Firewall mit UFW einrichten

UFW (Uncomplicated Firewall) ist die einfachste Firewall unter Ubuntu und Debian. Sie ist ein Wrapper um iptables mit menschenfreundlicher Syntax.

Installation

Auf Ubuntu ist UFW meist schon dabei. Falls nicht:

apt install ufw

Basis-Regeln setzen

Vor dem Aktivieren unbedingt SSH freigeben — sonst sperrst Sie sich aus:

ufw allow 22/tcp        # SSH
ufw allow 80/tcp        # HTTP
ufw allow 443/tcp       # HTTPS

Dann aktivieren:

ufw enable

Bestätigen Sie mit "y".

Status prüfen

ufw status verbose

Zeigt alle aktiven Regeln inkl. Default-Policy.

Weitere häufige Regeln

FTP:

ufw allow 21/tcp
ufw allow 30000:31000/tcp  # Passive FTP-Range

Mailserver:

ufw allow 25/tcp    # SMTP
ufw allow 465/tcp   # SMTPS
ufw allow 587/tcp   # SMTP Submission
ufw allow 993/tcp   # IMAPS

Datenbank nur von localhost:

ufw allow from 127.0.0.1 to any port 3306

Regeln nach Quelle

Nur von einer bestimmten IP:

ufw allow from 203.0.113.42

Von einem ganzen Netz:

ufw allow from 192.168.0.0/24

Regel entfernen

ufw status numbered           # Regel-Nummern anzeigen
ufw delete 3                  # Regel 3 löschen

Oder direkt:

ufw delete allow 80/tcp

SSH-Rate-Limiting

Schutz gegen Brute-Force auf SSH:

ufw limit 22/tcp

Erlaubt max. 6 Verbindungen pro 30 Sekunden pro IP. Danach für kurze Zeit gesperrt.

Logging

ufw logging on             # aktivieren
ufw logging medium         # Detailgrad

Logs finden Sie in /var/log/ufw.log.

Default-Policy

Standard bei UFW:

• Eingehend: deny (alles blockieren was nicht erlaubt ist)
• Ausgehend: allow (alles rausgehen lassen)

Wenn Sie auch ausgehenden Traffic beschränken wollen:

ufw default deny outgoing
# und dann gezielt erlauben
ufw allow out 53/udp       # DNS
ufw allow out 80/tcp       # HTTP

Das ist restriktiver aber sicherer bei kompromittiertem Server.