UFW Firewall Generator

SICHERHEITS-TOOL

UFW Firewall Generator

Erstelle UFW-Regeln für Linux mit Port-Presets, IPv4/IPv6-Support und Sicherheits-Best-Practices. Mit Live-Vorschau der generierten Befehle.

UFW iptables CLI-Befehle Ports IPv4/IPv6

Hinweis: Dieser Generator erstellt UFW-Regeln für Linux-Systeme. UFW ist eine vereinfachte Oberfläche für iptables und Standard in Ubuntu/Debian. Wichtig: Teste Regeln immer in einer sicheren Umgebung, bevor du sie produktiv einsetzt!

Inhaltsverzeichnis

Schnellübersicht

  • Regel-Generator: Erlaubte/blockierte Ports mit Quelle/Ziel
  • Port-Presets: SSH, HTTP, HTTPS, DNS, Mail, Gaming, etc.
  • Regel-Priorisierung: Reihenfolge und First-Match
  • IPv4/IPv6: Dual-Stack-Regeln
  • Live-Vorschau: Generierte CLI-Befehle
  • Best Practices: Sicherheitshinweise und Fallstricke
  • Theorie: Über UFW, iptables und Firewalls
  • FAQ: Häufige Fragen zu UFW

1. UFW Regel-Generator

Füge Regeln hinzu, ordne sie und generiere das UFW-Skript.

Neue Regel hinzufügen
Was soll passieren?
Einzelport oder Liste
Netzwerk-Protokoll
Leer = any
Kommentar für die Regel
Standard: eingehend
Optional (--comment)
Schnell-Auswahl (Port-Presets):
Aktive Regeln (0)
Wichtige UFW-Befehle

Status prüfen

ufw status – Status anzeigen

ufw status verbose – ausführlich

ufw status numbered – mit Nummern

Firewall aktivieren

ufw enable – UFW aktivieren

ufw disable – deaktivieren

ufw reset – zurücksetzen

Standard-Regeln

ufw default deny incoming

ufw default allow outgoing

ufw default deny routed

Regel löschen

ufw status numbered

ufw delete NUM

ufw delete allow 80

Wichtige Port-Referenz
Port Protokoll Dienst Beschreibung
22TCPSSHRemote-Login
25TCPSMTPMail-Versand
53TCP/UDPDNSNamensauflösung
80TCPHTTPWebserver (unverschlüsselt)
110TCPPOP3Mail-Empfang
143TCPIMAPMail-Empfang (modern)
443TCPHTTPSWebserver (verschlüsselt)
465TCPSMTPSMail-Versand (SSL)
587TCPSubmissionMail-Versand (STARTTLS)
993TCPIMAPSMail-Empfang (SSL)
995TCPPOP3SMail-Empfang (SSL)
3306TCPMySQLMySQL-Datenbank
5432TCPPostgreSQLPostgreSQL-Datenbank
6379TCPRedisRedis-Datenbank
8080TCPHTTP-AltAlternativer HTTP-Port
27017TCPMongoDBMongoDB-Datenbank

2. Theorie – UFW und Firewalls

Verstehe, wie UFW funktioniert und wie du sichere Regeln erstellst.

Was ist UFW?

UFW (Uncomplicated Firewall) ist eine vereinfachte Oberfläche für iptables:

  • Entwickelt: Von Canonical für Ubuntu
  • Einfach: ufw allow 22
  • iptables: Im Hintergrund aktiv
  • Default: Meist deaktiviert in Ubuntu
ufw enable

Default-Policies

UFW nutzt Default-Policies als Grundlage:

  • Incoming: Standard deny
  • Outgoing: Standard allow
  • Routed: Standard deny
  • First-Match: Erste passende Regel gilt
Default deny incoming ist sicher

Regel-Reihenfolge

UFW prüft Regeln von oben nach unten:

  • First-Match: Erste Regel gewinnt
  • Spezifisch vor Allgemein: Sonst blockiert
  • Beispiel: deny 22 vor allow 22
  • Insert: ufw insert 1 ...
ufw insert 1 allow from 10.0.0.0/8 to any port 22

Best Practices

  • Default deny incoming: Immer aktivieren
  • Nur benötigte Ports: Principle of Least Privilege
  • Quell-IPs einschränken: Statt any
  • Rate-Limiting: limit für SSH
  • IPv6 aktivieren: IPV6=yes in /etc/default/ufw
  • Logging: ufw logging on
ufw limit ssh
Wichtig: SSH nicht aussperren!
  • Erst SSH erlauben, dann aktivieren: ufw allow 22/tcp vor ufw enable.
  • Remote-Server: Immer einen zweiten Zugang (Konsole, RDP) bereithalten.
  • Docker: Docker umgeht UFW-Regeln! Container-Ports müssen explizit gemappt werden (-p 127.0.0.1:8080:8080).
  • Testen: Regeln erst in einer Testumgebung prüfen.
  • Backup: cp /etc/ufw/*.rules /root/ufw-backup/

Wussten Sie schon?

