Файрвол в Linux: iptables vs nftables vs ufw

iptables, nftables и ufw — это три уровня одного и того же стека файрвола Linux, а не три конкурирующих продукта. nftables — это современный фреймворк фильтрации пакетов на уровне ядра, который с 2022 года заменил iptables в качестве стандарта во всех основных дистрибутивах; iptables теперь работает как слой совместимости поверх него, а ufw — упрощённый интерфейс командной строки, который может управлять любым из этих движков. Для большинства небольших VPS ufw с политикой default-deny — самый быстрый и безопасный выбор, а прямая работа с правилами nftables оставлена для более сложных задач.

Это руководство дополняет наш чек-лист безопасности VPS, который охватывает полный базовый набор мер, необходимых серверу небольшого бизнеса, помимо самого файрвола.

Что на самом деле делают iptables, nftables и ufw?

Все три инструмента контролируют, каким сетевым пакетам разрешено достигать сервера или покидать его, но работают они на разных уровнях: nftables — это движок фильтрации пакетов на уровне ядра, iptables — либо более старый движок, либо слой трансляции поверх nftables, а ufw — понятный человеку командный слой поверх любого из них. Понимание этой многоуровневости — ключ к тому, чтобы не запутаться в, казалось бы, противоречивом выводе правил.

Файрвол хоста — это первая линия защиты сервера от нежелательного сетевого трафика: он работает на уровне ниже приложения и независимо от него. Каждый открытый порт — потенциальная точка входа, поэтому задача файрвола — гарантировать, что извне доступны только те порты, которые вы сознательно решили открыть (обычно это SSH и, при необходимости, HTTP/HTTPS), а весь остальной трафик отбрасывается ещё до того, как достигнет ваших приложений.

iptables: изначальный файрвол Linux

iptables — это классический пакетный фильтр Linux, построенный вокруг фиксированных таблиц (filter, nat, mangle, raw) и цепочек (INPUT, OUTPUT, FORWARD), по которым последовательно проверяются пакеты. Более двух десятилетий он был стандартным инструментом файрвола в Linux, и его синтаксис по-прежнему широко описан и понятен большинству администраторов.

Согласно собственной сравнительной документации проекта nftables, iptables использует парсер команд на основе getopt_long() с заранее заданными таблицами и цепочками, и при добавлении или удалении любого правила фактически перезагружается весь набор правил как единый монолитный блок. Кроме того, iptables изначально не поддерживает объединённые правила для IPv4/IPv6 (dual stack), поэтому администраторам традиционно приходилось параллельно вести отдельный набор правил ip6tables для трафика IPv6. В современных системах Ubuntu, Debian и семейства RHEL команда iptables, которую вы вводите, обычно транслируется в правила nftables «под капотом», а не обращается напрямую к старым модулям ядра — поэтому ваши правила iptables могут отображаться при выполнении nft list ruleset.

nftables: современная замена

nftables — это текущий стандартный фреймворк фильтрации пакетов во всех основных дистрибутивах Linux, пришедший на смену iptables с более гибкой и эффективной архитектурой. Согласно wiki проекта nftables, в nftables вообще нет предопределённых таблиц или цепочек: вы явно определяете только те структуры, которые вам нужны, что снижает количество лишних проверок правил по сравнению с фиксированным набором iptables.

На практике важнее всего три технических отличия. Во-первых, одно правило nftables может объединять несколько условий сопоставления и несколько действий (statements) в одной строке, тогда как в iptables для того же результата часто требуется несколько отдельных правил. Во-вторых, семейство inet в nftables позволяет написать единый набор правил, который применяется одновременно к трафику IPv4 и IPv6, что убирает необходимость дублировать правила для ip6tables. В-третьих, nftables хранит набор правил внутри в виде связанного списка, а не монолитного блока, поэтому отдельные правила можно добавлять или удалять атомарно, без перезагрузки и без кратковременного открытия сервера на время перезагрузки правил.

Плата за это — более крутая кривая обучения. Синтаксис nftables ближе к небольшому предметно-ориентированному языку, и администраторам, привыкшим к iptables, нужно заново освоить объявление таблиц и цепочек, прежде чем написать первое правило.

ufw: простой интерфейс

ufw (Uncomplicated Firewall) — это упрощённый инструмент командной строки, изначально созданный для Ubuntu, который генерирует правила iptables или nftables из коротких, понятных команд вроде ufw allow 22/tcp. Он не заменяет базовый движок, а управляет им.

ufw изначально устроен как stateful-файрвол: он автоматически отслеживает состояние активных соединений, поэтому ответный трафик для инициированного вами соединения пропускается обратно без отдельного правила. В Ubuntu бэкенд ufw на базе nftables используется по умолчанию начиная с Ubuntu 20.10, поэтому на современном Ubuntu VPS ваши команды ufw незаметно генерируют правила nftables, тогда как на старых системах или других дистрибутивах ufw может по-прежнему генерировать классические правила iptables. Узнать, какой бэкенд активен, можно командой update-alternatives --display iptables.

Что выбрать?

