소개
UFW 또는 Uncomplicated Firewall은 방화벽을 구성하는 프로세스를 단순화하는 데 중점을 둔 iptables의 인터페이스입니다. iptables은 견고하고 유연한 도구이지만, 초보자가 방화벽을 적절하게 구성하는 방법을 배우기 어려울 수 있습니다. 네트워크를 보호하고자 하지만 어떤 도구를 사용해야 할지 확신이 없다면 UFW가 적합한 선택일 수 있습니다.
이 튜토리얼에서는 Ubuntu v18.04 이상에서 UFW를 사용하여 방화벽을 설정하는 방법을 안내합니다.
전제 조건
Ubuntu 버전 16.04 이하를 사용하고 있다면, 더 최신 버전으로 업그레이드하는 것이 좋습니다. Ubuntu는 이러한 버전에 대한 지원을 더 이상 제공하지 않습니다. 이 가이드 모음에서 Ubuntu 버전을 업그레이드하는 데 도움이 됩니다.
이 튜토리얼을 따르려면 다음이 필요합니다:
-
Ubuntu를 실행하는 서버 및
sudo권한이 있는 비 루트 사용자. 이를 설정하는 방법에 대한 지침은 이 목록에서 배포판을 선택하고 초기 서버 설정 가이드를 따르십시오. -
UFW는 기본적으로 Ubuntu에 설치되어 있습니다. 어떤 이유로 인해 제거되었다면 다음 명령을 사용하여 다시 설치할 수 있습니다:
sudo apt install ufw.
UFW를 사용하여 Ubuntu 방화벽 설정
- IPv6 활성화
- 기본 정책 설정
- SSH 연결 허용
- UFW 활성화
- 다른 필요한 연결 허용
- 연결 거부
- 방화벽 규칙 삭제
- UFW 상태 및 규칙 확인
- 우분투에서 방화벽 비활성화 또는 재설정하는 방법
단계 1 — IPv6가 활성화되었는지 확인
최근 우분투 버전에서는 IPv6가 기본적으로 활성화되어 있습니다. 실제로 이는 서버에 추가된 대부분의 방화벽 규칙이 IPv4 및 IPv6 버전을 모두 포함한다는 것을 의미합니다. 후자는 UFW 상태 명령의 출력 내에서 v6로 식별됩니다. IPv6가 활성화되어 있는지 확인하려면 UFW 구성 파일인 /etc/default/ufw을 확인할 수 있습니다. 이 파일을 nano 또는 좋아하는 명령 줄 편집기를 사용하여 엽니다:
그런 다음 IPV6의 값이 yes로 설정되어 있는지 확인하십시오. 다음과 같이 보여야 합니다:
파일을 저장하고 닫습니다. nano를 사용하는 경우에는 CTRL+X를 입력한 다음 Y를 입력하고 확인을 위해 ENTER를 누르면 됩니다.
이 가이드의 나중 단계에서 UFW가 활성화되면 IPv4 및 IPv6 방화벽 규칙을 모두 작성하도록 구성됩니다.
단계 2 — 기본 정책 설정
UFW를 처음 사용하는 경우 좋은 첫 번째 단계는 기본 방화벽 정책을 확인하는 것입니다. 이러한 규칙은 명시적으로 다른 규칙과 일치하지 않는 트래픽을 처리하는 방법을 제어합니다.
기본적으로 UFW는 모든 들어오는 연결을 거부하고 모든 나가는 연결을 허용하도록 설정됩니다. 이는 서버에 도달하려는 사람은 연결할 수 없지만 서버 내의 응용 프로그램은 외부 세계에 연결할 수 있다는 것을 의미합니다. 특정 서비스와 포트를 허용하기 위한 추가 규칙은 이러한 일반 정책의 예외로 포함됩니다.
튜토리얼의 나머지 부분을 따라갈 수 있는지 확인하기 위해 지금 UFW의 기본 수신 및 발신 트래픽 정책을 설정합니다.
