ufw: Firewall

UFW is sinds Ubuntu 8.04 LTS standaard geïnstalleerd. Controleer de versie om te bevestigen dat het systeem klaar is.

sudo ufw version

Dit toont de UFW-versie, bijvoorbeeld `ufw 0.36.2`. Als het commando niet wordt gevonden, installeer het dan met `sudo apt install ufw`.

2. Schakel UFW in

Activeer de firewall met het standaardcommando. Wees voorzichtig: na activering wordt al het inkomende verkeer geblokkeerd tenzij u regels hebt toegevoegd.

sudo ufw enable

De output bevestigt met `Firewall is active and enabled on system startup`. Het systeem start daarna altijd met een actieve firewall.

3. Bekijk de huidige status en regels

Toon de actieve regels met nummering. Dit maakt het eenvoudig om specifieke regels later te identificeren en te beheren.

sudo ufw status numbered

Zonder regels toont dit `Status: active` met een lege lijst. Voeg eerst regels toe voordat u de firewall in productie gebruikt.

4. Sta inkomend verkeer op een poort toe

Sta verkeer toe op poort 5432 en documenteer de regel met een commentaar. Dit is nuttig voor services zoals PostgreSQL.

sudo ufw allow 5432 comment "Service"

De comment-functionaliteit helpt om het doel van elke regel vast te leggen. Dit wordt zichtbaar in de statusoutput.

5. Sta verkeer toe van een specifiek IP-adres

Beperk toegang tot poort 22 (SSH) tot één IP-adres. Dit is een voorbeeld van een regel met meerdere voorwaarden.

sudo ufw allow proto tcp from 192.168.0.4 to any port 22

Alleen TCP-verkeer van 192.168.0.4 naar poort 22 wordt toegestaan. Alle andere SSH-verbindingen worden geblokkeerd.

6. Schakel UFW uit indien nodig

Gebruik dit commando om de firewall volledig uit te schakelen. Dit is alleen aan te raden voor testomgevingen of bij het oplossen van netwerkproblemen.

sudo ufw disable

De output bevestigt met `Firewall stopped and disabled on system startup`. Het systeem start daarna zonder actieve firewall.

7. Controleer de interactie met Docker

Als u Docker gebruikt, controleer dan of gepubliceerde containerpoorten de UFW-regels omzeilen. Docker creëert eigen firewallregels voor netwerkisolatie en port publishing — deze omzeilen UFW.

sudo iptables -L DOCKER -n --line-numbers

Deze output toont de Docker-firewallregels. Let op: deze regels zijn noodzakelijk voor Docker-bridge-netwerken en mogen niet handmatig worden gewijzigd.

8. Voeg een default deny-regel toe voor inkomend verkeer

Stel het standaardbeleid in voor inkomend verkeer. Dit zorgt ervoor dat al het niet-expliciet toegestane verkeer wordt geblokkeerd.

sudo ufw default deny incoming

Dit is een best practice voor servers: alleen de poorten die u expliciet opent, zijn bereikbaar. Uitgaand verkeer blijft standaard toegestaan.

Verificatie

Controleer of de firewall correct werkt door de status te bekijken en een poortscan uit te voeren vanaf een ander systeem.

sudo ufw status verbose

Dit toont het actieve beleid, inclusief de standaardregels en alle toegevoegde regels. Voor een externe check gebruikt u `nmap` vanaf een ander systeem:

nmap -p 22 192.168.0.10

Als UFW correct is geconfigureerd, toont dit poort 22 als `filtered` of `open`, afhankelijk van uw regels.

Veelgestelde problemen

1. Docker-poorten zijn bereikbaar ondanks UFW-regels

Docker omzeilt UFW door eigen iptables-regels te creëren. Dit is een bekend gedrag. Los het op door Docker-containerpoorten niet te publiceren op de host (`-p` weglaten) en in plaats daarvan een reverse proxy te gebruiken die wél door UFW wordt beheerd.

2. UFW blokkeert SSH na activering

Dit gebeurt wanneer u SSH niet hebt toegestaan vóór `sudo ufw enable`. Herstel de toegang met:

sudo ufw allow 22/tcp

Voeg deze regel altijd toe vóór het inschakelen van de firewall op een externe server.

3. Regels worden niet toegepast na een herstart

Controleer of UFW is ingeschakeld bij het opstarten:

sudo systemctl status ufw

Als de service niet actief is, start u hem met `sudo systemctl enable --now ufw`. UFW moet actief zijn om regels na een herstart toe te passen.

UFW blijft een essentieel onderdeel van de Ubuntu-beveiligingsarchitectuur — maar de groeiende rol van containers en de interactie met Docker-firewallregels maken het steeds belangrijker om te weten waar de grenzen van deze tool liggen.