Возможны проблемы, когда внезапно приходят жалобы от дата-центра о сканировании частных сетей, хотя нарочно вы этого не делали. Для решения такой проблемы можно заблокировать все приватные сети с помощью файрволла ufw.

Установка ufw

Для начала следует проверить наличие утилиты ufw на вашем сервере и при необходимости установить её:

sudo apt install ufw

Далее, перед включением ufw, необходимо открыть важные порты, чтобы не потерять доступ к сервисам. Разрешим порты сервисов SSH, HTTP и HTTPS:

sudo ufw allow 22

sudo ufw allow 80

sudo ufw allow 443

Готово. Теперь можно включить файрволл:

sudo ufw enable

Проверить текущий статус файрволла можно командой:

sudo ufw status

Блокировка частных сетей

Теперь можем перейти к блокировке приватных сетей, чтобы исключить любые исходящие подключения к ним с вашего сервера.

К приватным сетям относятся:

10.0.0.0/8
172.16.0.0/12
192.168.0.0/16
100.64.0.0/10 (CGNAT)

Заблокировать эти сети (и ряд служебных диапазонов) достаточно просто — используем команды:

sudo ufw deny out from any to 10.0.0.0/8

sudo ufw deny out from any to 172.16.0.0/12

sudo ufw deny out from any to 192.168.0.0/16

sudo ufw deny out from any to 100.64.0.0/10

sudo ufw deny out from any to 198.18.0.0/15

sudo ufw deny out from any to 169.254.0.0/16

После добавления правил ещё раз проверяем их статус:

sudo ufw status


# Либо при помощи iptables:
iptables-save

Теперь, если мы попытаемся обратиться к адресу из частной сети, то получим ошибку. Например, через команду ping:

ping 198.18.22.62

На этом настройка блокировки приватных сетей завершена.

Разблокировка сетей (при необходимости)

Если в будущем вам потребуется снова разрешить доступ к одной из заблокированных сетей, сначала посмотрите нумерованный список актуальных правил ufw:

sudo ufw status numbered

Далее удалите нужное правило по его номеру (вместо N укажите фактический номер правила из вывода предыдущей команды):

sudo ufw delete N

Например, удалим правило №7:

sudo ufw delete 7

Теперь при попытке повторного обращения к адресу 198.18.22.62 у нас не будет ограничений:

Спасибо за ознакомление! Теперь Вы умеете закрывать (и открывать) доступ своему серверу к частным сетям при помощи ufw.