Wolkra bulud firewall-ları gələn və çıxan trafiki serverlərinizə çatmazdan əvvəl filtrləyən pulsuz, stateful firewall-lardır və bir qayda dəstini ayrı-ayrı serverlərə və ya etiketə uyğun gələn bütün serverlərə tətbiq edə bilərsiniz. İstifadə etmədiyiniz portları bağlamağın ən sürətli yolu budur.
Bulud firewall-u nə edir
Bulud firewall-u serverinizin şəbəkə interfeysinin qarşısında dayanır. İcazə qaydasına uyğun gəlməyən paketlər əməliyyat sisteminə çatmamış atılır. Qaydalar serverdən kənarda saxlandığı üçün səhv konfiqurasiya olunmuş servis və ya yeni quraşdırma təsadüfən portu bütün dünyaya aça bilməz.
Əsas xüsusiyyətlər:
- Stateful: icazə verilən bağlantılara cavablar avtomatik keçir
- Protokola (TCP, UDP, ICMP), porta və ya port diapazonuna, mənbəyə və ya təyinata görə gələn və çıxan qaydalar
- Yan-yana IPv4 və IPv6 qaydaları
- Serverlərə və ya etiket seçicilərinə tətbiq olunur, beləliklə yeni serverlər ilk saniyədən qorunur
- Pulsuzdur, nə qədər faydalı qursanız da, məhdudiyyət yoxdur
Qaydalar necə işləyir
Qayda icazə verməyincə gələn trafik rədd edilir. Tipik veb server firewall-unun üç gələn qaydası olur:
| İstiqamət | Protokol | Port | Mənbə |
|---|---|---|---|
| Gələn | TCP | 22 | Ofisinizin və ya VPN-inizin ünvanı |
| Gələn | TCP | 80 | İstənilən |
| Gələn | TCP | 443 | İstənilən |
Çıxan qaydalar eyni şəkildə əks istiqamətdə işləyir. Onlar yalnız bir neçə tanınmış servislə, məsələn, paket mirroru, API və verilənlər bazanızla əlaqə saxlamalı olan qapalı serverlər üçün faydalıdır.
Etiketə görə tətbiq
Etiketlər firewall-ları hər server üçün ayrıca görülən işdən siyasətə çevirir. Serverlərə role=web və ya env=production kimi etiketlər verin, sonra firewall-u seçiciyə tətbiq edin. Etiketi olan hər server qaydaları alır, sonradan sizin, komanda yoldaşınızın və ya skriptin yaratdığı serverlər də daxil olmaqla. Etiketi silin, qaydalar tətbiq olunmağı dayandırır.
Konsolda
- Firewalls bölməsini açın və Create firewall seçin.
- Lazım olan portlar üçün gələn qaydalar, çıxışı məhdudlaşdırmaq istəyirsinizsə, çıxan qaydalar əlavə edin.
- Firewall-u serverlərə və ya etiket seçicisinə tətbiq edin.
- Qaydalar bir neçə saniyəyə qüvvəyə minir. Dəyişikliklər firewall-un əhatə etdiyi bütün serverlərə tətbiq olunur.
Firewall sənədlərində daha çox nümunə var, o cümlədən VPN ilə məhdudlaşdırılmış SSH və yalnız tətbiq serverlərindən əlçatan verilənlər bazası.
API vasitəsilə
Firewall-lar, qaydalar və onların hədəfləri Wolkra API-nin bir hissəsidir. Firewall qaydalarınızı repozitoriyanızda saxlayın və deploy skriptindən tətbiq edin, beləliklə dəyişikliklər kod kimi nəzərdən keçirilir. Composer-də infrastruktura firewall əlavə edib onu kətanda serverlərə qoşa bilərsiniz.
Bulud firewall-u və host firewall-u birlikdə
| Bulud firewall-u | Host firewall-u (ufw, nftables) | |
|---|---|---|
| Harada işləyir | Serverin qarşısında | Serverin daxilində |
| Rebuild-dən sonra qalır | Bəli | Yalnız image-iniz onu qurarsa |
| Çoxlu serverə tətbiq olunur | Etiketə görə | Hər server üzrə |
| ƏS-dəki səhv konfiqurasiya ilə söndürülə bilər | Xeyr | Bəli |
Çoxqatlı müdafiə üçün hər ikisindən istifadə edin. Ubuntu serverini qorumaq bələdçisi bulud firewall-u ilə yaxşı uyğunlaşan host səviyyəli qurulumu göstərir.
Kiçik qayda dəsti ilə başlayın
Servisinizin işləməsinə imkan verən ən az qayda ilə başlayın, ehtiyac yarandıqca əlavə edin. Sonradan bir port da açmaq iyirmi açıq portdan hücumçunun hansından istifadə etdiyini aşkarlamaqdan çox asandır.
Tipik istifadə halları
- Veb hostinq serverlərində yalnız 80 və 443-ü açın
- SSH-ı WireGuard VPN-inizlə məhdudlaşdırın
- Verilənlər bazası portuna yalnız tətbiq serverlərindən icazə verin
- CI runner-ləri yalnız çıxan trafiklə məhdudlaşdırın
- Açıq olmamalı olan self-hosted alətləri qoruyun
Bilməli olduğunuz məhdudiyyətlər
- Firewall-lar trafiki filtrləyir; onlar DDoS qoruma xidməti deyil.
- Qaydalar eyni lokasiyadakı serverlərə tətbiq olunur. Bu gün bu, Frankfurt-dur.
- Şəxsi şəbəkədəki serverlər arasındakı trafik də idarə oluna bilər; qaydaları hər iki tərəf üçün planlaşdırın.
Əlaqəli məhsullar
- Bulud serverləri
- Şəxsi şəbəkələr və NAT gateway-lər
- Yük balanslaşdırıcıları
- Hesab səviyyəsində qoruma üçün komandalar və təhlükəsizlik
Lazım olmayan portları bağlayın
Firewall-lar pulsuzdur, ona görə onlardan imtina etməyə heç bir səbəb yoxdur. Wolkra-da hesab yaradın və Frankfurtdakı ilk serverinizi qoruyun.
Tez-tez verilən suallar
Wolkra firewall-ları ödənişlidirmi?
Xeyr. Bulud firewall-ları pulsuzdur. Lazım olduğu qədər yarada və serverlərinizə ödənişsiz tətbiq edə bilərsiniz.
Firewall-lar stateful-durmu?
Bəli. Bir istiqamətdə bağlantıya icazə verdikdə cavablara avtomatik icazə verilir, ona görə yalnız başlamaq istədiyiniz trafik üçün qayda yazırsınız.
Çıxan trafiki də filtrləyə bilərəmmi?
Bəli. Firewall-ların gələn və çıxan qaydaları var, beləliklə həm serverə kimin qoşula biləcəyini, həm də serverin hansı servislərə qoşula biləcəyini məhdudlaşdıra bilərsiniz.
Firewall-u çoxlu serverə necə tətbiq etməli?
Onu env=production kimi etiket seçicisinə tətbiq edin. Həmin etiketi olan hər server, sonradan yaradacağınız serverlər də daxil olmaqla, qaydaları avtomatik alır.
Serverin daxilində də firewall işlətməliyəmmi?
İşlədə bilərsiniz. Bulud firewall-u trafiki serverə çatmazdan əvvəl filtrləyir, ufw və ya nftables kimi host firewall-u isə image ilə birlikdə gedən ikinci qat əlavə edir.