기본 UFW 수신 정책을 거부로 설정하려면 다음을 실행하세요:
OutputDefault incoming policy changed to 'deny'
(be sure to update your rules accordingly)
기본 UFW 발신 정책을 허용으로 설정하려면 다음을 실행하세요:
OutputDefault outgoing policy changed to 'allow'
(be sure to update your rules accordingly)
이 명령은 기본적으로 들어오는 연결을 거부하고 나가는 연결을 허용하도록 설정합니다. 이러한 방화벽 기본 설정만으로는 개인 컴퓨터에 충분할 수 있지만, 일반적으로 서버는 외부 사용자의 들어오는 요청에 응답해야 합니다. 이에 대해 다음에 알아보겠습니다.
단계 3 — SSH 연결 허용
현재 UFW 방화벽을 활성화하면 모든 들어오는 연결이 거부됩니다. 이는 서버가 해당 유형의 요청에 응답하기 위해 합법적인 들어오는 연결을 명시적으로 허용하는 규칙을 만들어야 함을 의미합니다. 예를 들어 SSH 또는 HTTP 연결을 명시적으로 허용하려면 해당 규칙을 만들어야 합니다. 클라우드 서버를 사용하는 경우 서버에 연결하고 관리하기 위해 들어오는 SSH 연결을 허용할 것으로 예상됩니다.
OpenSSH UFW 애플리케이션 프로필 허용
대부분의 네트워크 연결에 의존하는 애플리케이션은 설치 시 UFW 내에서 애플리케이션 프로필을 등록합니다. 이를 통해 사용자는 서비스에 대한 외부 액세스를 빠르게 허용 또는 거부할 수 있습니다. 현재 UFW에 등록된 프로필을 확인할 수 있습니다:
OutputAvailable applications:
OpenSSH
OpenSSH 애플리케이션 프로필을 활성화하려면 다음을 실행하십시오:
OutputRule added
Rule added (v6)
이렇게 하면 SSH 데몬이 기본적으로 듣는 포트인 22에서 모든 연결을 허용하는 방화벽 규칙이 생성됩니다.
서비스 이름으로 SSH 허용
UFW를 구성하여 수신 SSH 연결을 허용하는 또 다른 방법은 해당 서비스 이름인 ssh를 참조하는 것입니다.
OutputRule added
Rule added (v6)
UFW는 /etc/services 파일을 기반으로 서비스가 사용하는 포트와 프로토콜을 알고 있습니다.
포트 번호로 SSH 허용
또는 응용 프로그램 프로필이나 서비스 이름 대신 포트를 지정하여 동등한 규칙을 작성할 수 있습니다. 예를 들어, 다음 명령어는 이전 예제와 동일하게 작동합니다:
OutputRule added
Rule added (v6)
SSH 데몬을 다른 포트로 구성한 경우 해당 포트를 지정해야 합니다. 예를 들어, SSH 서버가 포트 2222에서 수신 대기 중인 경우 다음 명령어를 사용하여 해당 포트에서 연결을 허용할 수 있습니다:
OutputRule added
Rule added (v6)
이제 방화벽이 수신 SSH 연결을 허용하도록 구성되었으므로 이를 활성화할 수 있습니다.
단계 4 — UFW 활성화
방화벽은 이제 SSH 연결을 허용하도록 구성되어 있어야 합니다. 아직 방화벽이 비활성화된 상태에서 추가된 규칙을 확인하려면 다음 명령을 사용할 수 있습니다:
OutputAdded user rules (see 'ufw status' for running firewall):
ufw allow OpenSSH
들어오는 SSH 연결을 허용하는 규칙이 이미 설정되었음을 확인한 후에 방화벽을 활성화할 수 있습니다:
OutputCommand may disrupt existing ssh connections. Proceed with operation (y|n)? y
Firewall is active and enabled on system startup
기존의 SSH 연결에 영향을 줄 수 있다는 경고 메시지가 표시됩니다. 이미 SSH 연결을 허용하는 방화벽 규칙을 설정했으므로 계속 진행해도 괜찮습니다. 프롬프트에 y를 입력하고 ENTER를 누르세요.
이제 방화벽이 활성화되었습니다. 규칙을 확인하려면 sudo ufw status verbose 명령을 실행하세요. 이 튜토리얼의 나머지 부분은 UFW를 더 자세히 사용하는 방법을 다룹니다. 다양한 종류의 연결을 허용하거나 거부하는 방법 등이 포함됩니다.
