Aldolat.it — Post con tag Firewall

La gestione del firewall in Arch Linux

aldolat@gmail.com (Aldo Latino) — Sun, 09 Mar 2025 11:23:58 +0100

È da tanto tempo che non attivo il firewall nella mia installazione Linux, e questo non è propriamente un bene. Fidandomi del fatto che nella mia rete locale non abbiamo dispositivi 'pericolosi', non ne ho mai sentito l'esigenza. Ma è sempre bene attivarlo. E la sua gestione oggi è davvero alla portata di tutti.

* * *

Introduzione

Quando un computer è collegato a una rete, questo avrà a che fare con la gestione di pacchetti IP che gli arrivano: il sistema dovrà prendere decisioni su cosa farne. In GNU/Linux la loro gestione è demandata a un componente del kernel che si chiama netfilter: con questo componente è possibile rispondere a questi pacchetti, ignorarli, bloccarli, instradarli da qualche altra parte. In poche parole, netfilter funge da firewall per la nostra macchina in rete. Per poter dire a netfilter cosa fare si possono usare due strumenti: iptables, quello storico per questa operazione, e nftables, più recente e proposto come sostituto del primo.

Ora, poiché iptables e nftables hanno una loro sintassi che non è proprio semplicissima, è disponibile da tempo uno strumento che rende la gestione del firewall alla portata di tutti: Uncomplicated firewall, noto anche come UFW.

UFW può gestire sia iptables che nftables. Nella mia installazione di Arch Linux uso iptables, anche perché è quello che conosco da più tempo ed è quello che è installato già di default.

Installazione di Uncomplicated firewall

Per installare UFW su Arch Linux, eseguire:

sudo pacman -S ufw

Dopo l’installazione, assicurarsi che il servizio sia attivo e che venga avviato assieme al sistema:

sudo systemctl enable ufw

sudo systemctl start ufw

Abilitare UFW con:

sudo ufw enable

Gestione delle regole

In questo momento, cioè subito dopo l’installazione, UFW è impostato così:

blocca tutte le connessioni in ingresso;
permette tutte le connessioni in uscita.

Dobbiamo quindi aggiungere delle regole. Ci sono due modi per farlo:

usare regole (app) preimpostate;
impostare delle regole personalizzate.

Uso delle regole preimpostate

UFW fornisce alcune configurazioni predefinite per applicazioni comuni. Per visualizzare l’elenco delle configurazioni disponibili, dare:

sudo ufw app list

L’output mostrerà un elenco di applicazioni con profili preconfigurati:

Available applications:
  AIM
  Bonjour
  CIFS
  DNS
  Deluge
  IMAP
  IMAPS
  IPP
  KTorrent
  Kerberos Admin
  Kerberos Full
  Kerberos KDC
  Kerberos Password
  LDAP
  LDAPS
  LPD
  MSN
  MSN SSL
  Mail submission
  NFS
  POP3
  POP3S
  PeopleNearby
  SMTP
  SSH
  Socks
  Telnet
  Transmission
  Transparent Proxy
  VNC
  WWW
  WWW Cache
  WWW Full
  WWW Secure
  XMPP
  Yahoo
  qBittorrent
  svnserve

Per ottenere maggiori dettagli su un profilo specifico, dare:

sudo ufw app info NOME_APP

Ad esempio, per visualizzare le informazioni sul profilo SSH:

sudo ufw app info SSH

Una volta individuata la regola preimpostata (ad esempio SSH), applicarla con questo comando:

sudo ufw allow SSH

Uso di regole personalizzate

La sintassi per impostare una regola personalizzata è più o meno la seguente:

sudo ufw [allow|deny] from [indirizzo_IP] to [indirizzo_IP|any] port [numero_porta] comment "[commento]"

Ad esempio:

sudo ufw allow from 192.168.0.0/24 to any port 22 comment "SSH"

Nota

Il to any significa che è permesso il traffico a qualunque nostro indirizzo IP. Potremmo ad esempio avere due schede di rete che hanno quindi due indirizzi IP differenti, per cui permettiamo con questa regola il traffico verso (to) qualunque indirizzo (any).

