UFW (Uncomplicated Firewall) ist die einfachste Methode, um eine Firewall auf einem Ubuntu-Server einzurichten. Mit wenigen Befehlen legst du fest, welcher Netzwerkverkehr erlaubt ist und welcher nicht, sodass nur die benötigten Ports (wie SSH, HTTP und HTTPS) geöffnet sind. Dieser Artikel zeigt, wie du UFW installierst, aktivierst und konfigurierst, inklusive häufiger Fehler, durch die ein Server unerreichbar wird.
Was ist UFW und warum solltest du es nutzen
Eine Firewall kontrolliert ein- und ausgehenden Netzwerkverkehr anhand von Regeln. Standardmäßig läuft Ubuntu mit der leistungsstarken, aber komplexen iptables-Firewall unter der Haube. UFW ist eine benutzerfreundliche Schicht darüber, speziell entwickelt, um die Firewall-Verwaltung zugänglich zu machen, ohne die komplizierte iptables-Syntax lernen zu müssen.
Ohne Firewall ist jeder offene Port auf deinem Server potenziell über das gesamte Internet erreichbar. Durch die Einrichtung von UFW beschränkst du dies auf nur die Dienste, die du tatsächlich anbietest, wie Webverkehr und SSH-Zugang. Dies verringert die Angriffsfläche erheblich und ist einer der ersten Schritte bei der Absicherung eines VPS.
UFW installieren und Basisregeln einrichten
Auf den meisten Ubuntu-Installationen ist UFW bereits vorhanden, aber standardmäßig deaktiviert. Installiere es zunächst (falls nötig) und lege dann eine sichere Standardrichtlinie fest, bevor du es aktivierst.
UFW installieren
Führe sudo apt update && sudo apt install ufw aus, um UFW zu installieren oder auf die neueste Version zu aktualisieren.
Standardrichtlinie festlegen
Setze eingehenden Verkehr standardmäßig auf Verweigern und ausgehenden auf Erlauben mit sudo ufw default deny incoming und sudo ufw default allow outgoing.
SSH erlauben
Erlaube SSH explizit, bevor du die Firewall aktivierst, sonst sperrst du dich selbst aus: sudo ufw allow OpenSSH oder sudo ufw allow 22/tcp.
UFW aktivieren
Aktiviere die Firewall mit sudo ufw enable und bestätige die Meldung mit y.
sudo ufw allow 2222/tcp) anstelle der Standard-OpenSSH-Regel, sonst sperrst du dich selbst vom Server aus.Ports öffnen und schließen
Nach der Aktivierung von UFW musst du die Ports öffnen, die dein Server tatsächlich nutzt. Für einen Webserver mit Plesk, wie er bei Tandata eingesetzt wird, sind das meist Ports für HTTP, HTTPS und das Plesk-Kontrollpanel.
sudo ufw allow 80/tcp— öffnet HTTP-Verkehrsudo ufw allow 443/tcp— öffnet HTTPS-Verkehrsudo ufw allow 8443/tcp— öffnet die Plesk-Verwaltungsoberflächesudo ufw allow 21/tcp— öffnet FTP (nur falls nötig)
Einen Port wieder schließen kannst du, indem du allow durch deny ersetzt oder die Regel mit sudo ufw delete allow 80/tcp entfernst. Möchtest du den Zugriff auf eine bestimmte IP-Adresse beschränken, zum Beispiel für den Admin-Zugang, nutze sudo ufw allow from 123.45.67.89 to any port 22.
Verwaltest du E-Mail auf demselben Server, denke auch an Ports für SMTP, IMAP und POP3. Läuft deine geschäftliche E-Mail über einen separaten Dienst wie E-Mail-Hosting für Unternehmen, musst du diese Ports auf dem Webserver selbst nicht öffnen.
Regeln verwalten und Status prüfen
Es ist wichtig, regelmäßig zu prüfen, welche Regeln aktiv sind, besonders nach mehreren Anpassungen. So vermeidest du, dass unbeabsichtigt Ports offen bleiben.
Nutze sudo ufw status verbose, um eine Übersicht aller aktiven Regeln, der Standardrichtlinie und des Logging-Status zu erhalten. Mit sudo ufw status numbered siehst du nummerierte Regeln, praktisch, um eine bestimmte Regel mit sudo ufw delete [Nummer] zu entfernen.
Möchtest du das Logging aktivieren, um verdächtigen Verkehr zu überwachen, nutze sudo ufw logging on. Die Logs findest du unter /var/log/ufw.log. Das ist nützlich, wenn du vermutest, dass unerwünschte Verbindungsversuche stattfinden.
Verwaltest du einen Server mit Plesk, kannst du neben UFW auch das integrierte Firewall-Modul im Kontrollpanel nutzen, um Regeln visuell zu verwalten. Bist du unsicher, welche Konfiguration für deine Situation passend ist, schau in der Wissensdatenbank nach oder kontaktiere den Support.
Häufig gestellte Fragen
Was passiert, wenn ich UFW aktiviere, ohne SSH zu erlauben?
Du verlierst sofort die SSH-Verbindung zu deinem Server und kannst dich nicht mehr aus der Ferne einloggen. Eine Wiederherstellung ist dann oft nur über den Konsolenzugang deines Hosting-Anbieters möglich.
Funktioniert UFW zusammen mit Plesk?
Ja, aber Plesk verfügt auch über ein eigenes Firewall-Modul. Stelle sicher, dass beide keine widersprüchlichen Regeln enthalten, und prüfe nach Änderungen immer, ob wichtige Dienste erreichbar bleiben.
Wie schalte ich UFW wieder aus?
Nutze sudo ufw disable. Dies deaktiviert die Firewall vollständig; verwende dies nur vorübergehend zur Fehlerbehebung.
Kann ich mehrere Ports gleichzeitig öffnen?
Ja, mit einem Bereich wie sudo ufw allow 1000:2000/tcp öffnest du alle Ports innerhalb dieses Bereichs auf einmal.
Reicht UFW für die Serversicherheit aus?
Eine Firewall ist eine Sicherheitsebene. Kombiniere sie mit starken Passwörtern, SSH-Schlüsseln, regelmäßigen Updates und täglichen Backups für einen gut geschützten Server.
Fazit
UFW macht die Einrichtung einer Firewall unter Ubuntu übersichtlich: installieren, eine sichere Standardrichtlinie festlegen, nur die benötigten Ports öffnen und regelmäßig die aktiven Regeln prüfen. So beschränkst du den Zugriff auf deinen Server auf genau das Notwendige. Möchtest du lieber keine eigenen Firewall-Regeln verwalten und dies an einen Anbieter mit vollständig verwalteten Servern auslagern? Dann schau dir die Möglichkeiten für einen Wechsel zu Tandata an.