Wolkran pilvipalomuurit ovat ilmaisia, tilallisia palomuureja, jotka suodattavat saapuvan ja lähtevän liikenteen ennen kuin se saavuttaa palvelimesi. Voit kohdistaa yhden sääntökokoelman yksittäisiin palvelimiin tai jokaiseen palvelimeen, jolla on tietty tunniste. Ne ovat nopein tapa sulkea portit, joita et käytä.
Mitä pilvipalomuuri tekee
Pilvipalomuuri sijaitsee palvelimesi verkkoliitännän edessä. Paketit, jotka eivät vastaa mitään sallivaa sääntöä, hylätään ennen kuin ne koskaan saavuttavat käyttöjärjestelmän. Koska säännöt ovat palvelimen ulkopuolella, väärin määritetty palvelu tai tuore asennus ei voi vahingossa avata porttia koko maailmalle.
Tärkeimmät ominaisuudet:
- Tilallinen: sallittujen yhteyksien vastaukset kulkevat automaattisesti
- Saapuvat ja lähtevät säännöt protokollan (TCP, UDP, ICMP), portin tai porttivälin sekä lähteen tai kohteen mukaan
- IPv4- ja IPv6-säännöt rinnakkain
- Kohdistus palvelimiin tai tunnistevalitsimiin, joten uudet palvelimet voidaan suojata ensimmäisestä sekunnista lähtien
- Ilmainen, eikä hyödyllisyydelle ole rajaa
Näin säännöt toimivat
Saapuva liikenne estetään, ellei jokin sääntö salli sitä. Tyypillisen web-palvelimen palomuurissa on kolme saapuvaa sääntöä:
| Suunta | Protokolla | Portti | Lähde |
|---|---|---|---|
| Saapuva | TCP | 22 | Toimistosi tai VPN:si osoite |
| Saapuva | TCP | 80 | Mikä tahansa |
| Saapuva | TCP | 443 | Mikä tahansa |
Lähtevät säännöt toimivat samalla tavalla toiseen suuntaan. Niistä on hyötyä tiukasti rajatuilla palvelimilla, joiden pitää viestiä vain muutaman tunnetun palvelun kanssa, kuten pakettipeilin, API:n ja tietokantasi.
Kohdistus tunnisteella
Tunnisteiden avulla palomuurista tulee palvelinkohtaisen urakan sijaan käytäntö. Anna palvelimille tunnisteita, kuten role=web tai env=production, ja kohdista palomuuri valitsimeen. Jokainen palvelin, jolla on tunniste, saa säännöt, myös palvelimet, jotka sinä, tiimikaveri tai skripti luo myöhemmin. Poista tunniste, niin säännöt lakkaavat koskemasta palvelinta.
Konsolissa
- Avaa Palomuurit ja valitse Luo palomuuri.
- Lisää saapuvat säännöt tarvitsemillesi porteille ja lähtevät säännöt, jos haluat rajoittaa ulospäin suuntautuvaa liikennettä.
- Kohdista palomuuri palvelimiin tai tunnistevalitsimeen.
- Säännöt tulevat voimaan sekunneissa. Muutokset koskevat jokaista palvelinta, jota palomuuri kattaa.
Palomuurien dokumentaatiossa on lisää esimerkkejä, kuten VPN:ään rajattu SSH ja tietokanta, johon pääsee vain sovelluspalvelimilta.
API:n kautta
Palomuurit, säännöt ja niiden kohteet ovat kaikki osa Wolkran API:a. Pidä palomuurisääntösi repositoriossasi ja ota ne käyttöön julkaisuskriptillä, jolloin muutokset katselmoidaan kuten koodi. Composerissa voit lisätä palomuurin kokonaisuuteen ja yhdistää sen palvelimiin kankaalla.
Pilvipalomuuri ja palvelimen oma palomuuri yhdessä
| Pilvipalomuuri | Palvelimen palomuuri (ufw, nftables) | |
|---|---|---|
| Missä se toimii | Palvelimen edessä | Palvelimen sisällä |
| Säilyy uudelleenrakennuksessa | Kyllä | Vain jos imagesi määrittää sen |
| Koskee monia palvelimia | Tunnisteen avulla | Palvelinkohtaisesti |
| Käyttöjärjestelmän virheellinen asetus voi kytkeä sen pois | Ei | Kyllä |
Käytä molempia kerrostettuun suojaukseen. Opas Ubuntu-palvelimen suojaamisesta näyttää palvelintason kokoonpanon, joka sopii hyvin yhteen pilvipalomuurin kanssa.
Aloita pienellä sääntökokoelmalla
Aloita vähimmällä määrällä sääntöjä, joilla palvelusi toimii, ja lisää niitä tarpeen mukaan. On paljon helpompaa avata myöhemmin yksi portti lisää kuin selvittää, mitä kahdestakymmenestä avoimesta portista hyökkääjä käytti.
Tyypillisiä käyttötapoja
- Avaa vain portit 80 ja 443 webhosting-palvelimilla
- Rajaa SSH WireGuard-VPN:ään
- Salli tietokannan portti vain sovelluspalvelimilta
- Rajaa CI-ajurit pelkkään lähtevään liikenteeseen
- Suojaa itse ylläpidetyt työkalut, joiden ei kuulu olla julkisia
Hyvä tietää rajoituksista
- Palomuurit suodattavat liikennettä; ne eivät ole DDoS-suojauspalvelu.
- Säännöt koskevat samassa sijainnissa olevia palvelimia. Tällä hetkellä se on Frankfurt.
- Myös yksityisverkon palvelinten välistä liikennettä voi hallita; suunnittele säännöt molemmille puolille.
Liittyvät tuotteet
- Pilvipalvelimet
- Yksityisverkot ja NAT-yhdyskäytävät
- Kuormantasaajat
- Tiimit ja tietoturva tilitason suojaukseen
Sulje portit, joita et tarvitse
Palomuurit ovat ilmaisia, joten niitä ei kannata jättää väliin. Luo Wolkra-tili ja suojaa ensimmäinen palvelimesi Frankfurtissa.
Usein kysytyt kysymykset
Maksavatko Wolkran palomuurit jotakin?
Eivät. Pilvipalomuurit ovat ilmaisia. Voit luoda niitä niin monta kuin tarvitset ja ottaa ne käyttöön palvelimillasi veloituksetta.
Ovatko palomuurit tilallisia?
Ovat. Kun sallit yhteyden yhteen suuntaan, vastaukset sallitaan automaattisesti, joten kirjoitat sääntöjä vain sille liikenteelle, jonka haluat aloittaa.
Voinko suodattaa myös lähtevää liikennettä?
Kyllä. Palomuureissa on saapuvia ja lähteviä sääntöjä, joten voit rajata sekä sitä, mihin palveluihin palvelin saa yhdistää, että sitä, kuka saa yhdistää siihen.
Miten otan palomuurin käyttöön monella palvelimella?
Kohdista se tunnistevalitsimeen, kuten env=production. Jokainen palvelin, jolla on kyseinen tunniste, myös myöhemmin luotavat, saa säännöt automaattisesti.
Kannattaako palvelimen sisällä silti käyttää palomuuria?
Voit käyttää. Pilvipalomuuri suodattaa liikenteen ennen kuin se saavuttaa palvelimen, ja palvelimen oma palomuuri, kuten ufw tai nftables, lisää toisen kerroksen, joka kulkee imagen mukana.