Wolkra क्लाउड फ़ायरवॉल मुफ़्त, stateful फ़ायरवॉल हैं जो inbound और outbound ट्रैफ़िक को आपके सर्वर तक पहुंचने से पहले फ़िल्टर करते हैं, और आप नियमों का एक सेट अलग-अलग सर्वर पर या किसी लेबल से मेल खाने वाले हर सर्वर पर लागू कर सकते हैं। जिन पोर्ट का आप इस्तेमाल नहीं करते, उन्हें बंद करने का यह सबसे तेज़ तरीका है।
क्लाउड फ़ायरवॉल क्या करता है
क्लाउड फ़ायरवॉल आपके सर्वर के नेटवर्क इंटरफ़ेस के सामने रहता है। जो पैकेट किसी allow नियम से मेल नहीं खाते, वे ऑपरेटिंग सिस्टम तक पहुंचने से पहले ही गिरा दिए जाते हैं। नियम सर्वर के बाहर रहते हैं, इसलिए गलत कॉन्फ़िगर की गई सर्विस या नया इंस्टॉलेशन गलती से कोई पोर्ट दुनिया के लिए नहीं खोल सकता।
मुख्य फ़ीचर:
- Stateful: अनुमत कनेक्शन के जवाब अपने-आप पास होते हैं
- प्रोटोकॉल (TCP, UDP, ICMP), पोर्ट या पोर्ट रेंज और सोर्स या डेस्टिनेशन के हिसाब से inbound और outbound नियम
- IPv4 और IPv6 नियम साथ-साथ
- सर्वर या लेबल सेलेक्टर पर लागू, ताकि नए सर्वर पहले सेकंड से सुरक्षित रहें
- मुफ़्त, आप इन्हें जितना चाहें उतना उपयोगी बनाएं
नियम कैसे काम करते हैं
Inbound ट्रैफ़िक तब तक रोका जाता है जब तक कोई नियम उसकी अनुमति न दे। एक आम वेब सर्वर फ़ायरवॉल में तीन inbound नियम होते हैं:
| दिशा | प्रोटोकॉल | पोर्ट | सोर्स |
|---|---|---|---|
| Inbound | TCP | 22 | आपके ऑफ़िस या VPN का पता |
| Inbound | TCP | 80 | कोई भी |
| Inbound | TCP | 443 | कोई भी |
Outbound नियम उलटी दिशा में इसी तरह काम करते हैं। ये उन लॉक किए गए सर्वर के लिए उपयोगी हैं जिन्हें सिर्फ़ कुछ जानी-पहचानी सर्विस से बात करनी चाहिए, जैसे पैकेज मिरर, कोई API और आपका डेटाबेस।
लेबल से लागू करें
लेबल फ़ायरवॉल को हर सर्वर के अलग काम से एक नीति में बदल देते हैं। सर्वर को role=web या env=production जैसे लेबल दें, फिर फ़ायरवॉल को सेलेक्टर पर लागू करें। उस लेबल वाले हर सर्वर पर नियम लागू होते हैं, उन सर्वर पर भी जो बाद में आप, आपका साथी या कोई स्क्रिप्ट बनाए। लेबल हटाएं और नियम लागू होना बंद हो जाते हैं।
कंसोल में
- Firewalls खोलें और Create firewall चुनें।
- ज़रूरी पोर्ट के लिए inbound नियम जोड़ें, और अगर बाहर जाने वाला ट्रैफ़िक सीमित करना हो तो outbound नियम।
- फ़ायरवॉल को सर्वर या किसी लेबल सेलेक्टर पर लागू करें।
- नियम कुछ ही सेकंड में लागू हो जाते हैं। बदलाव उन सभी सर्वर पर लागू होते हैं जिन्हें फ़ायरवॉल कवर करता है।
फ़ायरवॉल डॉक में और उदाहरण हैं, जैसे VPN तक सीमित SSH और ऐसा डेटाबेस जो सिर्फ़ ऐप सर्वर से पहुंच में हो।
API के ज़रिए
फ़ायरवॉल, नियम और उनके टारगेट, सब Wolkra API का हिस्सा हैं। अपने फ़ायरवॉल नियम अपनी रिपॉज़िटरी में रखें और डिप्लॉयमेंट स्क्रिप्ट से लागू करें, ताकि बदलावों की समीक्षा कोड की तरह हो। Composer में आप स्टैक में फ़ायरवॉल जोड़कर उसे कैनवास पर सर्वर से जोड़ सकते हैं।
क्लाउड फ़ायरवॉल और होस्ट फ़ायरवॉल साथ में
