Ubuntu 16.04에서 UFW로 방화벽을 설정하는 방법

UFW로 포트 범위를 지정할 때 규칙을 적용해야 하는 프로토콜(tcp 또는 udp)을 지정해야 합니다. 프로토콜을 지정하지 않으면 단순히 두 프로토콜을 모두 허용하기 때문에 이전에 언급하지 않았습니다. 대부분의 경우 괜찮습니다.

특정 IP 주소

UFW로 작업할 때 IP 주소를 지정할 수도 있습니다. 예를 들어 회사 또는 집 IP 주소 15.15.15.51와 같은 특정 IP 주소로부터의 연결을 허용하려면 from을 지정해야 합니다. IP 주소:

sudo ufw allow from 15.15.15.51

또한 포트 번호 뒤에 to any port를 추가하여 IP 주소가 연결할 수 있는 특정 포트를 지정할 수도 있습니다. 예를 들어 15.15.15.51이 포트 22(SSH)에 연결하도록 허용하려면 다음 명령을 사용하십시오.

sudo ufw allow from 15.15.15.51 to any port 22

서브넷

IP 주소의 서브넷을 허용하려면 CIDR 표기법을 사용하여 넷마스크를 지정할 수 있습니다. 예를 들어 15.15.15.1에서 15.15.15.254까지의 모든 IP 주소를 허용하려면 다음 명령을 사용할 수 있습니다.

sudo ufw allow from 15.15.15.0/24

마찬가지로 서브넷 15.15.15.0/24가 연결할 수 있는 대상 포트를 지정할 수도 있습니다. 다시 한 번 예시로 포트 22(SSH)를 사용합니다.

sudo ufw allow from 15.15.15.0/24 to any port 22

특정 네트워크 인터페이스에 대한 연결

특정 네트워크 인터페이스에만 적용되는 방화벽 규칙을 생성하려면 "allow in on\ 뒤에 네트워크 인터페이스 이름을 지정하면 됩니다.

계속하기 전에 네트워크 인터페이스를 조회할 수 있습니다. 이렇게 하려면 다음 명령을 사용합니다.

ip addr

Output Excerpt:
...
2: eth0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast state
...
3: eth1: <BROADCAST,MULTICAST> mtu 1500 qdisc noop state DOWN group default 
...

강조 표시된 출력은 네트워크 인터페이스 이름을 나타냅니다. 일반적으로 eth0 또는 eth1과 같이 이름이 지정됩니다.

따라서 서버에 eth0이라는 공용 네트워크 인터페이스가 있는 경우 다음 명령을 사용하여 HTTP 트래픽(포트 80)을 허용할 수 있습니다.

sudo ufw allow in on eth0 to any port 80

이렇게 하면 서버가 공용 인터넷에서 HTTP 요청을 수신할 수 있습니다.

또는 예를 들어 MySQL 데이터베이스 서버(포트 3306)가 개인 네트워크 인터페이스 eth1에서 연결을 수신하도록 하려면 다음 명령을 사용할 수 있습니다.

sudo ufw allow in on eth1 to any port 3306

이렇게 하면 개인 네트워크의 다른 서버가 MySQL 데이터베이스에 연결할 수 있습니다.

6단계 - 연결 거부

수신 연결에 대한 기본 정책을 변경하지 않은 경우 UFW는 모든 수신 연결을 거부하도록 구성됩니다. 일반적으로 이렇게 하면 특정 포트와 IP 주소를 명시적으로 허용하는 규칙을 생성해야 하므로 보안 방화벽 정책을 생성하는 프로세스가 간소화됩니다.

그러나 때로는 서버가 공격을 받고 있다는 것을 알고 있기 때문에 소스 IP 주소 또는 서브넷을 기반으로 특정 연결을 거부하려는 경우가 있습니다. 또한 기본 수신 정책을 허용하도록 변경하려는 경우(보안을 위해 권장되지 않음) 연결을 허용하지 않으려는 서비스 또는 IP 주소에 대한 거부 규칙을 만들어야 합니다.

거부 규칙을 작성하려면 위에서 설명한 명령을 사용하여 허용을 거부로 바꿀 수 있습니다.

예를 들어 HTTP 연결을 거부하려면 다음 명령을 사용할 수 있습니다.

sudo ufw deny http

또는 15.15.15.51의 모든 연결을 거부하려면 다음 명령을 사용할 수 있습니다.

sudo ufw deny from 15.15.15.51

이제 규칙을 삭제하는 방법을 살펴보겠습니다.

