Firewall-Regeln: Pakete filtern mit ufw und nftables

Firewall-Regeln in der Praxis

Eine Firewall filtert Netzwerkverkehr nach Regeln. Unter Linux sind ufw (einfach) und nftables (modern, leistungsfähig) die Standard-Werkzeuge.

ufw – die einfache Firewall

ufw default deny incoming   # Alles blockieren
ufw default allow outgoing  # Ausgehend erlauben
ufw allow 22/tcp            # SSH
ufw allow 80,443/tcp        # Web
ufw allow from 192.168.1.0/24  # nur internes Netz
ufw enable

nftables – modern und flexibel

# /etc/nftables.conf (Auszug)
table inet filter {
  chain input {
    type filter hook input priority 0;
    policy drop
    ct state established,related accept
    tcp dport 22 accept
    tcp dport 80 accept
    tcp dport 443 accept
  }
}

Grundprinzipien

Default-Deny: Alles blockieren, dann gezielt öffnen. Stateful: Bestehende Verbindungen erlauben, neue nur auf freigegebenen Ports. Least Privilege: Nur die Dienste freigeben, die wirklich laufen.

Testen

Nach jeder Änderung von außen testen: nc -zv server 22, curl -I https://server. Bei Problemen: ufw status verbose oder nft list ruleset prüfen, Logs ansehen.

Weiterlesen: Firewall erklärt · VPN-Typen im Vergleich · Server härten

Netzwerk: Sicherheit