14 octombrie 2026 · by Alex M.
Un server expus pe internet fără un firewall bine configurat este o invitație deschisă pentru atacatori. UFW (Uncomplicated Firewall) este soluția implicită pe distribuțiile Ubuntu/Debian și reprezintă cel mai simplu mod de a controla traficul de rețea pe un VPS Linux — fără a fi nevoie de cunoștințe avansate despre iptables.
În acest ghid complet vei învăța cum să instalezi, configurezi și gestionezi UFW pe un VPS cu Ubuntu 22.04, cu exemple concrete de reguli pentru scenarii reale: server web, SSH, email, baze de date și altele.
UFW este o interfață simplificată pentru iptables, motorul de filtrare de pachete al kernel-ului Linux. În loc să scrii reguli complexe iptables manual, UFW îți permite să definești politici clare cu comenzi intuitive.
Dacă ai un server VPS NVMe sau unul administrat, UFW este prima linie de apărare pe care ar trebui să o configurezi imediat după instalarea sistemului de operare.
EN
RO — Română
RU — Русский
sudo⚠️ Important: Înainte de orice modificare la firewall, asigură-te că portul SSH (implicit 22) este permis. Altfel riști să te blochezi din propriul server.
Pe Ubuntu 22.04, UFW este de obicei preinstalat. Verifică starea lui:
sudo ufw status
Dacă nu este instalat, rulează:
sudo apt update && sudo apt install ufw -y
Verifică versiunea instalată:
ufw --version
Înainte de a activa UFW, setează politica implicită: blochează tot traficul de intrare și permite tot traficul de ieșire. Acesta este punctul de plecare corect pentru orice server de producție.
sudo ufw default deny incoming
sudo ufw default allow outgoing
Această abordare „deny by default" este cea mai sigură: tot ce nu este explicit permis va fi blocat automat.
Înainte de a activa UFW, adaugă o regulă pentru SSH:
sudo ufw allow ssh
Sau, dacă ai schimbat portul SSH la altceva (ex. 2222):
sudo ufw allow 2222/tcp
Poți utiliza și profilurile predefinite. Listează-le cu:
sudo ufw app list
Rezultat tipic:
Available applications:
Nginx Full
Nginx HTTP
Nginx HTTPS
OpenSSH
Pentru a permite OpenSSH prin profil:
sudo ufw allow OpenSSH
Acum că SSH este permis, activează firewall-ul:
sudo ufw enable
Vei primi un avertisment că conexiunile existente pot fi afectate. Tastează y pentru a continua.
Verifică starea:
sudo ufw status verbose
Exemplu de output:
Status: active
Logging: on (low)
Default: deny (incoming), allow (outgoing), disabled (routed)
New profiles: skip
To Action From
-- ------ ----
22/tcp ALLOW IN Anywhere
22/tcp (v6) ALLOW IN Anywhere (v6)
Dacă rulezi un site web pe hosting VPS cu Nginx sau Apache, ai nevoie de porturile HTTP și HTTPS deschise:
sudo ufw allow 'Nginx Full'
Acest profil deschide porturile 80 (HTTP) și 443 (HTTPS) simultan.
Sau manual:
sudo ufw allow 80/tcp
sudo ufw allow 443/tcp
sudo ufw allow 'Apache Full'
sudo ufw allow 'Nginx HTTPS'
Dacă ai nevoie de certificate SSL pentru serverul tău, CLIQHOST oferă soluții complete pentru securizarea comunicațiilor.
Niciodată nu expune portul bazei de date pe internet deschis! Permite accesul doar de la IP-uri specifice sau din rețeaua locală.
sudo ufw allow from 192.168.1.50 to any port 3306
sudo ufw allow from 10.0.0.0/8 to any port 5432
Redis nu trebuie expus extern. Dacă ai nevoie totuși de acces de la un IP specific:
sudo ufw allow from 10.10.0.5 to any port 6379
Dacă rulezi un server de email (ex. Postfix), ai nevoie de aceste porturi:
sudo ufw allow 25/tcp # SMTP
sudo ufw allow 587/tcp # SMTP cu autentificare (submission)
sudo ufw allow 465/tcp # SMTPS
sudo ufw allow 143/tcp # IMAP
sudo ufw allow 993/tcp # IMAPS
sudo ufw allow 110/tcp # POP3
sudo ufw allow 995/tcp # POP3S
Atentie: portul 25 este adesea blocat de providerii de hosting pentru a preveni spam-ul. Verifică politicile serviciilor de administrare server dacă ai nevoie de acces SMTP complet.
