UFW Firewall einrichten

UFW (Uncomplicated Firewall) ist das Standard-Firewall-Tool für Ubuntu und vereinfacht die iptables-Konfiguration erheblich. Mit wenigen Befehlen schützen Sie Ihren Server vor unerwünschten Zugriffen.

UFW installieren und aktivieren

# Installation (meist vorinstalliert)
sudo apt install ufw -y

# Status prüfen
sudo ufw status

# UFW aktivieren
sudo ufw enable

⚠️ Wichtig: Geben Sie SSH frei, BEVOR Sie UFW aktivieren, sonst sperren Sie sich aus!

sudo ufw allow ssh

Grundlegende Befehle

# Status anzeigen
sudo ufw status
sudo ufw status verbose
sudo ufw status numbered

# UFW aktivieren/deaktivieren
sudo ufw enable
sudo ufw disable

# Alle Regeln zurücksetzen
sudo ufw reset

Standardrichtlinien

# Eingehend: Standardmäßig blockieren
sudo ufw default deny incoming

# Ausgehend: Standardmäßig erlauben
sudo ufw default allow outgoing

Ports freigeben

Nach Port-Nummer

# Einzelner Port
sudo ufw allow 80
sudo ufw allow 443

# Port mit Protokoll
sudo ufw allow 80/tcp
sudo ufw allow 53/udp

# Port-Bereich
sudo ufw allow 6000:6007/tcp

Nach Service-Name

# Verfügbare Services anzeigen
sudo ufw app list

# Service erlauben
sudo ufw allow ssh
sudo ufw allow http
sudo ufw allow https
sudo ufw allow 'Nginx Full'
sudo ufw allow 'Apache Full'
sudo ufw allow 'OpenSSH'

Regeln löschen

# Nach Regel
sudo ufw delete allow 80

# Nach Nummer (erst status numbered)
sudo ufw status numbered
sudo ufw delete 3

IP-basierte Regeln

Einzelne IP erlauben

# Von bestimmter IP alles erlauben
sudo ufw allow from 192.168.1.100

# Von IP auf bestimmten Port
sudo ufw allow from 192.168.1.100 to any port 22

# Von IP auf bestimmten Port und Protokoll
sudo ufw allow from 192.168.1.100 to any port 3306 proto tcp

Subnetz erlauben

# Ganzes Subnetz
sudo ufw allow from 192.168.1.0/24

# Subnetz auf Port
sudo ufw allow from 10.0.0.0/8 to any port 22

IP blockieren

# IP komplett blockieren
sudo ufw deny from 123.45.67.89

# IP auf Port blockieren
sudo ufw deny from 123.45.67.89 to any port 22

Typische Server-Konfiguration

Webserver

sudo ufw default deny incoming
sudo ufw default allow outgoing
sudo ufw allow ssh
sudo ufw allow http
sudo ufw allow https
sudo ufw enable

Mailserver

sudo ufw allow 25/tcp    # SMTP
sudo ufw allow 465/tcp   # SMTPS
sudo ufw allow 587/tcp   # Submission
sudo ufw allow 993/tcp   # IMAPS
sudo ufw allow 995/tcp   # POP3S

Datenbankserver (nur intern)

# MySQL nur aus internem Netz
sudo ufw allow from 192.168.1.0/24 to any port 3306

# PostgreSQL nur aus internem Netz
sudo ufw allow from 192.168.1.0/24 to any port 5432

SSH-Port ändern

# Neuen Port erlauben
sudo ufw allow 2222/tcp

# SSH-Konfiguration ändern
sudo nano /etc/ssh/sshd_config
# Port 2222

sudo systemctl restart sshd

# Alten Port blockieren
sudo ufw delete allow 22

Rate Limiting

# SSH vor Brute-Force schützen
# Begrenzt auf 6 Verbindungen in 30 Sekunden pro IP
sudo ufw limit ssh

# Oder manuell
sudo ufw limit 22/tcp

Logging

# Logging aktivieren
sudo ufw logging on
sudo ufw logging medium  # low, medium, high, full

# Logs anzeigen
sudo tail -f /var/log/ufw.log

# Logging deaktivieren
sudo ufw logging off

Erweiterte Regeln

Spezifisches Interface

# Nur auf eth0 erlauben
sudo ufw allow in on eth0 to any port 80

Regeln mit Kommentar

sudo ufw allow 8080 comment 'Entwicklungsserver'

Regeln als Datei

# Regeln exportieren
sudo ufw status numbered > ~/ufw-backup.txt

# Rohe iptables-Regeln
sudo iptables -L -n -v

Troubleshooting

Problem	Lösung
Ausgesperrt	Console/VNC nutzen, sudo ufw disable
Dienst nicht erreichbar	sudo ufw status, Port prüfen
UFW startet nicht	sudo ufw reset, neu konfigurieren

Checkliste

1. ☐ SSH erlaubt bevor UFW aktiviert
2. ☐ Standard: deny incoming, allow outgoing
3. ☐ Nur benötigte Ports offen
4. ☐ Rate limiting für SSH aktiviert
5. ☐ Logging aktiviert

Weitere Hilfe

• 📖 Ubuntu UFW Dokumentation
• 📧 E-Mail: support@enjyn.de