Configurare UFW su Ubuntu 24.04 senza perdere l’accesso SSH

Su un server remoto attiva UFW soltanto dopo aver identificato la porta SSH realmente in uso e averla autorizzata. Tieni aperta la sessione corrente, predisponi un accesso alla console del provider o fisica e usa un secondo terminale per verificare la connessione. Gli esempi suppongono SSH su 22/tcp e non sostituiscono eventuali regole di rete del provider.

Controlla SSH e la porta

Guarda le porte TCP in ascolto e la configurazione effettiva di sshd. Su installazioni che usano l’attivazione tramite socket, il processo indicato da ss può essere systemd invece di sshd: non filtrare soltanto per nome del processo. Il profilo UFW OpenSSH va controllato prima di usarlo; se SSH ascolta su 2222, sostituisci 22 nelle regole.

sudo ss -lntp
sudo sshd -T | grep '^port '

Installa e osserva lo stato

Installa UFW se necessario. Status: inactive è normale su una nuova installazione; verifica anche eventuali regole già presenti, le porte dell’applicazione, IPv6 e firewall esterni prima di attivarlo. Lascia aperta la connessione amministrativa.

sudo apt update
sudo apt install ufw
sudo ufw status verbose
sudo ufw app info OpenSSH

Imposta policy e autorizza SSH

Nega le nuove connessioni in ingresso, consenti quelle in uscita e aggiungi la regola SSH prima di ufw enable. Usa 22/tcp soltanto se è la porta corretta. In alternativa puoi usare sudo ufw allow OpenSSH se il profilo elenca davvero quella porta. Controlla le regole preparate con ufw show added.

sudo ufw default deny incoming
sudo ufw default allow outgoing
sudo ufw allow 22/tcp
sudo ufw show added

Attiva e prova da un secondo terminale

Abilita UFW e controlla stato e numeri delle regole. Senza chiudere la prima sessione, apri una nuova connessione SSH da un altro terminale e prova un comando innocuo. Una sessione già aperta non dimostra che un nuovo collegamento sia possibile. Se il test fallisce, usa la sessione esistente o la console di recupero per correggere la regola.

sudo ufw enable
sudo ufw status verbose
sudo ufw status numbered

Limita la sorgente soltanto dopo il test

La regola d’esempio accetta SSH da 203.0.113.10, indirizzo riservato alla documentazione: sostituiscilo con un IP pubblico statico effettivamente visto dal server. Prima di eliminare la regola generale, verifica una nuova connessione dalla sorgente autorizzata. Se l’indirizzo è dinamico, se usi IPv6 o accedi da reti diverse, pianifica le regole corrispondenti e una via di recupero.

sudo ufw allow proto tcp from 203.0.113.10 to any port 22
sudo ufw status numbered

Apri soltanto i servizi necessari

Per un sito pubblico, 80/tcp e 443/tcp possono essere necessari. Una regola firewall non avvia un servizio; un servizio in ascolto non diventa automaticamente raggiungibile. Per database e pannelli di amministrazione limita sorgenti e interfacce, evitando di esporli a tutti.

sudo ufw allow 80/tcp
sudo ufw allow 443/tcp
sudo ufw status numbered

Limiti, ordine delle regole e IPv6

UFW limit attenua tentativi ripetuti su SSH ma non sostituisce autenticazione con chiave o misure contro attacchi. L’esempio elimina prima una regola generale 22/tcp: eseguilo solo dopo aver verificato il numero e la sintassi esatti della tua regola, altrimenti usa sudo ufw status numbered e rimuovi l’entrata giusta. La prima regola applicabile può prevalere. Controlla IPV6=yes se il server ha connettività IPv6 pubblica e verifica regole per entrambe le famiglie.

sudo ufw delete allow 22/tcp
sudo ufw limit 22/tcp
grep '^IPV6=' /etc/default/ufw

Log e diagnosi

Mantieni il logging moderato e controlla eventi recenti. Confronta porte in ascolto, regole UFW e firewall del provider. Un blocco può dipendere anche dalla configurazione SSH, da una rete intermedia o da un indirizzo sorgente diverso da quello previsto.

sudo ufw logging low
sudo journalctl -k --grep=UFW --since '30 minutes ago'
sudo ss -lntup

Recupero e fonti

Se la nuova sessione fallisce, non chiudere quella esistente. Controlla servizio e regole; correggi la regola con l’accesso ancora disponibile o dalla console del provider. Disabilitare UFW può essere una misura temporanea di emergenza dalla console, da correggere subito. Riferimento ufficiale: https://documentation.ubuntu.com/server/how-to/security/firewalls/index.html .

sudo systemctl status ssh --no-pager
sudo ufw status numbered