UFW ist zwar "einfach", aber mächtig. Es unterstützt Anwendungsprofile, IPv6 (mit IPV6=yes in /etc/default/ufw) und Rate-Limiting für SSH (ufw limit ssh). Für komplexere Szenarien (NAT, Port-Forwarding) muss man aber direkt auf iptables/nftables zurückgreifen.

3. Geschichte von UFW

Von iptables zu UFW und nftables.

1998

iptables

iptables wird als Nachfolger von ipchains eingeführt. Mächtig, aber komplex – die Syntax ist für Anfänger schwer zu erlernen.

2008

UFW entsteht

Canonical entwickelt UFW für Ubuntu 8.04 LTS. Ziel: Eine einfache, benutzerfreundliche Firewall für Einsteiger und Server-Admins.

2011

Gufw (GUI)

Gufw wird veröffentlicht – eine grafische Oberfläche für UFW. Desktop-Nutzer können Regeln nun per Maus konfigurieren.

2014

nftables (Kernel 3.13)

nftables wird in den Linux-Kernel integriert. Es ersetzt langfristig iptables. UFW nutzt weiterhin iptables, wird aber schrittweise angepasst.

2018

Docker & UFW

Das Docker-UFW-Problem wird bekannt: Docker umgeht UFW-Regeln, weil es direkt iptables manipuliert. Sicherheitslücke für Container-Ports.

2020er

UFW in der Cloud

UFW wird Standard in vielen Cloud-Images (Ubuntu, Debian). Für AWS/GCP werden oft Security Groups verwendet – UFW ergänzt diese.

Heute

UFW im Alltag

UFW ist die Standard-Firewall auf Ubuntu/Debian-Servern. Für komplexere Szenarien wird nftables empfohlen, aber UFW bleibt für 90% der Anwendungsfälle ausreichend.

4. FAQ – Häufige Fragen

Häufige Fragen zu UFW

Was ist der Unterschied zwischen allow, deny und reject?

Die drei Aktionen haben unterschiedliche Auswirkungen:

AktionVerhaltenAntwort
allowPaket durchlassenKeine
denyPaket verwerfenKeine (Timeout beim Client)
rejectPaket ablehnenICMP "Port Unreachable"

Empfehlung:

  • deny: Standard für eingehende Verbindungen (Client wartet)
  • reject: Wenn Client sofort informiert werden soll
  • allow: Nur für benötigte Dienste
Warum sollte ich SSH vor dem Aktivieren erlauben?

Kritisch: Wenn du UFW aktivierst, ohne SSH zu erlauben, sperrst du dich selbst aus!

Richtige Reihenfolge:

  • 1. ufw allow 22/tcp (oder dein SSH-Port)
  • 2. ufw default deny incoming
  • 3. ufw default allow outgoing
  • 4. ufw enable

Best Practice: Rate-Limiting für SSH nutzen:

  • ufw limit 22/tcp – max. 6 Verbindungen in 30s
  • Schützt vor Brute-Force-Angriffen

Fallback: Bei Cloud-Servern immer die Provider-Konsole bereithalten!

Wie funktioniert die Regel-Reihenfolge?

First-Match: UFW prüft Regeln von oben nach unten. Die erste passende Regel gilt.

Beispiel (falsch):

  • 1. deny from any to any port 22
  • 2. allow from 10.0.0.0/8 to any port 22

Regel 2 wird nie erreicht – SSH ist überall blockiert!

Beispiel (richtig):

  • 1. allow from 10.0.0.0/8 to any port 22
  • 2. deny from any to any port 22

Regel einfügen:

  • ufw status numbered – Nummern anzeigen
  • ufw insert 1 allow from 10.0.0.0/8 to any port 22
Warum funktioniert UFW nicht mit Docker?

