4. Firewall dengan UFW

Firewall memutuskan koneksi mana yang boleh masuk ke server. Di Ubuntu, cara termudah mengaturnya adalah UFW (Uncomplicated Firewall).

Prinsip: tolak semua, izinkan seperlunya

Kebijakan yang aman: tolak semua koneksi masuk secara bawaan, lalu buka hanya port yang benar-benar dibutuhkan. Koneksi keluar (server mengakses internet) tetap diizinkan.

Urutan yang aman

1. Izinkan SSH dulu. Ini langkah terpenting.

   sudo ufw allow OpenSSH

2. Izinkan layanan lain yang memang diperlukan.

   sudo ufw allow 'Nginx Full'    # 80 + 443
   sudo ufw allow 51820/udp       # WireGuard (di VPS)

3. Pastikan kebijakan bawaan, lalu nyalakan firewall.

   sudo ufw default deny incoming
   sudo ufw default allow outgoing
   sudo ufw enable

4. Periksa hasilnya.

   sudo ufw status verbose

Jangan sampai terkunci di luar

Kalau kamu menyalakan firewall sebelum mengizinkan SSH, koneksi SSH-mu langsung terputus dan kamu tidak bisa masuk lagi. Di VPS, satu-satunya jalan keluar adalah konsol darurat dari penyedia VPS. Terminal latihan akan memperingatkanmu kalau ini terjadi.

Contoh aturan

sudo ufw allow 80/tcp                              # port tertentu
sudo ufw allow 8000:8100/tcp                       # rentang port
sudo ufw allow from 10.10.10.0/24 to any port 22   # SSH hanya dari WireGuard
sudo ufw deny 3306                                 # tolak eksplisit
sudo ufw status numbered                           # lihat nomor aturan
sudo ufw delete 3                                  # hapus aturan nomor 3
sudo ufw app list                                  # profil aplikasi yang tersedia

Docker dan UFW

Port yang dibuka Docker dengan -p melewati aturan UFW karena Docker mengatur iptables sendiri. Jadi ufw deny 8080 tidak menutup container di -p 8080:80. Solusinya: ikat port ke IP tertentu, misalnya -p 127.0.0.1:8080:80 atau -p 10.10.10.2:8080:80.

Lab

Lab: Firewall dengan UFW↺ Ulangi

Misi 0/7

1. Cek status firewall.
   Petunjuk

   sudo ufw status
2. Izinkan SSH **sebelum** menyalakan firewall.
   Petunjuk

   sudo ufw allow OpenSSH
3. Izinkan web: HTTP (80) dan HTTPS (443).
   Petunjuk

   sudo ufw allow 'Nginx Full'
4. Pastikan kebijakan bawaan menolak koneksi masuk.
   Petunjuk

   sudo ufw default deny incoming
5. Nyalakan firewall.
   Petunjuk

   sudo ufw enable
6. Lihat aturan firewall beserta nomornya.
   Petunjuk

   sudo ufw status numbered
7. Tolak akses ke port database MySQL (3306) secara eksplisit.
   Petunjuk

   sudo ufw deny 3306