Oppure si può usare un modo più breve. In questo esempio si utilizza una porta personalizzata per SSH (2222):

sudo ufw allow 2222/tcp

Altri esempi:

sudo ufw allow 80/tcp
sudo ufw allow 443/tcp

sudo ufw deny from 192.168.1.100

sudo ufw deny 8080/tcp

sudo ufw allow from 192.168.1.0/24 to any port 22 proto tcp

Visualizzare le regole attuali

Si possono vedere le regole attuali in modi diversi, ognuno con un suo output:

sudo ufw status

sudo ufw status verbose

sudo ufw status numbered

Ad esempio:

$ sudo ufw status verbose 
Status: active
Logging: on (low)
Default: deny (incoming), allow (outgoing), disabled (routed)
New profiles: skip

To                         Action      From
--                         ------      ----
22                         ALLOW IN    192.168.0.0/24             # SSH
137,138/udp                ALLOW IN    192.168.0.0/24             # Samba NetBIOS UDP
139,445/tcp                ALLOW IN    192.168.0.0/24             # Samba SMB TCP
1714:1764/tcp              ALLOW IN    192.168.0.0/24             # KDE Connect TCP
1714:1764/udp              ALLOW IN    192.168.0.0/24             # KDE Connect UDP

Eliminare una regola

Individuare il numero della regola con:

sudo ufw status numbered

e quindi:

sudo ufw delete NUMERO_REGOLA

Monitorare il firewall

Abilitare il logging

La registrazione degli eventi (logging) di UFW va attivata con:

sudo ufw logging on

È possibile poi specificare quali log conservare. I livelli di log disponibili sono:

off → nessun log
low → solo i pacchetti bloccati
medium → connessioni accettate e bloccate
high → dettagli estesi su ogni pacchetto
full → ancora più dettagli

Il livello che solitamente scelgo è low:

sudo ufw logging low

Controllare i log

Su Arch Linux, i log di UFW non vengono salvati in /var/log/ufw.log, come avviene in altre distribuzioni. Arch invece utilizza systemd-journald per la gestione dei log di UFW.

Per vedere i log dare:

sudo journalctl -k | grep 'UFW'

Oppure:

sudo dmesg | grep 'UFW'

Consiglio

Poiché dmesg sarà popolato da messaggi di UFW, è possibile avviare dmesg senza visualizzarli. Dare:

sudo dmesg | sed '/UFW/d'

Disabilitare e reimpostare il firewall

Se si ha bisogno di disattivare temporaneamente UFW:

sudo ufw disable

Per rimuovere completamente tutte le regole e reimpostare UFW:

sudo ufw reset

Regole che solitamente uso

Io solitamente non uso le regole preimpostate, ma preferisco definirle a mano. Scrivo qui quelle che uso io.

SSH

SSH usa questa porta e protocollo:

Porta	Protocollo	Uso
`22`	TCP	Connessione SSH

Per cui questa la regola da impostare:

sudo ufw allow from 192.168.0.0/24 to any port 22 comment "SSH"

Come si vede non è necessario specificare proto tcp.

Samba

Samba usa queste porte e protocolli:

Porta	Protocollo	Uso
`137`	UDP	NetBIOS Name Service
`138`	UDP	NetBIOS Datagram Service
`139`	TCP	NetBIOS Session Service
`445`	TCP	SMB Direct

Per cui queste le regole da impostare:

sudo ufw allow from 192.168.0.0/24 to any port 137,138 proto udp comment "Samba NetBIOS UDP"

sudo ufw allow from 192.168.0.0/24 to any port 139,445 proto tcp comment "Samba SMB TCP"

KDE Connect

KDE Connect usa queste porte e protocolli:

Porta	Protocollo	Uso
`1714-1764`	TCP	Comunicazione principale tra dispositivi
`1714-1764`	UDP	Scoperta automatica dei dispositivi nella rete

Per cui queste le regole da impostare:

sudo ufw allow from 192.168.0.0/24 to any port 1714:1764 proto tcp comment "KDE Connect TCP"

sudo ufw allow from 192.168.0.0/24 to any port 1714:1764 proto udp comment "KDE Connect UDP"

L'articolo La gestione del firewall in Arch Linux è uno scritto di aldolat.it. Rispettane le condizioni di licenza.

Un firewall per WordPress

aldolat@gmail.com (Aldo Latino) — Thu, 21 Jun 2012 20:52:28 +0000

Gianni, esperto di sicurezza informatica, ha reso disponibile sul repository di WordPress il suo plugin WP WAF. Nel post dell’autore c’è una riga gentile che mi riguarda e che mi ha sorpreso non poco.

L'articolo Un firewall per WordPress è uno scritto di aldolat.it. Rispettane le condizioni di licenza.

Gufw, una GUI per il firewall

aldolat@gmail.com (Aldo Latino) — Mon, 15 Sep 2008 09:19:34 +0000

Ho scritto più volte sulla gestione delle regole del firewall impostate in iptables condividendo con voi un file con alcuni parametri già pronti. Questo file mi ha sempre soddisfatto pienamente: lo modifico lì dove mi serve, aggiungo e tolgo regole a seconda dei casi specifici. Il tutto, ovviamente, avviene in ambiente testuale e bisogna sapere di preciso cosa scrivere.