단계 5 — 다른 연결 허용하기
이 시점에서 서버가 응답해야 하는 다른 모든 연결을 허용해야 합니다. 허용해야 하는 연결은 특정한 필요에 따라 다릅니다. 응용 프로그램 프로필, 서비스 이름 또는 포트를 기반으로 연결을 허용하는 규칙을 작성하는 방법을 이미 알고 계시기 때문에 SSH의 경우 22 포트를 사용하여 이미 이 작업을 수행했습니다. 또한 다음을 위해 이 작업을 수행할 수 있습니다:
- 암호화되지 않은 웹 서버에서 사용하는 포트 80의 HTTP를 허용하려면
sudo ufw allow http또는sudo ufw allow 80을 사용합니다. - HTTPS는 암호화된 웹 서버가 사용하는 포트인 443번을 사용합니다. 이를 허용하려면
sudo ufw allow https또는sudo ufw allow 443을 사용합니다. - HTTP와 HTTPS를 모두 사용하는 Apache의 경우,
sudo ufw allow 'Apache Full'을 사용합니다. - HTTP와 HTTPS를 모두 사용하는 Nginx의 경우,
sudo ufw allow 'Nginx Full'을 사용합니다.
서버에 사용 가능한 응용 프로그램 프로필을 확인하려면 sudo ufw app list를 사용하세요.
포트나 알려진 서비스 이름을 지정하는 것 외에도 연결을 허용하는 여러 다른 방법이 있습니다. 다음에 그 중 일부를 살펴보겠습니다.
특정 포트 범위
UFW에서 포트 범위를 지정할 수 있습니다. 일부 응용 프로그램은 단일 포트 대신 여러 포트를 사용합니다.
예를 들어, 포트 6000부터 6007까지 사용하는 X11 연결을 허용하려면 다음 명령을 사용합니다:
UFW를 사용하여 포트 범위를 지정할 때, 적용할 프로토콜(tcp 또는 udp)을 지정해야 합니다. 이전에 이를 언급하지 않은 이유는 프로토콜을 지정하지 않으면 자동으로 두 프로토콜 모두를 허용하기 때문입니다. 대부분의 경우 이것이 괜찮습니다.
특정 IP 주소
UFW를 사용할 때는 규칙 내에서 IP 주소를 지정할 수도 있습니다. 예를 들어 특정 IP 주소(예: 작업 또는 홈 IP 주소인 203.0.113.4)에서의 연결을 허용하려면 from 매개변수를 사용하여 허용하려는 IP 주소를 제공해야 합니다:
OutputRule added
또한 IP 주소가 연결할 수 있는 포트도 지정할 수 있습니다. 포트 번호 뒤에 to any port를 추가하여 지정할 수 있습니다. 예를 들어, 203.0.113.4가 포트 22(SSH)에 연결하도록 허용하려면 다음 명령을 사용합니다:
OutputRule added
서브넷
IP 주소의 서브넷을 허용하려면 CIDR 표기법을 사용하여 넷마스크를 지정할 수 있습니다. 예를 들어, 203.0.113.1부터 203.0.113.254까지의 모든 IP 주소를 허용하려면 다음 명령을 사용할 수 있습니다:
OutputRule added
마찬가지로, 서브넷 203.0.113.0/24가 연결할 수 있는 대상 포트도 지정할 수 있습니다. 다시 한번 예로 포트 22(SSH)를 사용하겠습니다:
OutputRule added
특정 네트워크 인터페이스로의 연결
특정 네트워크 인터페이스에만 적용되는 방화벽 규칙을 만들고 싶다면, “allow in on” 다음에 네트워크 인터페이스의 이름을 지정하여 그렇게 할 수 있습니다.
계속하기 전에 네트워크 인터페이스를 확인하는 것이 좋습니다. 이를 위해 다음 명령을 사용하세요:
Output Excerpt2: eth0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast state
. . .
3: eth1: <BROADCAST,MULTICAST> mtu 1500 qdisc noop state DOWN group default
. . .
강조된 출력은 네트워크 인터페이스의 이름을 나타냅니다. 일반적으로 eth0 또는 enp3s2와 같은 이름으로 지정됩니다.
