Можуть виникати ситуації, коли раптово надходять скарги від дата-центру про сканування приватних мереж, хоча навмисно ви цього не робили. Щоб розв’язати цю проблему, можна заблокувати всі приватні мережі за допомогою фаєрвола ufw.

Встановлення ufw

Спочатку варто перевірити наявність утиліти ufw на вашому сервері та за потреби встановити її:

sudo apt install ufw

Далі, перед увімкненням ufw, необхідно відкрити важливі порти, щоб не втратити доступ до сервісів. Дозволимо порти сервісів SSH, HTTP та HTTPS:

sudo ufw allow 22

sudo ufw allow 80

sudo ufw allow 443

Готово. Тепер можна увімкнути фаєрвол:

sudo ufw enable

Перевірити поточний статус фаєрвола можна командою:

sudo ufw status

Блокування приватних мереж

Тепер можемо перейти до блокування приватних мереж, щоб виключити будь-які вихідні підключення до них з вашого сервера.

До приватних мереж належать:

10.0.0.0/8
172.16.0.0/12
192.168.0.0/16
100.64.0.0/10 (CGNAT)

Заблокувати ці мережі (та низку службових діапазонів) досить просто — використовуємо команди:

sudo ufw deny out from any to 10.0.0.0/8

sudo ufw deny out from any to 172.16.0.0/12

sudo ufw deny out from any to 192.168.0.0/16

sudo ufw deny out from any to 100.64.0.0/10

sudo ufw deny out from any to 198.18.0.0/15

sudo ufw deny out from any to 169.254.0.0/16

Після додавання правил ще раз перевіряємо їхній статус:

sudo ufw status


# Або за допомогою iptables:
iptables-save

Тепер, якщо ми спробуємо звернутися до адреси з приватної мережі, отримаємо помилку. Наприклад, за допомогою команди ping:

ping 198.18.22.62

На цьому налаштування блокування приватних мереж завершено.

Розблокування мереж (за потреби)

Якщо в майбутньому вам знадобиться знову дозволити доступ до однієї з заблокованих мереж, спочатку перегляньте нумерований список актуальних правил ufw:

sudo ufw status numbered

Потім видаліть потрібне правило за його номером (замість N вкажіть фактичний номер правила з виводу попередньої команди):

sudo ufw delete N

Наприклад, видалимо правило №7:

sudo ufw delete 7

Тепер під час повторної спроби звернення до адреси 198.18.22.62 обмежень більше не буде:

Дякуємо за ознайомлення! Тепер ви вмієте закривати (та відкривати) доступ свого сервера до приватних мереж за допомогою ufw.