
$ sudo ufw allow from 87.197.5.125 to any port 22 <\/mark><\/strong><\/code><\/pre>\n\n\n\n
Per abilitare un intervallo di porte, definendone inoltre la tipologia di comunicazione (TCP oppure UDP), il comando da eseguire rispetta la seguente sintassi:<\/p>\n\n\n\n
$ sudo ufw allow start_port:end_port\/tcp<\/mark><\/strong><\/code><\/pre>\n\n\n\n
$ sudo ufw allow start_port:end_port\/udp <\/mark><\/strong><\/code><\/pre>\n\n\n\n
N.B. <\/strong>Sostituisci \u201cstart_port\u201d con il numero della porta con la quale far partire l\u2019intervallo ed \u201cend_port\u201d con il numero dell\u2019ultima porta concessa.<\/p>\n\n\n\n
Se tutto \u00e8 andato a buon fine, UFW notificher\u00e0 l\u2019avvenuta aggiunta della regola mediante un messaggio.<\/p>\n\n\n\n
Abilitare UFW Firewall all’avvio<\/h2>\n\n\n\n
Proprio perch\u00e8 si tratta del primo strumento di sicurezza tra il tuo Server e il resto della rete Internet, \u00e8 importante che UFW venga eseguito sempre all\u2019avvio del sistema.<\/p>\n\n\n\n
Per abilitare l’esecuzione automatica del firewall ti baster\u00e0 eseguire il comando:<\/p>\n\n\n\n
$ sudo ufw enable<\/mark><\/strong><\/code><\/pre>\n\n\n\n
N.B. <\/strong>Questo comando potrebbe causare una temporanea disconnessione SSH, quindi prima di eseguirlo assicurati di aver consentito la connessione SSH tra le regole del firewall, come illustrato in precedenza. <\/p>\n\n\n\n
Una volta eseguito il comando, ti verr\u00e0 notificato quanto segnalato mediante un messaggio. Digita comunque \u201cy\u201d e premi “Invio”.<\/p>\n\n\n\n
Consentire richieste HTTP, HTTPS e FTP<\/h2>\n\n\n\n
HTTP e HTTPS sono dei protocolli che comunicano su delle porte precise: cos\u00ec come SSH necessita della porta 22, HTTP utilizza la porta 80 mentre HTTPS la porta 443.<\/p>\n\n\n\n
Per consentire la comunicazione HTTP puoi digitare uno dei due comandi:<\/p>\n\n\n\n
$ sudo ufw allow http<\/mark><\/strong><\/code><\/pre>\n\n\n\n
$ sudo ufw allow 80<\/mark><\/strong><\/code><\/pre>\n\n\n\n
Analogamente, per HTTPS invece devi digitare:<\/p>\n\n\n\n
$ sudo ufw allow https<\/mark><\/strong><\/code><\/pre>\n\n\n\n
$ sudo ufw allow 443<\/mark><\/strong><\/code><\/pre>\n\n\n\n
FTP \u00e8 invece un protocollo di trasferimento file che si basa sulla porta 21. Per abilitare questo tipo di comunicazione, puoi eseguire indistintamente uno dei seguenti comandi:<\/p>\n\n\n\n
$ sudo ufw allow ftp<\/mark><\/strong><\/code><\/pre>\n\n\n\n
$ sudo ufw allow 21\/tcp<\/mark><\/strong><\/code><\/pre>\n\n\n\n
Negare una connessione esistente<\/h2>\n\n\n\n
Se, come consigliato all’inizio della guida, hai negato tutte le connessioni verso il tuo server, arrivato a questo punto sar\u00e0 possibile comunicare con il tuo Server solo tramite le porte specifiche aggiunte tra le regole.<\/p>\n\n\n\n
A volte pu\u00f2 comunque servire negare connessioni specifiche su una determinata porta o basate su un indirizzo IP, perch\u00e9 magari il tuo server viene attaccato da l\u00ec. In questo caso puoi utilizzare la stessa sintassi che hai utilizzato per abilitare una comunicazione, sostituendo per\u00f2 l\u2019opzione allow<\/strong> con deny<\/strong>.<\/p>\n\n\n\n
Ipotizzando che tu voglia ad esempio negare la connessione HTTP, ti baster\u00e0 digitare il comando:<\/p>\n\n\n\n
$ sudo ufw deny http<\/mark><\/strong><\/code><\/pre>\n\n\n\n
Analogamente, per non permettere la comunicazione da parte di una determinata macchina, ti baster\u00e0 negarle l\u2019accesso mediante:<\/p>\n\n\n\n
$ sudo ufw deny from ip_address<\/mark><\/strong>\n<\/code><\/pre>\n\n\n\n
N.B.<\/strong> Sostituisci \u201cip_address\u201d con l\u2019IP della macchina da voler bloccare.<\/p>\n\n\n\n
Visualizzare le regole esistenti e cancellarle<\/h2>\n\n\n\n
Qualora volessi visualizzare un riepilogo delle regole definite per UFW sul tuo Server, ti baster\u00e0 richiamare il comando:<\/p>\n\n\n\n
$ sudo ufw status verbose <\/mark><\/strong><\/code><\/pre>\n\n\n\n
\"\"<\/figure>\n\n\n\n
Tramite questo comando ti viene mostrato l\u2019elenco delle regole create per il tuo firewall, ciascuna identificata da un numero univoco.<\/p>\n\n\n\n
Qualora volessi rimuovere una regola, ti baster\u00e0 utilizzare il comando delete<\/strong>.<\/p>\n\n\n\n
Supponendo di voler cancellare la regola per la comunicazione HTTPS (la numero 2), il comando da dover eseguire sarebbe il seguente:<\/p>\n\n\n\n
$ sudo ufw delete 2 <\/mark><\/strong><\/code><\/pre>\n\n\n\n
