UFW में महारत हासिल करें: लिनक्स फ़ायरवॉल सुरक्षा के लिए चरण-दर-चरण मार्गदर्शिका

UFW वास्तव में अनकॉम्प्लिकेटेड फ़ायरवॉल के लिए खड़ा है न कि उबंटू फ़ायरवॉल जैसा कि कई लोग मानते हैं। यह नाम इस तथ्य को दर्शाता है कि इसे कॉन्फ़िगर करना आश्चर्यजनक रूप से आसान है। अधिकांश उपयोगकर्ताओं को अपेक्षाकृत सुरक्षित होने से पहले केवल तीन विकल्प सेट करने की आवश्यकता होगी। जो कुछ उन्नत कॉन्फ़िगरेशन विकल्प सेट करना चाहते हैं, उन्हें टेक्स्ट फ़ाइल संपादित करने से अधिक कुछ नहीं करना होगा। जबकि उबंटू परियोजना डेवलपर्स ने मूल रूप से फ़ायरवॉल सॉफ़्टवेयर के इस विशेष टुकड़े को डिज़ाइन किया था, ufw कई अन्य वितरणों में भी उपलब्ध है। डेबियन, आर्क, लिनक्स मिंट, Lubuntu और Xubuntu उपयोगकर्ताओं के पास यह पहले से ही इंस्टॉल होने की संभावना है।

समस्या यह है कि तुलनात्मक रूप से कम उपयोगकर्ताओं ने इसे चालू किया है। जबकि उपयोगकर्ताओं को अब सीधे iptables के साथ काम नहीं करना पड़ता है, उबंटू ufw को डिफ़ॉल्ट रूप से ऑफ स्टेट में रखता है। डेबियन के कई कार्यान्वयनों में तो डिफ़ॉल्ट रूप से पैकेज इंस्टॉल भी नहीं होते हैं। अच्छी खबर यह है कि टर्मिनल अनुभव के साथ कोई भी अपने सिस्टम को कठोर कर सकता है।

विधि 1: कमांड प्रॉम्प्ट से UFW चालू करना

मान लें कि आपके पास ufw पैकेज इंस्टॉल है इससे पहले कि आप इसे अलग से इंस्टॉल करने का प्रयास करें। किसी और चीज से पहले ये कमांड चलाएं। यदि आप बीच में किसी त्रुटि का अनुभव करते हैं, तो आप बाद में बिना किसी समस्या के ufw पैकेज इंस्टॉल करने के लिए हमेशा वापस जा सकते हैं।

यदि आप एक मानक उपयोगकर्ता खाते से काम कर रहे हैं, तो sudo ufw enable चलाएं और यदि संकेत दिया जाए तो अपना प्रशासक पासवर्ड टाइप करें। आपको बताया जाना चाहिए कि ufw सक्षम है और स्टार्टअप पर स्वचालित रूप से चलेगा। वैसे भी sudo ufw status चलाएं बस सुनिश्चित होने के लिए। आपको आउटपुट की एक पंक्ति दी जानी चाहिए जो "Status: active" पढ़ती है और उसके बाद कुछ भी नहीं।

दूसरी ओर, आपको बताया जा सकता है कि ufw इंस्टॉल नहीं है। apt-आधारित वितरण जैसे डेबियन के उपयोगकर्ताओं को sudo apt-get install ufw चलाना चाहिए। जब इंस्टॉल कर रहे हों तो आप अपने अन्य पैकेजों को क्रम में सुनिश्चित करने के लिए sudo apt-get update और फिर sudo apt-get upgrade चलाना चाह सकते हैं। आर्क लिनक्स उपयोगकर्ताओं को अपने पैकेजों को क्रम में लाने के लिए sudo pacman -Syu चलाने की आवश्यकता होगी और फिर ufw इंस्टॉल करने के लिए sudo pacman -S ufw, लेकिन सभी उपयोगकर्ता बाद में सामान्य रूप से जारी रख सकेंगे। उपरोक्त चरणों का पालन करें और सुनिश्चित करें कि sudo ufw enable चलाने से उपरोक्त "Status: active" लाइन वापस आती है।

