Eine Standardinstallation lauscht auf mehr Ports, als Sie denken. Eine Firewall, die standardmäßig abweist, macht aus „was könnte offen sein“ ein „was habe ich absichtlich geöffnet“ — eine viel kürzere Liste, über die sich nachdenken lässt.

Sehen Sie zuerst, was lauscht

ss -tulpn | grep LISTEN

Alles, was an 0.0.0.0 gebunden ist, ist aus dem Internet erreichbar. Eine Datenbank, die nur lokal erreichbar sein soll, muss an 127.0.0.1 gebunden sein — und das ist eine Änderung am Dienst, nicht an der Firewall.

Erlauben Sie SSH, bevor Sie einschalten

Eine standardmäßig abweisende Firewall einzuschalten, ohne zuvor SSH zu erlauben, trennt Sie sofort — und es gibt keinen Weg zurück außer der Anbieter-Konsole. Das ist die mit Abstand häufigste Art, sich selbst aus einem Server auszusperren.
ufw allow OpenSSH
ufw allow 80,443/tcp
ufw default deny incoming
ufw default allow outgoing
ufw enable

Prüfen

ufw status verbose

Was eine Firewall nicht tut

  • Sie hält keinen Angriff auf Port 443 auf — dieser Port ist absichtlich offen, und alles, was Ihre Anwendung erreicht, kommt dort an.
  • Sie patcht nichts. Ein veraltetes Plugin wird über genau den Port erreicht, den Sie öffnen wollten.
  • Sie schützt nicht vor einem gestohlenen Passwort bei einem Dienst, den Sie erlaubt haben.

Begrenzen Sie die SSH-Rate

ufw limit OpenSSH

Das weist eine Adresse nach sechs Versuchen in dreißig Sekunden ab. Wo ohnehin Schlüssel verlangt werden, ist es doppelt gemoppelt — und es hält das Log lesbar.

Schreiben Sie in einem Kommentar auf, warum jede Regel existiert. In einem Jahr hat die Frage „kann ich das schließen“ ohne das keine Antwort — also schließt niemand irgendetwas.