Ti verr\u00e0 chiesto conferma prima che venga cancellata. Se ne sei sicuro digita \u201cy\u201d e poi “Invio”. Qualora avessi sbagliato, puoi sempre digitare \u201cn\u201d per annullare l’operazione.<\/p>\n\n\n\n
Questa operazione canceller\u00e0 la comunicazione HTTPS per IPV4, ma non quella per IPV6 (che nel precedente screenshot \u00e8 rappresentata dalla regola numero 6). Infatti tutte le regole precedentemente create sono state generate sia per IPV4 sia per IPV6: laddove leggi \u201c(v6)\u201d si tratta regole per IPV6.<\/p>\n\n\n\n
Per cancellare anche la regola per IPV6, consulta nuovamente l\u2019elenco delle regole esistenti poich\u00e9 il suo codice identificativo sar\u00e0 cambiato.<\/p>\n\n\n\n
Abilitare, disabilitare o ripristinare UFW<\/h2>\n\n\n\n
Precedentemente \u00e8 stato mostrato come abilitare UFW all\u2019avvio del Server mediante il comando:<\/p>\n\n\n\n
$ sudo ufw ufw enable <\/mark><\/strong><\/code><\/pre>\n\n\n\n
Per rimuoverlo dall\u2019avvio automatico baster\u00e0 invece utilizzare il comando disable<\/strong>:<\/p>\n\n\n\n
$ sudo ufw ufw disable<\/mark><\/strong><\/code><\/pre>\n\n\n\n
Qualora necessitassi di resettare le impostazioni di UFW e rimuovere quindi ogni regola e politica di accettazione\/negazione di connessione, puoi farlo mediante il comando reset<\/strong><\/p>\n\n\n\n
$ sudo ufw ufw reset<\/mark><\/strong><\/code><\/pre>\n\n\n\n
Log di UFW Firewall<\/h2>\n\n\n\n
Per questione di sicurezza potrebbe essere necessario abilitare il log dei dati di UFW, cos\u00ec da controllare quali connessioni siano state effettuate verso il tuo Server e verificare la giusta definizione delle regole.<\/p>\n\n\n\n
Per abilitare il logging dei dati, il comando da dover eseguire \u00e8:<\/p>\n\n\n\n
$ sudo ufw logging on<\/mark><\/strong><\/code><\/pre>\n\n\n\n
Al contrario, per disabilitare il logging digita:<\/p>\n\n\n\n
$ sudo ufw logging off<\/mark><\/strong><\/code><\/pre>\n\n\n\n
I log di UFW sono consultabili dal file \u201c\/var\/log\/ufw.log\u201d<\/p>\n\n\n\n
$ nano \/var\/log\/ufw.log <\/mark><\/strong><\/code><\/pre>\n\n\n\n
Conclusione<\/h2>\n\n\n\n
Il Firewall \u00e8 un componente molto importante quando si tratta di gestire e mettere in sicurezza il tuo Cloud Server. Abilitando UFW, tutte le comunicazioni da e verso il tuo server Linux Ubuntu, transitano attraverso questo strumento, che pu\u00f2 pertanto proteggerti da attacchi indesiderati e tentativi di connessione da parte di utenti non autorizzati.<\/p>\n\n\n\n
Si consiglia di prestare particolare attenzione alla configurazione del Firewall UFW poich\u00e9 dalle regole impostate pu\u00f2 dipendere sia la sicurezza del server che il corretto funzionamento dei propri servizi.<\/p>\n","protected":false},"excerpt":{"rendered":"
Introduzione Alla base di qualsiasi Cloud Server vi \u00e8 sempre uno strumento di protezione che, affidandosi ad alcune regole, permette la comunicazione del server da e verso l\u2019esterno. Questo componente […]<\/p>\n","protected":false},"author":6,"featured_media":3376,"comment_status":"closed","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":"","_links_to":"","_links_to_target":""},"categories":[5,86,93,96],"tags":[104,98,103],"class_list":["post-3259","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-gcportal-links","category-guide-tutorial","category-linux","category-network","tag-firewall","tag-linux","tag-ufw"],"_links":{"self":[{"href":"https:\/\/www.gcportal.com\/wordpress\/wp-json\/wp\/v2\/posts\/3259","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.gcportal.com\/wordpress\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.gcportal.com\/wordpress\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.gcportal.com\/wordpress\/wp-json\/wp\/v2\/users\/6"}],"replies":[{"embeddable":true,"href":"https:\/\/www.gcportal.com\/wordpress\/wp-json\/wp\/v2\/comments?post=3259"}],"version-history":[{"count":23,"href":"https:\/\/www.gcportal.com\/wordpress\/wp-json\/wp\/v2\/posts\/3259\/revisions"}],"predecessor-version":[{"id":3377,"href":"https:\/\/www.gcportal.com\/wordpress\/wp-json\/wp\/v2\/posts\/3259\/revisions\/3377"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.gcportal.com\/wordpress\/wp-json\/wp\/v2\/media\/3376"}],"wp:attachment":[{"href":"https:\/\/www.gcportal.com\/wordpress\/wp-json\/wp\/v2\/media?parent=3259"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.gcportal.com\/wordpress\/wp-json\/wp\/v2\/categories?post=3259"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.gcportal.com\/wordpress\/wp-json\/wp\/v2\/tags?post=3259"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}