Palomuurit

Wolkran palomuuri on maksuton, tilallinen saapuvan ja lähtevän liikenteen sääntökokonaisuus, joka suodattaa liikenteen ennen kuin se saapuu palvelimillesi. Luo sääntökokonaisuus kerran ja liitä se yksittäisiin palvelimiin tai kaikkiin palvelimiin, jotka vastaavat tunnistevalitsinta.

Miten palomuurit toimivat

• Tilallinen. Sallittujen yhteyksien paluuliikenne sallitaan automaattisesti.
• Saapuva ja lähtevä. Säännöt määräävät, mikä saa saapua palvelimelle, ja halutessasi myös sen, mitä palvelin saa lähettää.
• Palvelimen ulkopuolella. Säännöt toimivat verkossa, joten ne pysyvät voimassa, vaikka palvelimen ohjelmisto olisi väärin määritetty tai murrettu.
• Jaettu. Yksi palomuuri voi suojata monta palvelinta. Muuta sääntöä kerran, niin muutos koskee niitä kaikkia.

Luo palomuuri

1. Avaa konsolissa Palomuurit ja valitse Luo palomuuri.
2. Anna sille nimi, esimerkiksi web-public.
3. Lisää säännöt. Jokaisella säännöllä on suunta, protokolla (TCP, UDP, ICMP ja niin edelleen), tarvittaessa portti tai porttialue sekä lähde- tai kohdeosoitteet.
4. Liitä se palvelimiin tai tunnistevalitsimeen.
5. Tallenna.

Liitä palvelimiin tai tunnisteisiin

Yksittäiset palvelimet ovat yksinkertaisin vaihtoehto pieneen ympäristöön.

Tunnistevalitsimet skaalautuvat paremmin. Anna palvelimille tunnisteita, kuten role=web tai env=prod, ja liitä palomuuri valitsimeen role=web. Jokainen palvelin, jolla on tämä tunniste, myös myöhemmin luodut, saa säännöt automaattisesti. Tunnisteet asetetaan, kun luot palvelimen, tai myöhemmin palvelinnäkymässä.

Esimerkkisääntöjä

Alla olevat osoitealueet ovat esimerkkejä. Korvaa ne oman toimistosi, kotisi tai VPN:si osoitealueella.

Julkinen verkkopalvelin

Tietokanta yksityisverkossa

Yhdistä tämä palvelimeen, jolla ei ole lainkaan julkista IP-osoitetta; katso yksityisverkot.

WireGuard VPN

Katso WireGuard-opas.

Lähtevän liikenteen säännöt

Monissa kokoonpanoissa kaikki lähtevä liikenne sallitaan ja vain saapuva suodatetaan. Jos rajoitat lähtevää liikennettä, muista, mitä palvelin tarvitsee:

• DNS (UDP ja TCP 53) nimipalvelimellesi;
• HTTP ja HTTPS (TCP 80 ja 443) pakettipäivityksiä varten;
• NTP (UDP 123) kelloa varten;
• SMTP tai sähköpostin välityspalvelimesi, jos palvelin lähettää sähköpostia.

Tarkista sääntöjen yhteenveto konsolissa ennen tallentamista ja testaa sen jälkeen palvelimelta komennolla curl -I https://example.com.

Palomuurit ja kuormantasaajat

Kun palvelimet ovat kuormantasaajan takana, salli sovelluksen portti kuormantasaajan verkosta äläkä kaikkialta. Jos kohteet tavoitetaan yksityisverkon kautta, salli vain kyseisen verkon osoitealue.

Palomuurit ja Docker

Docker julkaisee konttien portit omilla iptables-säännöillään, jotka ohittavat palvelimen UFW:n. Pilvipalomuuriin tämä ei vaikuta, joten se on luotettava tapa pitää konttien portit yksityisinä. Docker Compose -opas selittää toimintatavan.

Vianetsintä

• SSH-yhteys lukittu: muokkaa palomuuria niin, että se sallii nykyisen osoitteesi, tai irrota se palvelimesta. Palvelinnäkymän selainkonsoli toimii ilman verkkoyhteyttä.
• Palvelu ei vastaa: tarkista pilvipalomuuri, sitten UFW (sudo ufw status) ja sitten, kuunteleeko palvelu (sudo ss -tlnp).
• Toimii IPv4:llä mutta ei IPv6:lla: varmista, että sääntö sallii molemmat osoiteperheet.

API

Palomuurit ovat käytettävissä API:n kautta osoitteessa https://api.wolkra.com/v1/firewalls. Tunnistautumisesta kerrotaan sivulla API-tunnisteet.

Lisää taustatietoa tuotesivulla: palomuurit.