UFW are o funcție nativă de rate limiting utilă împotriva atacurilor de tip brute-force pe SSH:
sudo ufw limit ssh
Această regulă blochează automat un IP dacă încearcă mai mult de 6 conexiuni în 30 de secunde. Este complementară cu Fail2Ban și mult mai simplă de configurat.
Poți aplica rate limiting și pe alte porturi:
sudo ufw limit 2222/tcp comment 'SSH pe port custom'
sudo ufw allow from 203.0.113.10
sudo ufw allow from 203.0.113.10 to any port 443
sudo ufw deny from 198.51.100.0/24
sudo ufw deny from 198.51.100.5 to any port 80
sudo ufw status numbered
Output exemplu:
To Action From
-- ------ ----
[ 1] 22/tcp ALLOW IN Anywhere
[ 2] 80/tcp ALLOW IN Anywhere
[ 3] 443/tcp ALLOW IN Anywhere
[ 4] 3306/tcp ALLOW IN 192.168.1.50
sudo ufw delete 4
sudo ufw delete allow 80/tcp
sudo ufw disable
sudo ufw reset
UFW poate înregistra traficul blocat sau permis — util pentru diagnosticare și audit de securitate.
sudo ufw logging on
Niveluri disponibile: off, low, medium, high, full
sudo ufw logging medium
Log-urile se găsesc în:
tail -f /var/log/ufw.log
Sau prin journald:
journalctl -f | grep UFW
Pentru o gestionare eficientă a log-urilor pe termen lung, combină UFW cu logrotate — astfel previi umplerea discului cu fișiere de log vechi.
Pentru scenarii mai complexe (ex. NAT, forwarding), poți edita direct:
sudo nano /etc/ufw/before.rules
Sau configurația generală:
sudo nano /etc/ufw/ufw.conf
După modificări, reîncarcă regulile:
sudo ufw reload
Verifică că IPv6 este activat în /etc/ufw/ufw.conf:
IPV6=yes
Toate regulile definite se vor aplica automat și pentru IPv6 când această opțiune este activă.
Iată secvența completă pentru un VPS cu hosting web:
# Politici implicite
sudo ufw default deny incoming
sudo ufw default allow outgoing
# SSH
sudo ufw limit ssh
# Web
sudo ufw allow 80/tcp
sudo ufw allow 443/tcp
# Baza de date — doar de la serverul de aplicatie
sudo ufw allow from 10.0.0.5 to any port 3306
# Activare
sudo ufw enable
# Verificare
sudo ufw status verbose
Dacă ai uitat să permiți SSH înainte de ufw enable, ai nevoie de acces la consolă VNC/KVM. Majoritatea furnizorilor, inclusiv CLIQHOST, oferă acces consolă de urgență pentru situații de acest tip.
Verifică ordinea regulilor (ufw status numbered). UFW aplică regulile în ordine — prima regulă care se potrivește câștigă.
Asigură-te că serviciul este enabled:
sudo systemctl enable ufw
sudo systemctl start ufw
Docker modifică regulile iptables direct, ocolind UFW. Soluția este să editezi /etc/ufw/after.rules sau să folosești variabila DOCKER-USER chain. Consultă blogul CLIQHOST pentru ghidul dedicat Docker + Nginx reverse proxy.
UFW este un instrument esențial pentru orice administrator de server Linux — simplu de folosit, dar suficient de puternic pentru scenarii reale de producție. Combinat cu alte măsuri de securitate (autentificare SSH prin chei, Fail2Ban, actualizări regulate), UFW formează baza unei infrastructuri sigure.
Dacă vrei un VPS Linux gata configurat și securizat, sau ai nevoie de asistență tehnică pentru administrarea serverului tău, serviciile de management server CLIQHOST sunt disponibile pentru a te ajuta. Explorează și oferta noastră de servere VPS NVMe cu performanță maximă și suport tehnic inclus.
Real reviews from customers who trust CLIQHOST for performance, reliability and expert technical support.
"We moved our online shop from a foreign host and the difference is night and day — pages load instantly and support replies in minutes, in Romanian."
"Migrated 12 client sites to CLIQHOST. Free migration, zero downtime, and the cPanel setup is exactly what my team needed. Highly recommend."
"Our NVMe VPS handles traffic spikes without a sweat. Full root, local datacenter, and billing in MDL — everything we wanted from a provider."