Diversamente da ciò, si può operare su queste regole per il firewall tramite interfacce grafiche: ne esistono diverse e proprio oggi, leggendo ubuntugeek.com, ne ho provata una, Gufw, un acronimo per Gui for Uncomplicated FireWall.

Installazione e uso di Gufw

Per utilizzarlo è necessario prelevare il file deb dal sito dell’applicazione. Una volta scaricato e installato, troverete Gufw sotto Sistema > Amministrazione > Firewall Configuration. Ecco come si presenta una volta avviato:

Il firewall risulta disattivato, nel senso che non sono state impostate regole diverse da quelle predefinite: il firewall di Linux, cioè Netfilter, è sempre attivo, ma le regole predefinite semplicemente chiudono le porte, senza impostarle come invisibili, vale a dire “stealth”, cosa che con Gufw possiamo fare in un lampo. Per fare una prova, potete recarvi su GRC ShieldsUP e se attivate Gufw il PC risulterà “Stealth”, cioè invisibile, e passerà il test. Se, al contrario, lo disattivate, il PC risulterà “Closed”, senza passare il test: questo significa che le porte hanno risposto alle richieste effettuate, anche se comunque non hanno concesso di entrare. Con alcune regole precise, invece, il PC risulterà invisibile perché le porte risulteranno non presenti.

Attivate, dunque, Gufw, che si presenterà così:

Niente di più facile! Nella scheda “Semplice” potete scegliere se permettere o bloccare una determinata porta o un servizio e se su TCP o su UDP. Nella scheda “Preconfigurata”, invece, potete selezionare alcuni servizi già pronti per essere permessi o impediti, oppure potete direttamente bloccare o sbloccare l’accesso di programmi come Transmission, Deluge o Azureus:

Nella scheda “Avanzate” avete libertà di impostare con più precisione il vostro firewall, tramite range di indirizzi IP e porte.

Il programma, una volta avviato e impostato nelle regole, scrive i parametri e può anche essere chiuso. Le regole continueranno a funzionare, senza necessità di tenere avviato Gufw. Nella scheda delle impostazioni ecco cosa trovate:

A me sta risultando molto comodo, ad esempio, aprire la porta 21 del servizio FTP quando mi serve, anziché aprire il file di testo contenente le regole e riavviare il firewall.

Come già detto, esistono altre interfacce che svolgono lo stesso lavoro e Gufw mi sembra una di quelle da consigliare per la sua semplicità e immediatezza di utilizzo.

L'articolo Gufw, una GUI per il firewall è uno scritto di aldolat.it. Rispettane le condizioni di licenza.

Per chi ha seguito i due post sul firewall…

aldolat@gmail.com (Aldo Latino) — Mon, 02 Apr 2007 20:20:10 +0000

Desiderate gestire il firewall in modo semplice e veloce da interfaccia grafica? Leggete il post apposito!

Un annuncio importante per chi avesse seguito i miei due post sul firewall (qui e qui).
Da una segnalazione di un utente del mio blog, ho visto che i due file *.txt che definivano le regole per il firewall di Linux erano stati manomessi. Questi file risiedevano esternamente allo spazio aldolat.it. All’interno dei file erano state aggiunte alcune sezioni javascript che sinceramente non so cosa comportano… Comunque la situazione è stata risolta. I due file sono stati compressi e nei due post relativi sono state inserite le stringhe MD5 per calcolarne l’hash.

Chiedo a chiunque abbia scaricato quei file di controllare che non ci siano sezioni javascript nel file /etc/init.d/firewall (o firewall-amule o come lo avete chiamato voi). Se così fosse, scaricatevi i due file sotto linkati e sostituite quello che avete nella vostra /etc/init.d/.

I due file sono questi:

~~[download id=”1″]~~
con hash MD5 3d7389fac90c30195da9b8301e8a9eb8

~~[download id=”3″]~~
con hash MD5 cddeac63bb5d6a7e7a11a2c1b88253c7

Scaricate quello che usate e mettete in stop il firewall:

sudo /etc/init.d/firewall stop

sostituendo a firewall il nome che avete dato al file in /etc/init.d/.
Sostituite il file sovrascrivendolo, ad esempio:

sudo cp firewall /etc/init.d/

e riavviatelo con:

sudo /etc/init.d/firewall start

L'articolo Per chi ha seguito i due post sul firewall… è uno scritto di aldolat.it. Rispettane le condizioni di licenza.