Docker umgeht UFW! Das ist ein bekanntes Sicherheitsproblem:

  • Grund: Docker manipuliert iptables direkt
  • Folge: Container-Ports sind trotz UFW erreichbar
  • Betroffen: Alle Ports, die mit -p gemappt sind

Lösungen:

  • Port nur lokal binden: docker run -p 127.0.0.1:8080:8080
  • Docker-Netzwerk: User-defined networks mit eigenem Subnetz
  • ufw-docker: Tool zur Integration (ufw-docker)
  • iptables-Regeln: Manuell im DOCKER-USER-Chain

Best Practice: Container-Ports nur auf 127.0.0.1 binden und Reverse-Proxy (Nginx) für externen Zugriff nutzen.

Wie aktiviere ich IPv6 in UFW?

IPv6 ist standardmäßig aktiviert in modernen UFW-Versionen (seit Ubuntu 20.04).

Prüfen:

  • grep IPV6 /etc/default/ufw
  • Sollte IPV6=yes zeigen

Falls nicht aktiviert:

  • sudo nano /etc/default/ufw
  • IPV6=yes setzen
  • sudo ufw reload

IPv4 und IPv6 parallel: UFW wendet Regeln automatisch auf beide an, wenn IPv6 aktiviert ist.

Tipp: ufw status verbose zeigt, ob IPv6 aktiv ist.

Was bedeutet "limit" in UFW?

limit ist eine UFW-Aktion mit automatischem Rate-Limiting:

  • Limit: Max. 6 Verbindungen in 30 Sekunden pro IP
  • Zweck: Schutz vor Brute-Force
  • Typisch: SSH (Port 22)
  • Bei Überschreitung: IP wird für 30s blockiert

Beispiel:

  • ufw limit ssh – SSH mit Rate-Limit
  • ufw limit 22/tcp – gleichwertig

Wichtig: limit ist kein Ersatz für Fail2ban oder Key-Auth! Es reduziert nur die Angriffsfläche.

Wie setze ich UFW komplett zurück?

Achtung: Reset löscht alle Regeln und deaktiviert UFW!

Vorgehen:

  • sudo ufw reset – interaktiver Reset
  • Bestätigung mit y
  • UFW ist danach deaktiviert und leer

Alternative: Backup wiederherstellen:

  • Regeln liegen in /etc/ufw/user.rules (IPv4) und /etc/ufw/user6.rules (IPv6)
  • sudo cp /root/ufw-backup/user.rules /etc/ufw/
  • sudo ufw reload

Best Practice: Vor größeren Änderungen Backup machen!

Wie logge ich UFW-Aktivitäten?

UFW-Logging zeigt blockierte und erlaubte Verbindungen:

  • ufw logging on – Logging aktivieren
  • ufw logging off – deaktivieren
  • ufw logging low|medium|high|full – Detailgrad

Log-Datei:

  • /var/log/ufw.log
  • Oder in /var/log/syslog

Log-Beispiel:

  • [UFW BLOCK] IN=eth0 SRC=1.2.3.4 DST=10.0.0.1 ... DPT=22

Auswertung:

  • grep "UFW BLOCK" /var/log/ufw.log
  • tail -f /var/log/ufw.log

Zusammenfassung

Die wichtigsten Punkte

  • UFW: Uncomplicated Firewall – vereinfachte iptables-Oberfläche
  • Default: deny incoming, allow outgoing
  • Reihenfolge: First-Match – erste passende Regel gilt
  • Aktionen: allow, deny, reject, limit
  • SSH: Immer vor ufw enable erlauben!
  • Rate-Limiting: ufw limit ssh gegen Brute-Force
  • IPv6: Standardmäßig aktiv (IPV6=yes in /etc/default/ufw)
  • Docker: Umgeht UFW – Ports nur auf 127.0.0.1 binden!
  • Backup: Regeln in /etc/ufw/*.rules sichern
  • Unser Tool: UFW-Generator mit Presets und Live-Vorschau

Weitere Tools

Wildcard-Mask

Umrechnung zwischen Subnetzmaske und Wildcard-Maske.

Zum Tool
DNS Lookup Tool

DNS-Abfragen für A, AAAA, MX, NS und mehr.

Zum Tool
IPv4-Subnetting

Umfassender Subnetting-Rechner für IPv4-Adressen.

Zum Tool
VLAN ID Calculator

VLAN-IDs nach IEEE 802.1Q berechnen und prüfen.

Zum Tool