設定 - UFWのソースを表示

== 概要 ==
UFW (Uncomplicated Firewall) とは、Linuxのファイアウォール管理を簡単にするツールである。<br>
<br>
<u>※注意 1</u><br>
<u>ファイヤーウォールのルールは追加した順序で適用されるため、順序にも注意が必要となる。</u><br>
<u>新しいルールを追加する前に、既存のルールとの競合がないか確認すること。</u><br>
<br>
<u>※注意 2</u><br>
<u>本番環境での変更は、メンテナンス時間中に行うことが推奨される。</u><br>
<u>複雑なルールを設定する場合は、ドキュメント化を行うこと。</u><br>
<br><br>

== UFWのインストール ==
 # RHEL
 sudo dnf install ufw
 
 # SUSE
 sudo zypper install ufw
 
 # Raspberry Pi OS / PinePhone
 sudo apt install ufw
<br><br>

== 状態の確認 ==
 sudo ufw status
<br> 
詳細な情報を表示する。<br>
 sudo ufw status verbose
<br>
ルールを番号付きで表示する。<br>
 sudo ufw status numbered
<br><br>

== UFWの有効化 / 無効化 ==
 # UFWの有効化
 sudo ufw enable
 
 # UFWの無効化
 sudo ufw disable
<br><br>

== ポートの開放 (許可) ==
 sudo ufw allow <ポート番号>/<プロトコル  例: tcpまたはudp>
 
 # 実行例:
 sudo ufw allow 80/tcp  # HTTPポート80を開放
 sudo ufw allow 22      # SSHポート22を開放 (TCP / UDP両方)
 sudo ufw allow 53/udp  # DNSのUDPポート53を開放
<br>
ポート範囲を制御することもできる。<br>
 # ポート範囲を指定して許可
 sudo ufw allow 6000:6007/tcp
 sudo ufw allow 6000:6007/udp
<br><br>

== ポートの拒否 (クローズ) ==
 sudo ufw deny <ポート番号>/<プロトコル  例: tcpまたはudp>
 
 # 実行例:
 sudo ufw deny 80/tcp  # ポート80への接続を拒否
 sudo ufw deny 22      # ポート22への接続を拒否
<br><br>

== 特定のIPアドレスやサブネットの制御 ==
特定のIPからの接続を許可する。<br>
 sudo ufw allow from 192.168.1.100
<br>
特定のサブネットからの接続を許可する。<br>
 sudo ufw allow from 192.168.1.0/24
<br>
特定のIPの特定のポートへの接続を許可する。<br>
 sudo ufw allow from 192.168.1.100 to any port <ポート番号>
 
 # 実行例: 192.168.1.100から22番ポートのみを許可する場合
 sudo ufw allow from 192.168.1.100 to any port 22
<br>
特定のIPアドレスからのポート範囲を許可する。<br>
 sudo ufw allow from 192.168.1.100 to any port 6000:6007
<br><br>

== ファイヤーウォールのルールの削除 ==
ルール (許可した設定) を削除する。<br>
 sudo ufw delete allow 80/tcp
<br>
ルール (拒否した設定) を削除する。<br>
 sudo ufw delete deny 22
<br>
ルールの番号を指定してルールを削除する。<br>
 sudo ufw delete 5
<br><br>

== サービス名での制御 ==
利用可能なサービスを確認する。<br>
 less /etc/services
<br>
サービス名で許可する。<br>
 sudo ufw allow http
 sudo ufw allow ssh
<br><br>

== インターフェースベースのルール ==
特定のネットワークインターフェースに対するルールを設定する。<br>
 sudo ufw allow in on <ネットワークインターフェース名  例: eth0> to any port <ポート番号  例: 80>
 sudo ufw deny in on <ネットワークインターフェース名  例: eth1>
<br>
特定のインターフェースの特定のポートを許可する。<br>
 sudo ufw allow in on eth0 to any port 22
<br><br>

== デフォルトポリシーの設定 ==
デフォルトで全ての受信を拒否する。<br>
 sudo ufw default deny incoming
<br>
デフォルトで全ての送信を許可する。<br>
 sudo ufw default allow outgoing
<br>
送信も拒否する。<br>
 sudo ufw default deny outgoing
<br><br>

== レート制限の設定 ==
SSHへの接続を30秒間に6回までに制限する。<br>
 sudo ufw limit ssh
<br>
特定のポートにレート制限を設定する。<br>
 sudo ufw limit <ポート番号  例: 3306>
<br><br>

