Gestione del firewall

Questo documento presenta la funzione «Gestione del firewall» del pannello: consultare e gestire le regole del firewall sul server di destinazione.

Prima di tutto: cos'è un firewall

Il firewall è il «controllo accessi» di un server: decide quali porte e quali IP possono essere raggiunti. Per esempio, se vuoi che il sito sia accessibile dall'esterno devi «aprire la porta 80»; se vuoi bloccare un IP che ti attacca devi «bloccare quell'IP».

> Importante: oltre al firewall del sistema del server, i grandi cloud (Tencent Cloud/Alibaba Cloud) hanno anche un «security group» nella console cloud, indipendente dal primo. Perché una porta sia raggiungibile, entrambi i livelli devono consentirla.

Panoramica delle funzionalità

La «Gestione del firewall» si trova nel «Pannello di gestione di sistema» del server di destinazione e serve a consultare le regole del firewall di sistema, aggiungere / eliminare regole e gestire l'inoltro di porta. Il pannello si adatta automaticamente ai tre backend firewall principali iptables / nftables / ufw, senza scelta manuale.

Scenari d'uso

• Vedere quali regole firewall sono presenti e quali porte sono aperte
• Aprire rapidamente una porta (ad es. 80 / 443 per un servizio Web)
• Bloccare un IP di origine o una porta
• Gestire l'inoltro di porta (vedi Inoltro di porta)

Composizione delle funzionalità

Entra nel server di destinazione → «Gestione di sistema» → «Firewall», che comprende:

1. Elenco delle regole: mostra le regole iptables / nftables (con il numero di regola), oppure lo stato di ufw (se abilitato)

2. Porte in ascolto: elenca le porte attualmente in ascolto sul server e i processi corrispondenti

3. Aggiungi / elimina regole: inserisci manualmente regole iptables per consentire / bloccare

4. Inoltro di porta: esegue il DNAT del traffico di una porta pubblica verso IP:porta di destinazione (dettagli in Inoltro di porta)

Consultare le regole

iptables / nftables

Il pannello elenca preferibilmente le regole con iptables -L -n --line-numbers; se il sistema usa nftables passa automaticamente a nft list ruleset.

ufw

Se sul server è abilitato ufw (frequente su Ubuntu), il pannello mostra in aggiunta l'elenco delle regole di ufw status numbered.

Porte in ascolto

Il pannello usa ss -tlnp per elencare le porte TCP attualmente in ascolto e i processi corrispondenti, per capire rapidamente quali porte sono aperte e da quale servizio sono occupate.

Aggiungere / eliminare regole

In «Aggiungi regola» inserisci una regola iptables (senza il prefisso iptables: il pannello aggiunge automaticamente -A per aggiungere / -D per eliminare), per esempio:

# Consenti la porta 8080
INPUT -p tcp --dport 8080 -j ACCEPT
# Blocca un IP
INPUT -s 1.2.3.4 -j DROP

> ⚠️ Attenzione: assicurati di conoscere la sintassi delle regole iptables. Una regola errata può rendere un servizio inaccessibile. Prima di operare è consigliabile salvare le regole attuali (iptables-save > /root/iptables.bak).

Adattamento automatico a più backend

Il pannello rileva automaticamente il backend firewall usato dal server:

Avvertenze

1. Opera con prudenza: le regole del firewall incidono direttamente sulla raggiungibilità del server. Una regola di blocco errata può interrompere la sessione SSH e impedire al pannello di connettersi.

2. Persistenza delle regole: le regole aggiunte direttamente con iptables possono andare perse dopo un riavvio (dipende dal fatto che il sistema abbia installato iptables-persistent / netfilter-persistent). Se serve la persistenza, usa iptables-save o passa a ufw.

3. Security group dei grandi cloud: Tencent Cloud / Alibaba Cloud ecc., oltre al firewall di sistema, hanno il livello «security group» della console cloud. Se una porta non è consentita nel security group, non basta consentirla nel firewall di sistema: entrambi i livelli devono consentirla.

4. Inoltro di porta: se ti serve l'inoltro di porta, vedi Inoltro di porta.