Firewall-ҳои абрии Wolkra firewall-ҳои ройгон ва stateful мебошанд, ки трафики воридотӣ ва содиротиро пеш аз расидан ба серверҳои шумо филтр мекунанд ва шумо метавонед як маҷмӯи қоидаҳоро ба серверҳои алоҳида ё ба ҳар сервере, ки ба тамға мувофиқ аст, татбиқ кунед. Ин тезтарин роҳи пӯшидани портҳоест, ки истифода намебаред.
Firewall-и абрӣ чӣ кор мекунад
Firewall-и абрӣ дар назди интерфейси шабакавии сервери шумо қарор дорад. Бастаҳое, ки ба қоидаи иҷозат мувофиқ нестанд, пеш аз расидан ба системаи амалиётӣ партофта мешаванд. Азбаски қоидаҳо берун аз сервер нигоҳ дошта мешаванд, хидмати нодуруст танзимшуда ё насби нав наметавонад тасодуфан портеро ба тамоми ҷаҳон кушояд.
Имконоти асосӣ:
- Stateful: ҷавобҳо ба пайвастҳои иҷозатдодашуда худкор мегузаранд
- Қоидаҳои воридотӣ ва содиротӣ аз рӯи протокол (TCP, UDP, ICMP), порт ё доираи портҳо ва манбаъ ё мақсад
- Қоидаҳои IPv4 ва IPv6 дар як ҷо
- Ба серверҳо ё интихобкунандаҳои тамға татбиқ мешаванд, бинобар ин серверҳои нав аз сонияи аввал ҳифз шуда метавонанд
- Ройгон, бе маҳдудият дар он ки онҳоро чӣ қадар муфид мегардонед
Қоидаҳо чӣ тавр кор мекунанд
Трафики воридотӣ манъ аст, агар қоидае онро иҷозат надиҳад. Firewall-и маъмулии веб-сервер се қоидаи воридотӣ дорад:
| Самт | Протокол | Порт | Манбаъ |
|---|---|---|---|
| Воридотӣ | TCP | 22 | Суроғаи офис ё VPN-и шумо |
| Воридотӣ | TCP | 80 | Ҳама |
| Воридотӣ | TCP | 443 | Ҳама |
Қоидаҳои содиротӣ ҳамин тавр дар самти муқобил кор мекунанд. Онҳо барои серверҳои қатъиян маҳдудшуда муфиданд, ки бояд танҳо бо чанд хидмати маълум, масалан, оинаи бастаҳо, API ва пойгоҳи додаҳои шумо иртибот гиранд.
Татбиқ аз рӯи тамға
Тамғаҳо firewall-ҳоро аз кори ҳаррӯзаи ҳар сервер ба сиёсат табдил медиҳанд. Ба серверҳо тамғаҳое мисли role=web ё env=production диҳед ва сипас firewall-ро ба интихобкунанда татбиқ кунед. Ҳар сервер бо ин тамға қоидаҳоро мегирад, аз ҷумла серверҳое, ки баъдтар шумо, ҳамкоратон ё скрипт месозед. Тамғаро хориҷ кунед ва қоидаҳо дигар амал намекунанд.
Дар консол
- Firewalls-ро кушоед ва Create firewall-ро интихоб кунед.
- Барои портҳои лозимӣ қоидаҳои воридотӣ ва агар хоҳед трафики баромадро маҳдуд кунед, қоидаҳои содиротӣ илова кунед.
- Firewall-ро ба серверҳо ё ба интихобкунандаи тамға татбиқ кунед.
- Қоидаҳо дар чанд сония эътибор пайдо мекунанд. Тағйирот ба ҳар сервере, ки firewall фаро мегирад, татбиқ мешавад.
Дар ҳуҷҷати firewall-ҳо мисолҳои бештар ҳаст, аз ҷумла SSH, ки танҳо аз VPN дастрас аст, ва пойгоҳи додаҳое, ки танҳо аз серверҳои барнома дастрас аст.
Тавассути API
Firewall-ҳо, қоидаҳо ва ҳадафҳои онҳо ҳама қисми API-и Wolkra мебошанд. Қоидаҳои firewall-ро дар анбори худ нигоҳ доред ва онҳоро аз скрипти деплой татбиқ кунед, то тағйирот мисли код баррасӣ шавад. Дар Composer шумо метавонед ба стек firewall илова кунед ва онро дар канвас ба серверҳо пайваст намоед.
