Bulud serverinizdə firewall-un qurulması.

İnternetə açıq hər serverə firewall lazımdır. Standart olaraq bütün trafiki bloklayın, yalnız lazım olanlara icazə verin. Seçim üçün iki səviyyə var — birindən və ya hər ikisindən istifadə edin.

Standart vəziyyət

Yeni bulud serverdə, yaradılarkən aktivləşdirməmisinizsə, firewall yoxdur. Firewall olmadan serverdəki proqramın dinlədiyi hər port internetə açıqdır.

Image-də əməliyyat sisteminin firewall-unu (ufw / firewalld) da aktivləşdirmirik — bu, Sizin qərarınızdır.

Həmişə bir port bloklanır: spamdan qorunmaq üçün 25-ci portda çıxan poçt. Onu açmaq lazımdırsa, dəstəyə yazın (Kömək → Bizə yaz).

Variant 1: panelin firewall-u (tövsiyə olunur)

Bu firewall serverin qarşısında, bulud şəbəkəsində işləyir — ona görə də ondakı səhv serverin öz konfiqurasiyasını poza bilməz və onu həmişə paneldən dəyişə bilərsiniz.

Yeni panel (rivervo.com/panel): server səhifəsi → Firewall kartı → Firewall qur. (Və ya serveri yaradarkən Firewall istifadə et seçimini aktivləşdirin.)

• Daxil olan trafik qaydaları: yalnız qaydaya uyğun gələn trafik keçir.
• Çıxan trafik qaydaları: qayda əlavə edənədək bütün trafikə icazə verilir.
• Hər qaydada port, icazə verilən Mənbələr (çıxan trafik üçün Təyinat ünvanları) və Qeyd olur.
• Hazır variantlar: SSH (22), HTTP (80), HTTPS (443), Ping (ICMP) və ya Öz qaydanız.

Sonradan Qaydaları dəyiş → Qaydaları saxla ilə dəyişin və ya Firewall-u sil. Qaydalarınızdan heç biri 22-ci porta icazə vermirsə, panel saxlamazdan əvvəl soruşur — bu port olmadan SSH ilə qoşula bilməzsiniz.

Variant 2: əməliyyat sisteminin firewall-u

Serverin daxilində, ufw (Ubuntu/Debian) və ya firewalld (Rocky, AlmaLinux, CentOS Stream, Fedora) ilə.

Ubuntu/Debian (ufw)

sudo apt install ufw            # if it isn't installed
sudo ufw allow 22/tcp           # allow SSH FIRST
sudo ufw allow 80/tcp
sudo ufw allow 443/tcp
sudo ufw enable
sudo ufw status verbose

Yalnız müəyyən IP-dən icazə vermək:

sudo ufw allow from 1.2.3.4 to any port 5432 comment "Postgres from office"

Qaydanı silmək:

sudo ufw status numbered
sudo ufw delete 4   # delete rule #4

Rocky / AlmaLinux / CentOS Stream / Fedora (firewalld)

sudo dnf install firewalld      # if it isn't installed
sudo systemctl enable --now firewalld
sudo firewall-cmd --permanent --add-service=ssh
sudo firewall-cmd --permanent --add-service=http
sudo firewall-cmd --permanent --add-service=https
sudo firewall-cmd --reload
sudo firewall-cmd --list-all

Portu açmaq / bağlamaq:

sudo firewall-cmd --permanent --add-port=8080/tcp
sudo firewall-cmd --permanent --remove-port=8080/tcp
sudo firewall-cmd --reload

Ümumi portlar

Serverə girişi özünüz bağlamayın

Firewall-u aktivləşdirməzdən və ya dəyişməzdən əvvəl SSH-a (22-ci port) icazə verildiyinə əmin olun. Sonra bağlantını kəsməzdən əvvəl yoxlayın:

# Keep your current SSH session open.
# Open another terminal and SSH in fresh.
# New connection works → safe to close the original.
# New connection fails → fix it from the original session.

Giriş bağlandıqdan sonra bərpa

• Girişi panelin firewall-u bağlayıbsa: server səhifəsi → Firewall → Qaydaları dəyiş, SSH (22) qaydasını geri əlavə edin, Qaydaları saxla. Və ya Firewall-u sil.
• Girişi ufw / firewalld bağlayıbsa: server səhifəsi → Konsol (brauzerdə açılır, SSH olmadan işləyir). Root şifrənizlə root kimi daxil olun (şifrə server səhifəsində göstərilir; şifrəniz yoxdursa, ⋯ → Root şifrəsini sıfırla), sonra:

sudo ufw allow 22/tcp           # or: sudo ufw disable
sudo systemctl stop firewalld   # on firewalld systems

fail2ban — IP-lərin avtomatik bloklanması

Çoxlu giriş cəhdləri ilə üzləşən SSH və veb serverlər üçün:

sudo apt install fail2ban    # Debian/Ubuntu
sudo dnf install fail2ban    # Rocky/Alma (from EPEL)
sudo systemctl enable --now fail2ban

Standart konfiqurasiya təkrarlanan uğursuz SSH girişlərindən sonra IP-ləri bloklayır. Onu /etc/fail2ban/jail.local faylında tənzimləyin.