따라서 서버에 eth0이라는 공용 네트워크 인터페이스가 있다면, 다음 명령을 사용하여 해당 인터페이스로의 HTTP 트래픽(포트 80)을 허용할 수 있습니다:
OutputRule added
Rule added (v6)
이렇게 하면 서버가 공개 인터넷에서 HTTP 요청을 수신할 수 있습니다.
또는 예를 들어 MySQL 데이터베이스 서버(포트 3306)가 개인 네트워크 인터페이스 eth1에서 연결을 수신하도록 원하는 경우 다음 명령을 사용할 수 있습니다:
OutputRule added
Rule added (v6)
이렇게 하면 개인 네트워크의 다른 서버가 MySQL 데이터베이스에 연결할 수 있습니다.
단계 6 — 연결 거부
들어오는 연결에 대한 기본 정책을 변경하지 않은 경우, UFW는 모든 들어오는 연결을 거부하도록 구성됩니다. 일반적으로 이렇게 하면 특정 포트와 IP 주소를 명시적으로 허용하는 규칙을 생성하여 보안 방화벽 정책을 간소화할 수 있습니다.
그러나 때로는 서버가 그곳에서 공격 받고 있다는 것을 알기 때문에 소스 IP 주소 또는 서브넷을 기반으로 특정 연결을 거부하려고 할 것입니다. 또한 기본 수신 정책을 허용으로 변경하려는 경우 (권장되지 않음), 연결을 허용하지 않을 서비스나 IP 주소에 대해 거부 규칙을 생성해야 합니다.
거부 규칙을 작성하려면 이전에 설명한 명령을 사용하여 허용을 거부로 바꿔야 합니다.
예를 들어, HTTP 연결을 거부하려면 다음 명령을 사용할 수 있습니다:
OutputRule added
Rule added (v6)
또는 203.0.113.4에서 모든 연결을 거부하려면 다음 명령을 사용할 수 있습니다:
OutputRule added
경우에 따라 서버에서 나가는 연결을 차단하려고 할 수도 있습니다. 서버의 특정 포트, 예를 들어 SMTP 트래픽의 포트 25를 사용하는 모든 사용자를 거부하려면 deny out 다음에 포트 번호를 사용할 수 있습니다:
OutputRule added
Rule added (v6)
이렇게 하면 서버에서 나가는 모든 SMTP 트래픽이 차단됩니다.
단계 7 — 규칙 삭제
방화벽 규칙을 삭제하는 방법을 알아두는 것은 생성하는 방법만큼 중요합니다. 삭제할 규칙을 지정하는 두 가지 다른 방법이 있습니다: 규칙 번호로 또는 사람이 읽을 수 있는 표기법으로 (규칙이 생성될 때 지정된 방식과 유사하게).
번호로 UFW 규칙 삭제
번호로 UFW 규칙을 삭제하려면 먼저 방화벽 규칙의 번호 목록을 얻어야 합니다. UFW 상태 명령에는 각 규칙 옆에 번호를 표시하는 옵션이 있습니다. 다음과 같이 보여줍니다:
Numbered Output:Status: active
To Action From
-- ------ ----
[ 1] 22 ALLOW IN 15.15.15.0/24
[ 2] 80 ALLOW IN Anywhere
규칙 번호 2를 삭제하려고 결정하면 포트 80(HTTP) 연결을 허용하는 규칙을 지정할 수 있습니다. 다음과 같이 UFW 삭제 명령에 지정할 수 있습니다:
OutputDeleting:
allow 80
Proceed with operation (y|n)? y
Rule deleted
이 명령은 확인을 요청한 후 HTTP 연결을 허용하는 규칙인 규칙 2를 삭제합니다. IPv6가 활성화된 경우 해당 IPv6 규칙도 삭제해야 합니다.