Firewall-и абрӣ ва firewall-и хост якҷоя
| Firewall-и абрӣ | Firewall-и хост (ufw, nftables) | |
|---|---|---|
| Дар куҷо кор мекунад | Дар назди сервер | Дар дохили сервер |
| Пас аз бозсозӣ боқӣ мемонад | Бале | Танҳо агар имиҷи шумо онро танзим кунад |
| Ба серверҳои зиёд татбиқ мешавад | Аз рӯи тамға | Барои ҳар сервер алоҳида |
| Танзимоти нодуруст дар OS онро хомӯш карда метавонад | Не | Бале |
Барои ҳифзи бисёрқабата ҳардуро истифода баред. Дастури ҳифзи сервери Ubuntu танзими сатҳи хостро нишон медиҳад, ки бо firewall-и абрӣ хуб мувофиқ аст.
Аз маҷмӯи хурди қоидаҳо оғоз кунед
Аз камтарин қоидаҳое оғоз кунед, ки хидмати шуморо ба кор меандозанд, ва сипас ҳангоми зарурат бештар илова кунед. Баъдтар кушодани як порти дигар хеле осонтар аст аз фаҳмидани он ки ҳамлагар аз кадоме аз бист порти кушода истифода бурдааст.
Истифодаҳои маъмул
- Дар серверҳои хостинги веб танҳо 80 ва 443-ро кушоед
- SSH-ро бо WireGuard VPN-и худ маҳдуд кунед
- Порти пойгоҳи додаҳо-ро танҳо аз серверҳои барнома иҷозат диҳед
- CI runner-ҳо-ро танҳо ба трафики содиротӣ маҳдуд кунед
- Абзорҳои худмизбон-ро, ки набояд оммавӣ бошанд, ҳифз кунед
Маҳдудиятҳое, ки бояд донед
- Firewall-ҳо трафикро филтр мекунанд; онҳо хидмати ҳифз аз DDoS нестанд.
- Қоидаҳо ба серверҳо дар ҳамон макон татбиқ мешаванд. Имрӯз ин Франкфурт аст.
- Трафики байни серверҳо дар шабакаи хусусӣ-ро низ идора кардан мумкин аст; қоидаҳоро барои ҳарду тараф ба нақша гиред.
Маҳсулоти марбут
- Серверҳои абрӣ
- Шабакаҳои хусусӣ ва дарвозаҳои NAT
- Мувозинаткунандаҳои сарборӣ
- Дастаҳо ва амният барои ҳифз дар сатҳи ҳисоб
Портҳоеро, ки лозим нестанд, пӯшед
Firewall-ҳо ройгонанд, бинобар ин сабабе барои истифода накардани онҳо нест. Дар Wolkra ҳисоб созед ва сервери аввалини худро дар Франкфурт ҳифз кунед.
Саволҳои маъмул
Оё firewall-ҳои Wolkra пулакӣ ҳастанд?
Не. Firewall-ҳои абрӣ ройгонанд. Шумо метавонед ҳар қадар ки лозим аст, созед ва онҳоро бепул ба серверҳои худ татбиқ кунед.
Оё firewall-ҳо stateful ҳастанд?
Бале. Вақте шумо пайвастро дар як самт иҷозат медиҳед, ҷавобҳо худкор иҷозат дода мешаванд, бинобар ин шумо қоидаҳоро танҳо барои трафике менависед, ки мехоҳед оғоз шавад.
Оё трафики содиротиро ҳам филтр кардан мумкин аст?
Бале. Firewall-ҳо қоидаҳои воридотӣ ва содиротӣ доранд, бинобар ин шумо метавонед муайян кунед, ки сервер ба кадом хидматҳо пайваст шуда метавонад ва кӣ ба он пайваст шуда метавонад.
Чӣ тавр firewall-ро ба серверҳои зиёд татбиқ кунам?
Онро ба интихобкунандаи тамға, масалан env=production, татбиқ кунед. Ҳар сервер бо ин тамға, аз ҷумла серверҳое, ки баъдтар месозед, қоидаҳоро худкор мегирад.
Оё дар дохили сервер ҳам firewall лозим аст?
Метавонед. Firewall-и абрӣ трафикро пеш аз расидан ба сервер филтр мекунад ва firewall-и хост, ба монанди ufw ё nftables, қабати дуюмеро илова мекунад, ки бо имиҷ ҳамроҳ мешавад.