ufwをインストール
Debian系だと、iptablesやfirewalldではなく、ufwを使ってファイアウォール設定をするようである。
以下のコマンドでインストール。
# apt -y install ufw
ufwが死んだ状態になってること。まだ起動させない。
# systemctl status ufw
● ufw.service - Uncomplicated firewall
Loaded: loaded (/lib/systemd/system/ufw.service; enabled; vendor preset: enabled)
Active: inactive (dead) since Tue 2023-01-03 15:15:28 JST; 3s ago
Docs: man:ufw(8)
Process: 15328 ExecStart=/lib/ufw/ufw-init start quiet (code=exited, status=0/SUCCESS)
Process: 15754 ExecStop=/lib/ufw/ufw-init stop (code=exited, status=0/SUCCESS)
Main PID: 15328 (code=exited, status=0/SUCCESS)
CPU: 15ms
自動起動設定を確認。デフォルトでenabledになっていた。
# systemctl is-enabled ufw
enabled
ファイアウォールを設定する
ufwはコマンドで許可・遮断の設定を入れていくみたい。
受信パケットをすべて遮断。
まず、一旦すべて遮断させてから、公開するものだけ開けていく。
# ufw default deny incoming
Default incoming policy changed to 'deny'
(be sure to update your rules accordingly)
送信パケットはすべて許可。
# ufw default allow outgoing
Default outgoing policy changed to 'allow'
(be sure to update your rules accordingly)
ssh(22)のみ許可。
# ufw allow ssh
Rules updated
Rules updated (v6)
ufw allow 22/tcpでも良さそう。
sshポートを変更している場合は、22を別のポート番号に変えてあげればよし。
sshに限らず、同じようにポート単位で許可させていく。
ちなみに、設定はuser.rulesに追記されていくようである。
# cat /etc/ufw/user.rules
〜〜〜〜〜〜〜〜〜〜〜〜〜〜〜〜〜
### tuple ### allow tcp 22 0.0.0.0/0 any 0.0.0.0/0 in
〜〜〜〜〜〜〜〜〜〜〜〜〜〜〜〜〜
設定を反映させる（プロセスの起動も）
プロセスを起動させる。
# systemctl start ufw
# systemctl status ufw
● ufw.service - Uncomplicated firewall
Loaded: loaded (/lib/systemd/system/ufw.service; enabled; vendor preset: enabled)
Active: active (exited) since Tue 2023-01-03 15:24:24 JST; 3s ago
Docs: man:ufw(8)
Process: 16505 ExecStart=/lib/ufw/ufw-init start quiet (code=exited, status=0/SUCCESS)
Main PID: 16505 (code=exited, status=0/SUCCESS)
CPU: 9ms
1月 03 15:24:24 raspberrypi systemd[1]: Starting Uncomplicated firewall...
1月 03 15:24:24 raspberrypi systemd[1]: Finished Uncomplicated firewall.
設定を有効にする。
# ufw enable
Firewall is active and enabled on system startup
設定を確認する。
verboseをつけると、Defaultを見てたりするので、つけておけば良さそう。
# ufw status verbose
Status: active
Logging: on (low)
Default: deny (incoming), allow (outgoing), disabled (routed)
New profiles: skip
To Action From
-- ------ ----
22/tcp ALLOW IN Anywhere
22/tcp (v6) ALLOW IN Anywhere (v6)
なお、プロセス起動していた場合は、ufw reloadで設定反映できるようである。
SSH接続できることを確認
% ssh k-natsume@192.168.0.254 -i id_ecdsa
設定を削除する
deleteで削除できる。
# ufw delete allow 22/tcp
Rule deleted
Rule deleted (v6)
消えていることを確認。
# ufw status verbose
Status: active
Logging: on (low)
Default: deny (incoming), allow (outgoing), disabled (routed)
New profiles: skip
指定して削除する
１つ１つの設定に番号が割り振られているので、それを指定して削除する方法。
まず、設定の番号を確認する。
# ufw status numbered
Status: active
To Action From
-- ------ ----
[ 1] 22/tcp ALLOW IN Anywhere
[ 2] 22 ALLOW IN 192.168.0.0/24
[ 3] 22/tcp (v6) ALLOW IN Anywhere (v6)
2番目の設定を削除する。
# ufw delete 2
Deleting:
allow from 192.168.0.0/24 to any port 22
Proceed with operation (y|n)? y
Rule deleted
削除されたことを確認。
Status: active
To Action From
-- ------ ----
[ 1] 22/tcp ALLOW IN Anywhere
[ 2] 22/tcp (v6) ALLOW IN Anywhere (v6)
セグメントを指定して許可させる
# ufw allow from 192.168.0.0/24 to any port 22
Rule added
セグメント単位で許可できた。
# ufw status numbered
Status: active
To Action From
-- ------ ----
[ 1] 22 ALLOW IN 192.168.0.0/24
総当り攻撃(ブルートフォース攻撃)対策
総当り攻撃を対策するため、試行回数に制限をかける。
デフォルトだと30秒に６回になっているらしい。
# ufw limit 22/tcp
Rule updated
Rule updated (v6)
設定を確認。ActionがLIMITに変わっていることが分かる。
# ufw status
Status: active
To Action From
-- ------ ----
22/tcp LIMIT Anywhere
22/tcp (v6) LIMIT Anywhere (v6)
こちらもセグメントを指定させることもできる。
# ufw limit from 192.168.0.0/24 to any port 22
Rule updated
# ufw status numbered
Status: active
To Action From
-- ------ ----
[ 1] 22 LIMIT IN 192.168.0.0/24
ICMP拒否
バックアップを取ってから編集する。
# cp -p /etc/ufw/before.rules /etc/ufw/before.rules.org
# vi /etc/ufw/before.rules
# ok icmp codes for INPUT
- #-A ufw-before-input -p icmp --icmp-type destination-unreachable -j ACCEPT
- #-A ufw-before-input -p icmp --icmp-type time-exceeded -j ACCEPT
- #-A ufw-before-input -p icmp --icmp-type parameter-problem -j ACCEPT
- #-A ufw-before-input -p icmp --icmp-type echo-request -j ACCEPT
# ok icmp code for FORWARD
- #-A ufw-before-forward -p icmp --icmp-type destination-unreachable -j ACCEPT
- #-A ufw-before-forward -p icmp --icmp-type time-exceeded -j ACCEPT
- #-A ufw-before-forward -p icmp --icmp-type parameter-problem -j ACCEPT
- #-A ufw-before-forward -p icmp --icmp-type echo-request -j ACCEPT
# ok icmp codes for INPUT
+ -A ufw-before-input -p icmp --icmp-type destination-unreachable -j DROP
+ -A ufw-before-input -p icmp --icmp-type time-exceeded -j DROP
+ -A ufw-before-input -p icmp --icmp-type parameter-problem -j DROP
+ -A ufw-before-input -p icmp --icmp-type echo-request -j DROP
# ok icmp code for FORWARD
+ -A ufw-before-forward -p icmp --icmp-type destination-unreachable -j DROP
+ -A ufw-before-forward -p icmp --icmp-type time-exceeded -j DROP
+ -A ufw-before-forward -p icmp --icmp-type parameter-problem -j DROP
+ -A ufw-before-forward -p icmp --icmp-type echo-request -j DROP
設定変更したら、設定反映。
# ufw reload
Firewall reloaded