विधि 2: UFW को नियमों का एक बुनियादी सेट भेजना

फ़ायरवॉल टूल नियमों के एक सेट का उपयोग यह जांचने के लिए करते हैं कि आपके कंप्यूटर पर नेटवर्क पर भेजे गए पैकेट को स्वीकार करना है या नहीं। आप लगभग निश्चित रूप से अगली दो कमांड चलाना चाहेंगे:

sudo ufw default allow outgoing

sudo ufw default deny incoming

यह सुनिश्चित करता है कि ufw हमेशा आपको अपने नेटवर्क एडाप्टर पर आउटगोइंग ट्रैफिक भेजने की अनुमति देता है, जो महत्वपूर्ण है यदि आप किसी भी प्रकार का ऑनलाइन काम करते हैं। स्वाभाविक रूप से, आपको किसी भी आउटगोइंग अनुरोध को खतरनाक नहीं मानना चाहिए। यह इनकमिंग अनुरोधों को किसी भी नुकसान करने से भी रोकता है, जो लगभग सभी घरेलू और व्यावसायिक उपयोगकर्ताओं के लिए सही सेटिंग है। यहां तक कि अधिकांश गेमर जो गहन ऑनलाइन FPS शीर्षक खेलते हैं, उन्हें इससे अधिक कुछ नहीं चाहिए। अधिकांश लोग यहां रुक सकते हैं जब तक कि sudo ufw status चलाने से मशीन को रीबूट करने के बाद भी एक सक्षम संदेश वापस आता है। कॉन्फ़िगरेशन प्रक्रिया में बहुत कुछ नहीं है। किसी भी प्रकार के ssh या उन्नत नेटवर्किंग लक्ष्यों वाले उपयोगकर्ताओं को आगे बढ़ने की आवश्यकता है।

विधि 3: उन्नत UFW कॉन्फ़िगरेशन विकल्प

अधिकांश उपयोगकर्ताओं को आगे पढ़ने की आवश्यकता नहीं होगी, लेकिन ये नियम कुछ के लिए उपयोगी हो सकते हैं। उदाहरण के लिए, यदि आपको सामान्य 80 पोर्ट पर tcp कनेक्शन की अनुमति देने की आवश्यकता है तो आप चला सकते हैं:

sudo ufw allow 80/tcp

आप एक वास्तविक IP पते और स्लैश मार्क के बाद एक वास्तविक सबनेट नंबर के साथ sudo ufw allow from ###.##.##.##/## का भी उपयोग कर सकते हैं। ध्यान रखें कि 80 इस उपयोग के लिए एक वैध संख्या है यदि आपको इसके ऊपर नेटवर्किंग करने की आवश्यकता है। sudo ufw allow http/tcp जैसी किसी चीज़ का उपयोग करना भी वैध है और सर्वर स्थिति में आवश्यक हो सकता है, लेकिन यह वास्तव में विभिन्न प्रकार के कनेक्शन की अनुमति देने के मामले में एक कैन ऑफ वर्म्स खोलना शुरू कर देता है।

अधिक लोकप्रिय सेटिंग्स में से एक sudo ufw allow 22 है, जो ssh कनेक्शन के लिए पोर्ट खोलता है। कुछ उपयोगकर्ता इसे sudo ufw allow ssh के रूप में वाक्यांशित करते हैं, जो उतना ही अच्छा काम करता है। जबकि कुछ गाइड आपको दोनों लाइनें जोड़ने का निर्देश दे सकते हैं, यह अधिकांश मामलों में अनावश्यक है और अंत में केवल अनावश्यक मात्रा में ओवरहेड में योगदान दे सकता है।

जब आप भविष्य में अपने किसी नियम को हटाना चाहते हैं, तो आप केवल नियम नाम के बाद sudo ufw delete चला सकते हैं। उदाहरण के लिए, sudo ufw delete allow 80/tcp ऊपर दिए गए उदाहरणों में से एक को बंद कर देगा।

अब जब आप sudo ufw status verbose चलाते हैं तो यदि आपने अतिरिक्त नियम बनाए हैं तो आप एक कहीं अधिक पूर्ण तालिका देख सकते हैं। यदि आप भविष्य में कभी फ़ायरवॉल को अक्षम करना चाहते हैं तो आप sudo ufw disable चला सकते हैं, लेकिन बहुत कम स्थितियां हैं जहां आपको ऐसा करने की आवश्यकता होगी।