== アプリケーションプロファイルの使用 ==
利用可能なアプリケーションプロファイルを確認する。<br>
 sudo ufw app list
<br>
特定のアプリケーションプロファイルの詳細確認する。<br>
 sudo ufw app info '<プロファイル名  例: Apache Full>'
<br>
アプリケーションプロファイルを許可する。<br>
 sudo ufw allow '<プロファイル名  例: Apache Full>'
<br><br>

== NAT設定 ==
 vi /etc/ufw/before.rules
<br>
 # /etc/ufw/before.rulesファイル
 
 *nat
 :POSTROUTING ACCEPT [0:0]
 -A POSTROUTING -s 192.168.1.0/24 -o eth0 -j MASQUERADE
 COMMIT
<br><br>

== フォワーディングの設定 ==
フォワーディングを有効化する。<br>
 sudo vi /etc/default/ufw
<br>
 # /etc/default/ufwファイル
 
 DEFAULT_FORWARD_POLICY="ACCEPT"
<br>
IPフォワーディングを有効化する。<br>
 sudo vi /etc/ufw/sysctl.conf
<br>
 # /etc/ufw/sysctl.confファイル
 
 net/ipv4/ip_forward=1
 net/ipv6/conf/default/forwarding=1
<br><br>

== 複雑なルール設定 ==
特定のIPアドレスとポート番号を組み合わせる。<br>
 sudo ufw allow from 192.168.1.0/24 to any port 3306 proto tcp
<br>
特定のサブネットの特定ポートへのアクセスを拒否する。<br>
 sudo ufw deny from 10.0.0.0/8 to any port 25
<br><br>

== カスタムチェーンの作成 ==
 sudo vi /etc/ufw/before.rules
<br>
 # /etc/ufw/before.rulesファイル
 
 *filter
 :ufw-custom-chain - [0:0]
 -A ufw-custom-chain -p tcp --dport 80 -j ACCEPT
 COMMIT
<br><br>

== ログの設定 ==
UFWのログを有効化する。<br>
 sudo ufw logging on
<br>
UFWのログを無効化する。<br>
 sudo ufw logging off
<br>
また、ログレベルの設定を行うこともできる。<br>
 sudo ufw logging low     # 基本的なログ
 sudo ufw logging medium  # より詳細なログ
 sudo ufw logging high    # 最も詳細なログ
<br>
ログファイルは、/var/log/ufw.logファイルに存在する。<br>
<br><br>

== セキュリティ設定 ==
==== TCPステルススキャン対策 ====
 sudo ufw deny proto <tcp または udp> from any to any port <ポート番号  例: 113>
<br>
==== pingの制限 ====
 sudo ufw deny proto icmp --icmp-type echo-request
<br>
==== シンフラッド攻撃対策 ====
 sudo vi /etc/ufw/before.rules
<br>
 # /etc/ufw/before.rulesファイル
 
 -A ufw-before-input -p tcp --syn -m limit --limit 1/s -j ACCEPT
<br><br>

== ルールのリセット ==
全てのルールを削除する。<br>
 sudo ufw reset
<br><br>

== 自動起動の設定 ==
システム起動時にUFWを自動的に起動する。<br>
 sudo systemctl enable ufw
<br>
自動起動を無効にする。<br>
 sudo systemctl disable ufw
<br><br>


{{#seo:
|title={{PAGENAME}} : Exploring Electronics and SUSE Linux | MochiuWiki
|keywords=MochiuWiki,Mochiu,Wiki,Mochiu Wiki,Electric Circuit,Electric,pcb,Mathematics,AVR,TI,STMicro,AVR,ATmega,MSP430,STM,Arduino,Xilinx,FPGA,Verilog,HDL,PinePhone,Pine Phone,Raspberry,Raspberry Pi,C,C++,C#,Qt,Qml,MFC,Shell,Bash,Zsh,Fish,SUSE,SLE,Suse Enterprise,Suse Linux,openSUSE,open SUSE,Leap,Linux,uCLnux,Podman,電気回路,電子回路,基板,プリント基板
|description={{PAGENAME}} - 電子回路とSUSE Linuxに関する情報 | This page is {{PAGENAME}} in our wiki about electronic circuits and SUSE Linux
|image=/resources/assets/MochiuLogo_Single_Blue.png
}}

__FORCETOC__
[[カテゴリ:RHEL]][[カテゴリ:SUSE]][[カテゴリ:Raspberry_Pi]][[カテゴリ:PinePhone]]