Firewall Iptables Amule

aldolat@gmail.com (Aldo Latino) — Thu, 09 Nov 2006 19:55:36 +0000

Desiderate gestire il firewall in modo semplice e veloce da interfaccia grafica? Leggete il post apposito!

Dopo aver seguito il post sulle regole da definire per Iptables, vi propongo qui una modifica a queste per poter ottenere un ID migliore in Amule. È evidente che se modificate le porte che usa Amule, dovete modificare questi valori anche nel file delle regole che vi ho proposto. Per facilitarvi le cose vi propongo un file di testo da scaricare e sostituire a quello che vi è suggerito nella guida di cui sopra; se non avete seguito quella guida e state solo ora settando queste regole, passate direttamente al punto 2.

1. Avete seguito l’altro post di questo blog

Scaricare il seguente file:

~~[Regole Iptables per Amule]~~

e calcolarne l’MD5 per verificare che non ci siano state manomissioni dacché è stato messo sul web:

md5sum firewall-amule.tar.gz

Deve restituirvi questa stringa:

cddeac63bb5d6a7e7a11a2c1b88253c7

se è diversa non usate il file e segnalatemi qui la cosa.

Eliminiamo il vecchio file delle regole con:

sudo rm /etc/init.d/firewall

sudo update-rc.d firewall remove

Scompattiamo il file (tasto destro ed Estrai qui). Rendiamo eseguibile il file firewall-amule con

chmod 755 firewall-amule

Copiamolo nella cartella /etc/init.d/:

sudo cp firewall-amule /etc/init.d/

Attiviamo lo script in modo che parta in automatico:

sudo update-rc.d firewall-amule defaults

Facciamolo partire in questa sessione con:

sudo /etc/init.d/firewall-amule start

Avete finito.

2. Non avete mai definito delle regole per iptables

Scaricare il file

~~[Regole Iptables per Amule]~~

e calcolarne l’MS5 per verificare che non ci siano state manomissioni dacché è stato messo sul web:

md5sum firewall-amule.tar.gz

Deve restituirvi questa stringa:

cddeac63bb5d6a7e7a11a2c1b88253c7

se è diversa non usate il file e segnalatemi qui la cosa.
Rendiamo eseguibile il file con

chmod 755 firewall-amule

Copiamolo nella cartella /etc/init.d/:

sudo cp firewall-amule /etc/init.d/

Attiviamo lo script in modo che parta in automatico:

sudo update-rc.d firewall-amule defaults

Facciamolo partire in questa sessione con:

sudo /etc/init.d/firewall-amule start

Avete finito.

L'articolo Firewall Iptables Amule è uno scritto di aldolat.it. Rispettane le condizioni di licenza.

La sicurezza del firewall: Linux e Windows

aldolat@gmail.com (Aldo Latino) — Mon, 18 Sep 2006 20:01:42 +0000

In questi giorni sto provando alcuni software opensource per la creazione e manutenzione di siti e forum, rispettivamente Joomla e Simple Machines Forum.

Per usarli bisogna installare in locale Apache, PHP e MySQL. Ed io, anziché installarli singolarmente, utilizzo XAMPP, un pacchetto che li include in un colpo solo! Una volta installato, abbiamo questi server attivi e possiamo installarci Joomla e SMF e provarli in locale prima di installarli nel nostro spazio web.

Mentre li usavo mi sono chiesto che sicurezza avesse il sistema, se cioè ci fossero porte vulnerabili mentre era attivo Apache & Co. Sono andato su Shields UP e ho testato lì il sistema. Risultato: PASSED! Evvai!! Linux è al sicuro!

È chiaro che volevo sapere se la stessa cosa funzionava su Windows, dove ho installato ZoneAlarm Internet Security Suite (che pago da due anni e di cui sono stato abbastanza soddisfatto, se non fosse per la poca velocità dell’antivirus, mooolto meno veloce della Ferrari che è Nod32, che non acquistai a suo tempo perché non lo vendevano su Internet, ma ora sì…).

Dunque, installo anche su Windows XAMPP. Faccio il test su Shields UP. Risultato: FAILED! 🙁

Ora, non voglio assolutamente criticare Windows, me ne guardo bene. Io con Windows ci sono cresciuto, con Windows ho imparato a usare il computer, con Windows ho passato ore e ore; e lo devo dire: l’ho amato e difeso da chi ha sempre detto che il Mac è superiore. Il computer è uno strumento (non il fine), così come il suo sistema operativo: al termine possiamo arrivare agli stessi risultati. E ve lo dice uno che col computer ci lavora e, guarda caso, usa Mac (OSX ed OS9), Windows (2000, 2003 Server e XP) ed il mio favorito Ubuntu.