Для одного VPS небольшого бизнеса, на котором работают SSH и веб-стек, ufw обычно является правильным выбором по умолчанию, поскольку он минимизирует риск того, что ошибка конфигурации заблокирует вам доступ или случайно оставит порт открытым. Обращайтесь напрямую к nftables только тогда, когда вам нужны собственные цепочки, ограничение скорости (rate limiting), отслеживание соединений за пределами возможностей ufw или правила NAT, которые не покрывает синтаксис ufw.

Как настроить базовый файрвол на nftables

Минимальная безопасная настройка nftables создаёт одну входную цепочку с политикой drop по умолчанию, а затем явно разрешает трафик loopback, установленные соединения, SSH и используемые вами веб-порты. Ниже приведён базовый набор правил, который нужно адаптировать под свои порты.

sudo nft flush ruleset

sudo nft add table inet filter
sudo nft add chain inet filter input { type filter hook input priority 0 \; policy drop \; }
sudo nft add chain inet filter forward { type filter hook forward priority 0 \; policy drop \; }
sudo nft add chain inet filter output { type filter hook output priority 0 \; policy accept \; }

sudo nft add rule inet filter input iif lo accept
sudo nft add rule inet filter input ct state established,related accept
sudo nft add rule inet filter input tcp dport 22 accept
sudo nft add rule inet filter input tcp dport { 80, 443 } accept
sudo nft add rule inet filter input ct state invalid drop

sudo nft list ruleset

Прежде чем полагаться на эту конфигурацию, проверьте её через второе соединение или доступ через консоль — опечатка в правиле для SSH может отрезать вам единственный путь входа. После проверки сохраните набор правил на постоянной основе (обычно в /etc/nftables.conf, загружается при старте через systemd), чтобы он сохранялся после перезагрузки.

Как настроить ufw за 10 минут

Безопасная базовая настройка ufw устанавливает запрет по умолчанию для входящего трафика, разрешение по умолчанию для исходящего трафика, явно разрешает SSH перед включением файрвола, а затем включает его. Рекомендации CIS benchmark для систем семейства Debian отдельно выделяют установку политики default deny для входящего трафика как оцениваемый, значимый для безопасности контроль.

sudo apt install ufw
sudo ufw default deny incoming
sudo ufw default allow outgoing
sudo ufw allow 22/tcp
sudo ufw allow 80/tcp
sudo ufw allow 443/tcp
sudo ufw enable
sudo ufw status verbose

Всегда разрешайте свой порт SSH перед выполнением ufw enable. Если в рамках усиления защиты SSH вы изменили порт SSH со стандартного 22-го, разрешите именно этот порт, а не 22-й. Если вы дополнительно управляете сервером через сетевой файрвол или security group облачного провайдера, помните: трафик должны разрешать оба уровня, и блокировка на любом из них остановит соединение.

Частые ошибки в настройке файрвола, из-за которых серверы остаются уязвимыми

Самая распространённая проблема с файрволом на серверах малого бизнеса — это не отсутствие файрвола, а установленный файрвол, для которого так и не настроена политика default-deny, из-за чего любой порт, который открывает установленный пакет, оказывается тихо доступен извне. Вторая по распространённости проблема — включение default-deny без предварительной проверки того, что SSH разрешён, что приводит к блокировке доступа, устранить которую можно только через консоль или панель провайдера.

• Политика по умолчанию оставлена как accept. Файрвол, который блокирует лишь горстку заведомо «плохих» портов, а всё остальное пропускает, обеспечивает очень слабую реальную защиту, поскольку любой новый сервис, который вы установите (или который установит вредоносное ПО), будет доступен, пока вы не заметите это и не добавите правило.
• Забытый IPv6. Набор правил, покрывающий только IPv4, оставляет незащищённый путь внутрь, если на сервере включён IPv6 — а большинство провайдеров облачных VPS включают его по умолчанию.
• Отсутствие ограничения скорости для SSH. Файрвол, который разрешает SSH откуда угодно без ограничения числа попыток подключения, всё равно оставляет порт открытым для подбора пароля методом перебора; связка файрвола с fail2ban или правилом ограничения скорости в nftables закрывает этот пробел.
• Правила файрвола, не переживающие перезагрузку. Правила, применённые напрямую командами nft или iptables, но никогда не сохранённые в постоянный конфигурационный файл, исчезают при следующей перезагрузке, тихо открывая сервер заново.
• Отсутствие логирования файрвола. Без логирования заблокированных пакетов у вас не будет записи для проверки при расследовании необычной активности, а это важно, если вам когда-нибудь понадобится обнаружить взлом сервера и отреагировать на него.
• Восприятие файрвола как полноценной защиты от DDoS. Файрвол хоста фильтрует, какие порты и источники могут подключаться, но обладает ограниченной способностью поглощать высокообъёмный трафик флуда; о том, что файрвол может и не может сделать против объёмных атак, читайте в нашем руководстве по защите от DDoS для малого бизнеса.

Настройка файрвола — лишь один пункт из более длинного списка. Полный базовый набор мер, охватывающий SSH, обновления, мониторинг и резервное копирование вместе, смотрите в полном чек-листе безопасности VPS, а базовые шаги, которые стоит выполнить ещё до того, как вы возьмётесь за правила файрвола, — в статье 5 основ усиления защиты сервера.