Управление брандмауэром

В этой статье описана функция «Управление брандмауэром» — просмотр и управление правилами брандмауэра на целевом сервере.

Сначала разберёмся: что такое брандмауэр

Брандмауэр — это «пропускной пункт» сервера, он решает, к каким портам и с каких IP можно обращаться. Например, чтобы сайт был доступен извне, нужно «открыть порт 80», а чтобы заблокировать атакующий вас IP — «запретить этот IP».

> Важно: кроме брандмауэра внутри системы сервера, у облаков крупных провайдеров (Tencent Cloud / Alibaba Cloud) есть ещё «группа безопасности» в облачной консоли, и это независимые вещи. Чтобы порт был доступен, открыть его нужно на обоих уровнях.

Краткое описание

«Управление брандмауэром» находится в «Панели управления системой» целевого сервера и служит для просмотра правил системного брандмауэра, добавления и удаления правил, а также управления перенаправлением портов. Панель автоматически адаптируется к трём основным бэкендам брандмауэра — iptables / nftables / ufw, выбирать вручную не нужно.

Когда пригодится

Посмотреть, какие правила брандмауэра сейчас есть на сервере и какие порты открыты
Быстро открыть порт (например, 80 / 443 для веб-сервиса)
Заблокировать исходный IP или порт
Управлять перенаправлением портов (см. Перенаправление портов)

Состав функций

Откройте у целевого сервера «Управление системой» → «Брандмауэр», там есть:

1. Список правил: правила iptables / nftables (с номерами) либо состояние ufw (если он включён)

2. Порты прослушивания: список портов, которые сейчас слушает сервер, и соответствующих процессов

3. Добавление / удаление правил: ручной ввод правил iptables для открытия или блокировки

4. Перенаправление портов: DNAT-перенаправление трафика публичного порта на целевые IP:порт (подробнее в Перенаправление портов)

Просмотр правил

iptables / nftables

Панель сначала выводит правила командой iptables -L -n --line-numbers; если в системе используется nftables, автоматически выполняется nft list ruleset.

ufw

Если на сервере включён ufw (часто на Ubuntu), панель дополнительно показывает список правил из ufw status numbered.

Порты прослушивания

Панель командой ss -tlnp выводит текущие прослушиваемые TCP-порты и соответствующие процессы — удобно понимать, какие порты уже открыты и каким сервисом заняты.

Добавление / удаление правил

В разделе «Добавить правило» введите правило iptables (без префикса iptables — панель сама добавит -A для добавления или -D для удаления), например:

# Открыть порт 8080
INPUT -p tcp --dport 8080 -j ACCEPT
# Заблокировать IP
INPUT -s 1.2.3.4 -j DROP

> ⚠️ Внимание: убедитесь, что вы понимаете синтаксис правил iptables. Ошибочное правило может сделать сервис недоступным. Перед операцией рекомендуется сохранить текущие правила (iptables-save > /root/iptables.bak).

Автоматическая адаптация к нескольким бэкендам

Панель автоматически определяет используемый на сервере бэкенд брандмауэра:

Бэкенд	Подходящие системы	Описание
`iptables` / `iptables-legacy`	Традиционный Linux	Самый распространённый брандмауэр
`nftables`	Новые дистрибутивы / серверы с уже существующими правилами nft	При обнаружении активных правил nft используется в приоритете, чтобы правила не перекрывались
`ufw`	Ubuntu / Debian	Только для «просмотра», управление правилами идёт через iptables

Примечания

1. Действуйте осторожно: правила брандмауэра напрямую влияют на доступность сервера. Ошибочное правило блокировки может разорвать SSH и отрезать панель.

2. Сохранение правил: правила, добавленные напрямую через iptables, могут пропасть после перезагрузки (зависит от того, установлены ли iptables-persistent / netfilter-persistent). Если нужна персистентность, делайте iptables-save самостоятельно или используйте ufw.

3. Группа безопасности облака: у Tencent Cloud / Alibaba Cloud и других, помимо системного брандмауэра, есть уровень «группы безопасности» в облачной консоли. Если порт не открыт в группе безопасности, открытие в системном брандмауэре не поможет — открывать нужно на обоих уровнях.

4. Перенаправление портов: если оно нужно, см. Перенаправление портов.

Документация