UFW unter Ubuntu 24.04 einrichten, ohne SSH-Zugriff zu verlieren

Aktivieren Sie UFW auf einem entfernten Server erst, nachdem der tatsächliche SSH-Port festgestellt und freigegeben wurde. Lassen Sie die bestehende Verbindung offen, halten Sie eine Provider- oder lokale Konsole bereit und testen Sie aus einem zweiten Terminal. Die Beispiele setzen SSH auf 22/tcp voraus; eine zusätzliche Provider-Firewall bleibt zu beachten.

SSH und Port prüfen

Prüfen Sie lauschende TCP-Ports und die wirksame sshd-Konfiguration. Bei Socket-Aktivierung kann ss systemd statt sshd als Prozess anzeigen; filtern Sie nicht nur nach Prozessnamen. Prüfen Sie das UFW-Profil OpenSSH vor der Nutzung. Bei SSH auf Port 2222 müssen die Beispielregeln angepasst werden.

sudo ss -lntp
sudo sshd -T | grep '^port '

Installation und Status

Installieren Sie UFW bei Bedarf. Status: inactive ist bei einer neuen Installation normal. Prüfen Sie vorhandene Regeln, Anwendungsports, IPv6 und externe Firewalls vor dem Einschalten. Halten Sie die Verwaltungssitzung offen.

sudo apt update
sudo apt install ufw
sudo ufw status verbose
sudo ufw app info OpenSSH

Standardregeln und SSH-Freigabe

Blockieren Sie neue eingehende Verbindungen, erlauben Sie ausgehende und fügen Sie die SSH-Regel vor ufw enable hinzu. Verwenden Sie 22/tcp nur, wenn SSH dort tatsächlich lauscht. Alternativ ist sudo ufw allow OpenSSH möglich, falls das Profil den Port enthält. Prüfen Sie die vorbereiteten Regeln mit ufw show added.

sudo ufw default deny incoming
sudo ufw default allow outgoing
sudo ufw allow 22/tcp
sudo ufw show added

Aktivieren und erneut verbinden

Aktivieren Sie UFW und lesen Sie Status und nummerierte Regeln. Öffnen Sie ohne Schließen der ersten Sitzung eine neue SSH-Verbindung aus einem zweiten Terminal. Eine bestehende Sitzung beweist nicht, dass ein Neuaufbau klappt. Falls er scheitert, korrigieren Sie die Regel über die alte Sitzung oder die Rettungskonsole.

sudo ufw enable
sudo ufw status verbose
sudo ufw status numbered

Quelladresse erst danach beschränken

Die Beispielregel erlaubt SSH von der Dokumentationsadresse 203.0.113.10. Ersetzen Sie sie durch die echte statische öffentliche IP, die der Server sieht. Testen Sie von dort eine neue Verbindung, bevor Sie die allgemeine Regel entfernen. Bei wechselnder IP, IPv6 oder mehreren Zugangsnetzen planen Sie entsprechende Regeln und eine Rückfallmöglichkeit.

sudo ufw allow proto tcp from 203.0.113.10 to any port 22
sudo ufw status numbered

Nur benötigte Dienste öffnen

Eine öffentliche Website kann 80/tcp und 443/tcp benötigen. Eine Firewall-Regel startet keinen Dienst; ein lauschender Dienst muss von außen nicht erreichbar sein. Beschränken Sie Datenbanken und Administrationsports auf nötige Quellen und Schnittstellen.

sudo ufw allow 80/tcp
sudo ufw allow 443/tcp
sudo ufw status numbered

Begrenzung, Regelreihenfolge, IPv6

UFW limit dämpft häufige SSH-Verbindungsversuche, ersetzt aber keine Anmeldung per Schlüssel. Das Beispiel entfernt zuerst eine allgemeine 22/tcp-Regel: nur ausführen, wenn Ihre Regel genau so lautet; andernfalls nummerierte Regeln prüfen und den richtigen Eintrag entfernen. Die erste passende Regel kann Vorrang haben. Prüfen Sie IPV6=yes bei öffentlichem IPv6 und kontrollieren Sie beide Adressfamilien.

sudo ufw delete allow 22/tcp
sudo ufw limit 22/tcp
grep '^IPV6=' /etc/default/ufw

Protokolle und Diagnose

Nutzen Sie maßvolles Logging und prüfen Sie neue Ereignisse. Vergleichen Sie lauschende Ports, UFW-Regeln und die Provider-Firewall. Fehler können auch an SSH-Einstellungen, Zwischennetzen oder einer anderen Quell-IP liegen.

sudo ufw logging low
sudo journalctl -k --grep=UFW --since '30 minutes ago'
sudo ss -lntup

Wiederherstellung und Quelle

Bei fehlgeschlagener neuer Verbindung schließen Sie die alte nicht. Prüfen und korrigieren Sie Dienst und Regeln über die bestehende Sitzung oder Provider-Konsole. Vorübergehendes Abschalten von UFW ist nur eine Notmaßnahme über eine vertrauenswürdige Konsole; beheben Sie danach die Regeln. Offizielle Anleitung: https://documentation.ubuntu.com/server/how-to/security/firewalls/index.html .

sudo systemctl status ssh --no-pager
sudo ufw status numbered