이름으로 UFW 규칙 삭제
규칙 번호 대신에 규칙을 인간이 읽을 수 있는 명칭으로 참조할 수도 있습니다. 이는 규칙 유형(일반적으로 allow 또는 deny) 및 해당 규칙의 대상이 된 서비스 이름 또는 포트 번호 또는 사용된 응용 프로그램 프로필 이름에 기반합니다. 예를 들어, 이전에 활성화된 Apache Full이라는 응용 프로그램 프로필에 대한 allow 규칙을 삭제하려면 다음과 같이 할 수 있습니다:
OutputRule deleted
Rule deleted (v6)
delete 명령은 서비스 이름이나 포트를 참조하여 생성된 규칙에 대해 동일한 방식으로 작동합니다. 예를 들어, 이전에 sudo ufw allow http로 HTTP 연결을 허용하는 규칙을 설정한 경우 다음과 같이 해당 규칙을 삭제할 수 있습니다:
OutputRule deleted
Rule deleted (v6)
규칙을 지정할 때 서비스 이름과 포트 번호는 서로 바꿔 사용할 수 있으므로 allow http 대신 allow 80으로도 동일한 규칙을 참조할 수 있습니다:
OutputRule deleted
Rule deleted (v6)
이름으로 UFW 규칙을 삭제할 때 IPv4 및 IPv6 규칙이 모두 삭제됩니다.
단계 8 — UFW 상태 및 규칙 확인하기
언제든지 다음 명령을 사용하여 UFW의 상태를 확인할 수 있습니다:
기본적으로 UFW가 비활성화되어 있는 경우 다음과 같은 내용이 표시됩니다:
OutputStatus: inactive
UFW가 활성화된 경우, 즉 3단계를 따랐다면 출력에는 활성화되어 있으며 설정된 규칙이 나열됩니다. 예를 들어, 방화벽이 어디서든 SSH (포트 22) 연결을 허용하도록 설정된 경우 출력은 다음과 유사할 수 있습니다:
OutputStatus: active
Logging: on (low)
Default: deny (incoming), allow (outgoing), disabled (routed)
New profiles: skip
To Action From
-- ------ ----
22/tcp ALLOW IN Anywhere
방화벽의 구성을 확인하려면 status 명령을 사용하십시오.
단계 9 — 방화벽 비활성화 또는 재설정
UFW 방화벽을 사용하지 않기로 결정한 경우 다음 명령을 사용하여 비활성화할 수 있습니다:
OutputFirewall stopped and disabled on system startup
UFW로 생성한 규칙은 더 이상 활성화되지 않습니다. 나중에 활성화해야 하는 경우 언제든지 sudo ufw enable을 실행할 수 있습니다.
이미 UFW 규칙이 구성되어 있지만 처음부터 시작하려는 경우 다음 명령을 사용할 수 있습니다:
OutputResetting all rules to installed defaults. This may disrupt existing ssh
connections. Proceed with operation (y|n)? y
Backing up 'user.rules' to '/etc/ufw/user.rules.20210729_170353'
Backing up 'before.rules' to '/etc/ufw/before.rules.20210729_170353'
Backing up 'after.rules' to '/etc/ufw/after.rules.20210729_170353'
Backing up 'user6.rules' to '/etc/ufw/user6.rules.20210729_170353'
Backing up 'before6.rules' to '/etc/ufw/before6.rules.20210729_170353'
Backing up 'after6.rules' to '/etc/ufw/after6.rules.20210729_170353'
이렇게 하면 UFW가 비활성화되고 이전에 정의된 규칙이 모두 삭제됩니다. 이는 UFW를 처음부터 다시 시작할 수 있게 해줍니다. 그러나 기본 정책이 이전에 수정한 경우 원래 설정으로 돌아가지 않음을 기억하세요.
DigitalOcean 앱 플랫폼을 사용하여 GitHub에서 프론트엔드 애플리케이션을 배포하세요. DigitalOcean에게 앱 확장에 집중하게 하세요.
결론
이제 방화벽이 (최소한) SSH 연결을 허용하도록 구성되었습니다. 서버가 기능적이고 안전하게 작동하도록 서버가 필요로 하는 기타 들어오는 연결을 허용하고 불필요한 연결을 제한하는 것이 중요합니다.
보다 일반적인 UFW 구성에 대해 자세히 알아보려면 UFW Essentials: Common Firewall Rules and Commands 튜토리얼을 확인하십시오.
Source:
https://www.digitalocean.com/community/tutorials/how-to-set-up-a-firewall-with-ufw-on-ubuntu