7단계 - 규칙 삭제

방화벽 규칙을 삭제하는 방법을 아는 것은 규칙을 만드는 방법을 아는 것만큼 중요합니다. 삭제할 규칙을 지정하는 방법에는 규칙 번호 또는 실제 규칙(규칙이 생성될 때 지정된 방법과 유사)의 두 가지 방법이 있습니다. UFW를 처음 사용하는 경우 삭제할 실제 규칙을 작성하는 것보다 더 쉽기 때문에 규칙 번호로 삭제하는 방법부터 시작하겠습니다.

규칙 번호별

규칙 번호를 사용하여 방화벽 규칙을 삭제하는 경우 가장 먼저 해야 할 일은 방화벽 규칙 목록을 가져오는 것입니다. UFW 상태 명령에는 다음과 같이 각 규칙 옆에 숫자를 표시하는 옵션이 있습니다.

sudo ufw status numbered

Numbered Output:
Status: active

     To                         Action      From
     --                         ------      ----
[ 1] 22                         ALLOW IN    15.15.15.0/24
[ 2] 80                         ALLOW IN    Anywhere

포트 80(HTTP) 연결을 허용하는 규칙 2를 삭제하기로 결정한 경우 다음과 같이 UFW 삭제 명령에서 지정할 수 있습니다.

sudo ufw delete 2

이렇게 하면 확인 메시지가 표시되고 HTTP 연결을 허용하는 규칙 2가 삭제됩니다. IPv6을 활성화한 경우 해당 IPv6 규칙도 삭제해야 합니다.

실제 규칙에 따라

규칙 번호의 대안은 삭제할 실제 규칙을 지정하는 것입니다. 예를 들어 allow http 규칙을 제거하려면 다음과 같이 작성할 수 있습니다.

sudo ufw delete allow http

서비스 이름 대신 allow 80으로 규칙을 지정할 수도 있습니다.

sudo ufw delete allow 80

이 방법은 IPv4 및 IPv6 규칙이 있는 경우 모두 삭제합니다.

8단계 - UFW 상태 및 규칙 확인

언제든지 다음 명령으로 UFW의 상태를 확인할 수 있습니다.

sudo ufw status verbose

기본적으로 UFW가 비활성화되어 있으면 다음과 같은 내용이 표시됩니다.

Output
Status: inactive

UFW가 활성화된 경우(3단계를 따랐다면 활성화되어야 함) 출력에 활성화되었다고 표시되고 설정된 모든 규칙이 나열됩니다. 예를 들어 방화벽이 어디서나 SSH(포트 22) 연결을 허용하도록 설정된 경우 출력은 다음과 같을 수 있습니다.

Output
Status: active
Logging: on (low)
Default: deny (incoming), allow (outgoing), disabled (routed)
New profiles: skip

To                         Action      From
--                         ------      ----
22/tcp                     ALLOW IN    Anywhere

UFW가 방화벽을 어떻게 구성했는지 확인하려면 status 명령을 사용하십시오.

9단계 - UFW 비활성화 또는 재설정(선택 사항)

UFW를 사용하지 않으려면 다음 명령으로 비활성화할 수 있습니다.

sudo ufw disable

UFW로 만든 모든 규칙은 더 이상 활성화되지 않습니다. 나중에 활성화해야 하는 경우 언제든지 sudo ufw enable을 실행할 수 있습니다.

UFW 규칙이 이미 구성되어 있지만 다시 시작하기로 결정한 경우 재설정 명령을 사용할 수 있습니다.

sudo ufw reset

이렇게 하면 UFW가 비활성화되고 이전에 정의된 모든 규칙이 삭제됩니다. 기본 정책은 언제든지 수정하더라도 원래 설정으로 변경되지 않습니다. 이를 통해 UFW를 새롭게 시작할 수 있습니다.

결론

이제 (적어도) SSH 연결을 허용하도록 방화벽을 구성해야 합니다. 불필요한 연결을 제한하면서 서버로 들어오는 다른 모든 연결을 허용해야 서버가 제대로 작동하고 안전합니다.

보다 일반적인 UFW 구성에 대해 알아보려면 UFW Essentials: Common Firewall Rules and Commands 튜토리얼을 확인하십시오.