Настройка фаервола на VPS: коротко и с данными
Конспект страницы: 4 раздела коротко, данные на 14 октября 2026 и ответы на 4 вопроса. Полный разбор с примерами: Настройка фаервола на VPS.
Коротко
Настройка фаервола на VPS идёт от одного принципа: всё входящее запрещено, кроме перечисленного. Открытых портов на обычном сервере с сайтом ровно три, и каждый следующий добавляется под конкретную службу, а не на всякий случай. Политика входящих запрещено по умолчанию, дальше разрешается вход, 80 и 443.
Конспект по разделам
Какие порты оставить открытыми
Начинать надо не с правил, а со списка служб, которые действительно смотрят в интернет. На типовом сервере с сайтом он короткий. Частая ошибка в этом месте: служба слушает все адреса, а доступ к ней закрывают фаерволом.
ufw, nftables и правила на стороне площадки
Внутри системы инструмент выбирается по тому, сколько правил вам нужно. Если установлена панель управления, она часто правит правила сама. Два инструмента, которые по очереди перезаписывают одни и те же правила, это источник необъяснимых отказов: см. панели управления.
- ufw.
- nftables.
- iptables.
- Правила провайдера.
Проверьте свой набор портов
Ответьте на три вопроса, и получится список портов под вашу задачу. Открытых портов должно быть ровно столько, сколько служб смотрит в интернет. Три вопроса После применения правил проверьте их снаружи, а не изнутри машины: изнутри всё выглядит открытым.
Четыре ошибки, после которых закрывается вход
Смена порта входа это не защита Перенос службы входа на нестандартный порт убирает шум в журналах, но находится первым же сканированием. Работают другие вещи: вход по ключу и ограничение частоты попыток, см. безопасность сервера. Если вход всё-таки закрылся, ситуация не аварийная: правила правятся через консоль в панели.
- Политика запрета применена раньше разрешения входа.
- Docker обходит правила.
- Запрещён весь ICMP.
- Блокировка по странам как основная защита.
Данные
| Порт | Кому нужен | Ограничение |
|---|---|---|
| 22, вход в систему | Вам | Лучше по списку своих адресов |
| 80 и 443 | Посетителям сайта | Открыты всем, иначе сайта нет |
| 3306, 5432, база | Только локальным процессам | Наружу не открывается |
| Порт панели | Вам | По списку адресов |
| 3389, рабочий стол | Вам | По списку адресов или через туннель |
Данные на 14 октября 2026.
Вопросы и ответы
Нужен ли фаервол, если на сервере только сайт?
Да. Без него наружу смотрят все службы, которые когда-либо были установлены, включая базу и служебные порты панели.
Что выбрать: ufw или nftables?
Для одного сервера с сайтом хватает ufw. nftables берут, когда нужны списки адресов, ограничение частоты и десятки правил.
Почему порт открыт, хотя в правилах он закрыт?
Типичная причина это контейнер с публикацией порта: его правила применяются раньше ваших. Проверяется публикация портов в описании контейнера.
Стоит ли закрывать порты от сканирования по странам?
Как дополнение можно, как основная мера нет: списки адресов устаревают, а перебор идёт с машин по всему миру.