Безопасность веб-сервера и Firewall

Цели занятия

На этом занятии не повторяется базовая настройка сайта в Nginx. Основной фокус — безопасность сервера: какие порты должны быть доступны, как работает firewall, почему важно защищать SSH и как проверять подозрительные подключения.

После занятия студент должен уметь:

• объяснить, зачем серверу firewall;
• назвать назначение портов 22, 80 и 443;
• проверить статус UFW;
• безопасно включить firewall;
• разрешить доступ к HTTP и HTTPS;
• ограничить SSH-доступ;
• проверить, какие порты слушает сервер;
• найти подозрительные подключения и ошибки в логах.

1. Базовая модель безопасности сервера

Безопасность сервера строится на простом принципе: всё лишнее должно быть закрыто. