웹사이트 검색

Debian 10에서 UFW로 방화벽을 설정하는 방법

소개

UFW(복잡하지 않은 방화벽)는 iptables 및 nftables와 같은 하위 수준 패킷 필터링 기술의 복잡성을 숨기는 간소화된 방화벽 관리 인터페이스입니다. 네트워크 보안을 시작하려고 하는데 어떤 도구를 사용해야 할지 잘 모르겠다면 UFW가 올바른 선택일 수 있습니다.

이 튜토리얼은 Debian 10에서 UFW로 방화벽을 설정하는 방법을 보여줍니다.

전제 조건

이 자습서를 따르려면 루트가 아닌 sudo 사용자가 있는 Debian 10 서버 하나가 필요합니다. 이 서버는 Debian 10 자습서로 초기 서버 설정의 1~3단계를 따라 설정할 수 있습니다.

1단계 – UFW 설치

데비안은 기본적으로 UFW를 설치하지 않습니다. 전체 초기 서버 설정 자습서를 따랐다면 UFW를 설치하고 활성화했을 것입니다. 그렇지 않은 경우 apt를 사용하여 지금 설치하십시오.

  1. sudo apt install ufw

다음 단계에서 UFW를 설정하고 활성화합니다.

2단계 - UFW와 함께 IPv6 사용(선택 사항)

이 자습서는 IPv4를 염두에 두고 작성되었지만 활성화하면 IPv6에서도 작동합니다. Debian 서버에 IPv6이 활성화되어 있으면 UFW가 IPv6를 지원하도록 구성되어 있는지 확인해야 합니다. 이렇게 하면 UFW가 IPv4 외에도 IPv6에 대한 방화벽 규칙을 관리하게 됩니다. 이를 구성하려면 nano 또는 선호하는 편집기를 사용하여 UFW 구성 파일 /etc/default/ufw를 엽니다.

  1. sudo nano /etc/default/ufw

파일에서 IPV6을 찾고 값이 yes인지 확인합니다.

IPV6=yes

파일을 저장하고 닫습니다. nano를 사용하는 경우 CTRL+X, Y, ENTER를 차례로 눌러 파일을 저장하고 종료합니다.

이제 UFW가 활성화되면 IPv4 및 IPv6 방화벽 규칙을 모두 작성하도록 구성됩니다. 그러나 UFW를 활성화하기 전에 방화벽이 SSH를 통해 연결할 수 있도록 구성되어 있는지 확인해야 합니다. 기본 정책 설정부터 시작하십시오.

3단계 - 기본 정책 설정

방화벽을 이제 막 시작하는 경우 정의할 첫 번째 규칙은 기본 정책입니다. 이러한 규칙은 다른 규칙과 명시적으로 일치하지 않는 트래픽을 처리합니다. 기본적으로 UFW는 모든 수신 연결을 거부하고 모든 발신 연결을 허용하도록 설정됩니다. 즉, 서버에 도달하려는 사람은 연결할 수 없지만 서버 내의 모든 응용 프로그램은 외부 세계에 도달할 수 있습니다.

이 튜토리얼을 따라할 수 있도록 UFW 규칙을 기본값으로 다시 설정하십시오. UFW에서 사용하는 기본값을 설정하려면 다음 명령을 사용하십시오.

  1. sudo ufw default deny incoming

  2. sudo ufw default allow outgoing

다음과 같은 출력을 받게 됩니다.

Output
Default incoming policy changed to 'deny'
(be sure to update your rules accordingly)
Default outgoing policy changed to 'allow'
(be sure to update your rules accordingly)

이러한 명령은 들어오는 연결을 거부하고 나가는 연결을 허용하도록 기본값을 설정합니다. 개인용 컴퓨터에는 이러한 방화벽 기본값만으로도 충분할 수 있지만 일반적으로 서버는 외부 사용자로부터 들어오는 요청에 응답해야 합니다. 다음 단계에서 이 프로세스를 시작합니다.

4단계 - SSH 연결 허용

서버 액세스 시도를 포함하여 들어오는 모든 연결을 거부하기 때문에 아직 UFW 방화벽을 활성화할 수 없습니다. 즉, 서버가 이러한 유형의 요청에 응답하도록 하려면 합법적인 수신 연결(예: SSH 또는 HTTP 연결)을 명시적으로 허용하는 규칙을 만들어야 합니다. 클라우드 서버를 사용하는 경우 서버에 연결하고 서버를 관리할 수 있도록 들어오는 SSH 연결을 허용하고 싶을 것입니다.

들어오는 SSH 연결을 허용하도록 서버를 구성하려면 다음 명령을 사용하십시오.

  1. sudo ufw allow ssh

이렇게 하면 SSH 데몬이 기본적으로 수신 대기하는 포트인 포트 22에서 모든 연결을 허용하는 방화벽 규칙이 생성됩니다. UFW는 /etc/services 파일에 서비스로 나열되어 있기 때문에 allow ssh에 연결된 포트를 알고 있습니다.

그러나 실제로 서비스 이름 대신 포트를 지정하여 동등한 규칙을 작성할 수 있습니다. 예를 들어 이 명령은 위와 동일한 결과를 생성합니다.

  1. sudo ufw allow 22

다른 포트를 사용하도록 SSH 데몬을 구성한 경우 적절한 포트를 지정해야 합니다. 예를 들어 SSH 서버가 포트 2222에서 수신 대기 중인 경우 이 동일한 명령을 사용할 수 있지만 22를 2222로 바꿉니다.

들어오는 SSH 연결을 허용하도록 방화벽이 구성되었으므로 이제 방화벽을 활성화할 수 있습니다.

5단계 - UFW 활성화

UFW를 활성화하려면 다음 명령을 사용하십시오.

  1. sudo ufw enable

명령이 기존 SSH 연결을 방해할 수 있다는 경고가 표시됩니다. SSH 연결을 허용하는 방화벽 규칙을 이미 설정했으므로 계속해도 괜찮습니다. 프롬프트에 y로 응답하고 ENTER를 누르십시오.

이제 방화벽이 활성화되었습니다. 설정한 규칙을 보려면 다음 명령을 실행하십시오.

  1. sudo ufw status verbose

이 튜토리얼의 나머지 부분에서는 다양한 유형의 연결 허용 및 거부를 포함하여 UFW를 사용하는 방법을 자세히 다룹니다.

6단계 - 다른 연결 허용

이 시점에서 서버가 제대로 작동하는 데 필요한 다른 모든 연결을 허용해야 합니다. 허용해야 하는 연결은 특정 요구 사항에 따라 다릅니다. 서비스 이름 또는 포트를 기반으로 연결을 허용하는 규칙을 작성하는 방법을 이미 알고 있습니다. 포트 22에서 SSH에 대해 이 작업을 수행했습니다.

암호화되지 않은 웹 서버가 사용하는 포트 80에서 HTTP에 대해 이 작업을 수행할 수 있습니다. 이러한 유형의 트래픽을 허용하려면 다음을 입력합니다.

  1. sudo ufw allow http

암호화된 웹 서버가 사용하는 포트 443에서 HTTPS에 대해 이 작업을 수행할 수도 있습니다. 이러한 유형의 트래픽을 허용하려면 다음을 입력합니다.

  1. sudo ufw allow https

두 시나리오 모두에서 HTTP가 80이고 HTTPS가 443인 포트를 지정하는 것도 작동합니다. 그러나 포트나 알려진 서비스를 지정하는 것 외에 연결을 허용하는 다른 방법이 있습니다. 이것은 다음에 논의됩니다.

특정 포트 범위

UFW로 포트 범위를 지정할 수 있습니다. 예를 들어 일부 응용 프로그램은 단일 포트 대신 여러 포트를 사용합니다.

예를 들어 포트 6000-6007을 사용하는 X11 연결을 허용하려면 다음 명령을 사용합니다.

  1. sudo ufw allow 6000:6007/tcp

  2. sudo ufw allow 6000:6007/udp

UFW로 포트 범위를 지정할 때 규칙을 적용해야 하는 프로토콜(tcp 또는 udp)을 지정해야 합니다. 프로토콜을 지정하지 않으면 자동으로 두 프로토콜이 모두 허용되기 때문에 이것은 이전에 언급되지 않았습니다. 대부분의 경우 괜찮습니다.

특정 IP 주소

UFW로 작업할 때 IP 주소를 지정할 수도 있습니다. 예를 들어 회사 또는 집 IP 주소 203.0.113.4와 같은 특정 IP 주소로부터의 연결을 허용하려면 from을 지정한 다음 IP 주소:

  1. sudo ufw allow from 203.0.113.4

또한 포트 번호 뒤에 to any port를 추가하여 IP 주소가 연결할 수 있는 특정 포트를 지정할 수도 있습니다. 예를 들어 203.0.113.4가 포트 22(SSH)에 연결하도록 허용하려면 다음 명령을 사용하십시오.

  1. sudo ufw allow from 203.0.113.4 to any port 22

서브넷

IP 주소의 서브넷을 허용하려면 CIDR 표기법을 사용하여 넷마스크를 지정할 수 있습니다. 예를 들어 203.0.113.1에서 203.0.113.254까지의 모든 IP 주소를 허용하려면 다음 명령을 사용할 수 있습니다.

  1. sudo ufw allow from 203.0.113.0/24

마찬가지로 서브넷 203.0.113.0/24가 연결할 수 있는 대상 포트를 지정할 수도 있습니다. 다시 포트 22(SSH)를 예로 사용합니다.

  1. sudo ufw allow from 203.0.113.0/24 to any port 22

특정 네트워크 인터페이스에 대한 연결

특정 네트워크 인터페이스에만 적용되는 방화벽 규칙을 생성하려면 allow in on과 네트워크 인터페이스의 이름을 차례로 지정하면 됩니다.

계속하기 전에 네트워크 인터페이스를 검색하면 도움이 됩니다. 이렇게 하려면 다음 명령을 사용합니다.

  1. ip addr



Output
. . .
2: eth0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast state
. . .
3: eth1: <BROADCAST,MULTICAST> mtu 1500 qdisc noop state DOWN group default
. . .

강조 표시된 출력은 네트워크 인터페이스 이름을 나타냅니다. 일반적으로 eth0 또는 enp3s2와 같은 이름을 갖습니다.

예를 들어 서버에 eth0라는 공용 네트워크 인터페이스가 있는 경우 다음 명령을 사용하여 HTTP 트래픽을 허용할 수 있습니다.

  1. sudo ufw allow in on eth0 to any port 80

이렇게 하면 서버가 공용 인터넷에서 HTTP 요청을 수신할 수 있습니다.

또는 MySQL 데이터베이스 서버(포트 3306)가 개인 네트워크 인터페이스 eth1에서 연결을 수신하도록 하려면 다음 명령을 사용할 수 있습니다.

  1. sudo ufw allow in on eth1 to any port 3306

이렇게 하면 개인 네트워크의 다른 서버가 MySQL 데이터베이스에 연결할 수 있습니다.

7단계 - 연결 거부

수신 연결에 대한 기본 정책을 변경하지 않은 경우 UFW는 모든 수신 연결을 거부하도록 구성됩니다. 일반적으로 이렇게 하면 특정 포트와 IP 주소를 명시적으로 허용하는 규칙을 생성해야 하므로 보안 방화벽 정책을 생성하는 프로세스가 간소화됩니다.

때로는 소스 IP 주소 또는 서브넷을 기반으로 특정 연결을 거부하고 싶을 수도 있지만 서버가 그곳에서 공격을 받고 있음을 알고 있기 때문일 수 있습니다. 또한 기본 수신 정책을 허용(권장하지 않음)으로 변경하려면 사용하지 않는 모든 서비스 또는 IP 주소에 대해 거부 규칙을 만들어야 합니다. 에 대한 연결을 허용하고 싶지 않습니다.

거부 규칙을 작성하려면 위에서 설명한 명령을 사용하여 allow를 deny로 바꿀 수 있습니다.

예를 들어 HTTP 연결을 거부하려면 다음 명령을 사용할 수 있습니다.

  1. sudo ufw deny http

또는 203.0.113.4의 모든 연결을 거부하려면 다음 명령을 사용할 수 있습니다.