| क्लाउड फ़ायरवॉल | होस्ट फ़ायरवॉल (ufw, nftables) | |
|---|---|---|
| कहां चलता है | सर्वर के सामने | सर्वर के अंदर |
| रीबिल्ड के बाद भी बना रहता है | हां | सिर्फ़ तब, जब आपकी इमेज इसे सेट करे |
| कई सर्वर पर लागू होता है | लेबल से | हर सर्वर पर अलग |
| OS में गलत कॉन्फ़िगरेशन से बंद हो सकता है | नहीं | हां |
सुरक्षा की कई परतों के लिए दोनों इस्तेमाल करें। Ubuntu सर्वर सुरक्षित करने वाली गाइड होस्ट-स्तर का ऐसा सेटअप दिखाती है जो क्लाउड फ़ायरवॉल के साथ अच्छी तरह मेल खाता है।
नियमों के छोटे सेट से शुरुआत करें
उतने ही कम नियमों से शुरू करें जितने में आपकी सर्विस चल जाए, फिर ज़रूरत के हिसाब से और जोड़ें। बाद में एक और पोर्ट खोलना, यह पता लगाने से कहीं आसान है कि बीस खुले पोर्ट में से किसका इस्तेमाल हमलावर ने किया।
आम इस्तेमाल
- वेब होस्टिंग सर्वर पर सिर्फ़ 80 और 443 खोलें
- SSH को अपने WireGuard VPN तक सीमित करें
- डेटाबेस पोर्ट की अनुमति सिर्फ़ ऐप सर्वर से दें
- CI runner को सिर्फ़ outbound ट्रैफ़िक तक सीमित करें
- ऐसे self-hosted टूल सुरक्षित करें जो पब्लिक नहीं होने चाहिए
जानने लायक सीमाएं
- फ़ायरवॉल ट्रैफ़िक फ़िल्टर करते हैं; ये DDoS प्रोटेक्शन सर्विस नहीं हैं।
- नियम उसी लोकेशन के सर्वर पर लागू होते हैं। आज वह फ़्रैंकफ़र्ट है।
- प्राइवेट नेटवर्क पर सर्वर के बीच का ट्रैफ़िक भी नियंत्रित किया जा सकता है; दोनों तरफ़ के नियम सोचकर बनाएं।
संबंधित प्रोडक्ट
- क्लाउड सर्वर
- प्राइवेट नेटवर्क और NAT गेटवे
- लोड बैलेंसर
- अकाउंट-स्तर की सुरक्षा के लिए टीमें और सुरक्षा
जिन पोर्ट की ज़रूरत नहीं, उन्हें बंद करें
फ़ायरवॉल मुफ़्त हैं, इसलिए इन्हें छोड़ने की कोई वजह नहीं। Wolkra पर साइन अप करें और फ़्रैंकफ़र्ट में अपना पहला सर्वर सुरक्षित करें।
अक्सर पूछे जाने वाले सवाल
क्या Wolkra फ़ायरवॉल का कोई शुल्क है?
नहीं। क्लाउड फ़ायरवॉल मुफ़्त हैं। आप जितने चाहें बना सकते हैं और बिना किसी शुल्क के अपने सर्वर पर लागू कर सकते हैं।
क्या ये फ़ायरवॉल stateful हैं?
हां। जब आप एक दिशा में कनेक्शन की अनुमति देते हैं, तो उसके जवाब अपने-आप अनुमत हो जाते हैं, इसलिए आप सिर्फ़ उस ट्रैफ़िक के नियम लिखते हैं जिसे आप शुरू करना चाहते हैं।
क्या मैं outbound ट्रैफ़िक भी फ़िल्टर कर सकता हूं?
हां। फ़ायरवॉल में inbound और outbound दोनों नियम होते हैं, इसलिए आप तय कर सकते हैं कि कौन सर्वर से जुड़ सकता है और सर्वर किन सर्विस से जुड़ सकता है।
मैं कई सर्वर पर एक फ़ायरवॉल कैसे लागू करूं?
इसे env=production जैसे लेबल सेलेक्टर पर लागू करें। उस लेबल वाले हर सर्वर पर, बाद में बनाए गए सर्वर समेत, नियम अपने-आप लागू हो जाते हैं।
क्या मुझे सर्वर के अंदर भी फ़ायरवॉल चलाना चाहिए?
चला सकते हैं। क्लाउड फ़ायरवॉल ट्रैफ़िक को सर्वर तक पहुंचने से पहले फ़िल्टर करता है, और ufw या nftables जैसा होस्ट फ़ायरवॉल एक दूसरी परत जोड़ता है जो इमेज के साथ चलती है।