Quello che mi spinge a riflettere sono due punti.

1. In Linux il firewall è leggero e potente

In Linux (nella fattispecie Ubuntu) c’è gratis un firewall potentissimo e leggerissimo (neanche si sente) che si configura con poche righe in un file di testo.

In Windows solo ora hanno messo un firewall di sistema che fino a poco tempo fa proteggeva solo dall’esterno (non impediva ai pacchetti di comunicare verso l’esterno; non saprei dirvi se ora l’hanno modificato); per cui è una scelta obbligata prendersi un firewall decente come ZoneAlarm (di tutto rispetto: ZA mi fa restituire nei test un bel “Passed”), magari con qualche ammennicolo in più come l’antispyware, l’antispam, ecc. Il pc si appesantisce e intanto hai speso un bel po’ di soldini.

2. In Linux non si ragiona per software ma per porte

Già, in Linux il firewall non bada al software che vuole accedere ad Internet, ma alle porte, le quali sono chiuse di default dall’esterno (dobbiamo essere noi a dirgli come gestire le porte (vedi qui).

In Windows, invece, si ragiona principalmente per software. In genere il firewall ti chiede: “Questo software vuole accedere ad Internet. Che faccio?”. E tu: “Boh, … sì, digli di sì”. E poi ancora: “Questo software vuole accettare connessioni da Internet. Che faccio?”. E tu, esterrefatto: “E che ne so? Bah, tanto è un software che funge da server… digli di sì”. E ti trovi fregato: le porte sono aperte!

Ora, il punto è questo: se io chiudo le porte, a che caspita mi serve che un firewall mi faccia domande? Che ci sta a fare lui lì? Non deve essere lui a sapere quando bloccare un software?

Certo, rispondo io, se il firewall ragionasse per porte e non per software! Forse è più difficile ragionare per porte, ma sicuramente avremo il pc protetto in modo migliore.

L'articolo La sicurezza del firewall: Linux e Windows è uno scritto di aldolat.it. Rispettane le condizioni di licenza.

Settare il firewall con iptables

aldolat@gmail.com (Aldo Latino) — Thu, 31 Aug 2006 19:44:20 +0000

Desiderate gestire il firewall in modo semplice e veloce da interfaccia grafica? Leggete il post apposito!

Utilizzare Linux per navigare in sicurezza in Internet è un buon primo passo, ma non basta. Bisogna settare bene il proprio firewall, che è installato di default nella propria distro Ubuntu. Le regole del firewall si definiscono con iptables.

Nel magnifico forum di Ubuntu si trova una marea di informazioni su come settare ogni aspetto del proprio amato sistema operativo, così come informazioni precise su iptables.

Lì ho trovato un topic da cui ho tratto uno script per iptables. Lo script è di Mizar — cui va il mio più bel ringraziamento — che lo ha pubblicato in questo post (mi pare che per poter scaricare l’allegato di quel post bisogna essere registrati). Senza questo script i vari tool di verifica online del proprio sistema mi davano risultati pessimi; con iptables configurato a dovere il sistema risultava stealth e quindi al riparo da malintenzionati.

Pubblico lo script anzitutto per promemoria personale (secondo il fine di questo blog) e a perpetua disponibilità (!) di tutti.

Scaricare il file

~~[Regole Iptables]~~

e calcolarne l’MD5 per verificare che non ci siano state manomissioni dacché è stato messo sul web:

md5sum firewall.tar.gz

Deve restituirvi questa stringa:

3d7389fac90c30195da9b8301e8a9eb8

se è diversa non usate il file e segnalatemi qui la cosa.

Scompattiamo il file (tasto destro ed Estrai qui). Rendiamo eseguibile il file firewall con

chmod 755 firewall

Poi copiamolo nella directory /etc/init.d/:

sudo cp firewall /etc/init.d

e facciamo eseguire al sistema ad ogni avvio della macchina:

sudo update-rc.d firewall defaults

Avviamo il firewall in questa sessione con:

sudo /etc/init.d/firewall start

Apriamo il browser e puntiamo su http://www.pcflank.com/ oppure su https://www.grc.com/x/ne.dll?bh0bkyd2. In questi due siti potrete provare se iptables funziona a dovere. Io ho provato e tutte le porte erano Stealth! 😉

Buon firewall a tutti! 🙂

Se volete configurare il firewall per far andare bene Amule, leggete il post apposito.

L'articolo Settare il firewall con iptables è uno scritto di aldolat.it. Rispettane le condizioni di licenza.