कभी-कभी आप पा सकते हैं कि यदि आप ufw का उपयोग इस तरह से सर्वर की रक्षा के लिए कर रहे हैं तो आपको 504 गेटवे टाइम-आउट त्रुटियां मिलती हैं। यदि ऐसा है तो कुछ नियमों का क्रम बदलने से मदद मिल सकती है। अनुमति नियमों को अस्वीकार नियमों से पहले दर्ज किया जाना चाहिए क्योंकि ufw सुरक्षा कारणों से आपकी सूची को पार्स करते समय पहली मिलान की तलाश करता है। नियमों की एक जोड़ी को हटाकर और फिर sudo ufw default allow लाइन को पहले टाइप करके उन्हें वापस जोड़कर इस समस्या को ठीक करना चाहिए। आप प्रदर्शन कारणों से किसी भी डुप्लिकेट लाइन को हटाना भी चाह सकते हैं।

sudo ufw verbose चलाएं और अपने DENY IN और ALLOW IN लाइनों के क्रम पर ध्यान दें। यदि आपके पास 80 या 22 जैसे सामान्य पोर्ट पर कुछ है जो चार्ट पर Anywhere के बाद DENY IN पढ़ता है उन पोर्ट के अन्य संदर्भों से पहले, तो आप कनेक्शन को उनके माध्यम से प्राप्त करने का मौका मिलने से पहले ब्लॉक करने का प्रयास कर रहे होंगे। उन्हें पुनः क्रमबद्ध करने से समस्या ठीक हो जाएगी। पहली जगह में इन कमांड को सही क्रम में रखने से बाद में लाइन में समस्याओं को रोकने में मदद मिलेगी।

उन्नत रूट प्रॉम्प्ट उपयोगकर्ताओं को वास्तव में प्रत्येक कमांड से पहले sudo का उपयोग करने की आवश्यकता नहीं होगी। यदि आपको उस बारे में किसी प्रकार की त्रुटि मिल रही है, तो यह आपका मुद्दा हो सकता है। अपने प्रॉम्प्ट के अंत को देखकर देखें कि क्या आपके कर्सर से पहले # या $ है। tcsh के उपयोगकर्ता जिनके पास प्रॉम्प्ट के लिए केवल % है, उन्हें यह देखने के लिए whoami चलाना चाहिए कि वे किस उपयोगकर्ता के रूप में काम कर रहे हैं।

नियमित उपयोगकर्ता जो sudo ufw status verbose चलाते हैं, उन्हें अपने प्रॉम्प्ट के बाद तुलनात्मक रूप से कम फीडबैक प्राप्त होगा। आप शायद वही लाइन देखेंगे जो आपके पास पहले थी।

ऐसा इसलिए है क्योंकि ये उपयोगकर्ता केवल बहुत कम नियमों के साथ काम कर रहे हैं। हालांकि इन नियमों के बारे में सावधानी का एक शब्द महत्वपूर्ण हो सकता है। जबकि ufw डिफ़ॉल्ट कमांड आपको reject पैरामीटर का उपयोग करने की अनुमति देता है, आप अपने स्वयं के निजी सर्वर संरचना से खुद को बहुत आसानी से लॉक आउट कर सकते हैं या कुछ अन्य अजीब चीजें कर सकते हैं। यदि आपको अपने नियम सेट में sudo ufw allow ssh या अन्य समान लाइनों की आवश्यकता है, तो यह डिफ़ॉल्ट reject या deny नियमों को लागू करने से पहले आना चाहिए।

जबकि Gufw और Qt-आधारित kmyfirewall जैसे कुछ ग्राफिकल टूल मौजूद हैं, ufw को कमांड लाइन से कॉन्फ़िगर करना इतना आसान है कि आपको वास्तव में उनकी आवश्यकता नहीं होगी। यदि आपको कॉन्फ़िगरेशन फ़ाइलों को सीधे संपादित करने की कोई आवश्यकता है, तो उचित डायरेक्टरी पर जाने के लिए कमांड का उपयोग करें और फिर इसे संपादित करने के लिए sudo nano ufw का उपयोग करें। आप कोई भी बदलाव करने से पहले केवल टेक्स्ट देखने के लिए शुरू में more ufw या less ufw का उपयोग करना चाह सकते हैं।

डेवलपर्स ने वास्तव में उचित टिप्पणियां प्रदान करने के लिए समय लिया ताकि आप इसे संपादित करते समय खो न जाएं, हालांकि यदि आपने ऐसा करने की आवश्यकता महसूस की तो आप इसे हटाना चाह सकते हैं।