  1. sudo ufw deny from 203.0.113.4

이제 삭제 규칙을 구현하는 방법을 배울 수 있습니다.

8단계 - 규칙 삭제

방화벽 규칙을 삭제하는 방법을 아는 것은 규칙을 만드는 방법을 아는 것만큼 중요합니다. 삭제할 규칙을 지정하는 방법에는 규칙 번호를 사용하거나 규칙 자체를 사용하는 두 가지 방법이 있습니다. 규칙을 만들 때 지정한 방법과 비슷합니다.

규칙 번호별

규칙 번호를 사용하여 방화벽 규칙을 삭제하는 경우 가장 먼저 해야 할 일은 방화벽 규칙 목록을 가져오는 것입니다. UFW status 명령에는 각 규칙 옆에 숫자를 표시하는 numbered 옵션이 있습니다.

  1. sudo ufw status numbered



Output
Status: active

     To                         Action      From
     --                         ------      ----
[ 1] 22                         ALLOW IN    15.15.15.0/24
[ 2] 80                         ALLOW IN    Anywhere

포트 80에서 HTTP 연결을 허용하는 규칙 2를 삭제하기로 결정한 경우 다음 UFW delete 명령에서 이를 지정할 수 있습니다. :

  1. sudo ufw delete 2

y/n로 응답할 수 있는 확인 메시지가 표시됩니다. y를 입력하면 규칙 2가 삭제됩니다. IPv6을 활성화한 경우 해당 IPv6 규칙도 삭제해야 합니다.

실제 규칙에 따라

규칙 번호의 대안은 삭제할 실제 규칙을 지정하는 것입니다. 예를 들어 allow http 규칙을 제거하려면 다음과 같이 작성할 수 있습니다.

  1. sudo ufw delete allow http

서비스 이름 대신 allow 80을 사용하여 규칙을 지정할 수도 있습니다.

  1. sudo ufw delete allow 80

이 방법은 IPv4 및 IPv6 규칙이 있는 경우 모두 삭제합니다.

9단계 - UFW 상태 및 규칙 확인

언제든지 다음 명령으로 UFW의 상태를 확인할 수 있습니다.

  1. sudo ufw status verbose

기본값인 UFW가 비활성화된 경우 출력은 다음과 같습니다.

Output
Status: inactive

UFW가 활성화된 경우(3단계를 따랐다면 활성화되어야 함) 출력에 활성 상태라고 표시되고 설정한 모든 규칙이 나열됩니다. 예를 들어 방화벽이 어디서나 SSH(포트 22) 연결을 허용하도록 설정된 경우 출력에 다음과 같은 내용이 포함될 수 있습니다.

Output
Status: active

To                         Action      From
--                         ------      ----
22/tcp                     ALLOW IN    Anywhere

UFW가 방화벽을 어떻게 구성했는지 확인하려면 status 명령을 사용하십시오.

10단계 - UFW 비활성화 또는 재설정(선택 사항)

UFW를 사용하지 않으려면 다음 명령으로 비활성화할 수 있습니다.

  1. sudo ufw disable

UFW로 만든 모든 규칙은 더 이상 활성화되지 않습니다. 나중에 활성화해야 하는 경우 언제든지 sudo ufw enable을 실행할 수 있습니다.

UFW 규칙이 이미 구성되어 있지만 다시 시작하기로 결정한 경우 재설정 명령을 사용할 수 있습니다.

  1. sudo ufw reset

이렇게 하면 UFW가 비활성화되고 이전에 정의한 모든 규칙이 삭제됩니다. 기본 정책은 언제든지 수정해도 원래 설정으로 변경되지 않습니다. 이렇게 하면 UFW를 새롭게 시작할 수 있습니다.

결론

이제 방화벽이 (적어도) SSH 연결을 허용하도록 구성되었습니다. 불필요한 연결을 제한하면서 서버에 필요한 다른 모든 수신 연결을 허용해야 합니다. 이렇게 하면 서버가 제대로 작동하고 안전한지 확인할 수 있습니다.

보다 일반적인 UFW 구성에 대해 알아보려면 UFW Essentials: Common Firewall Rules and Commands에 대한 이 자습서를 확인하십시오.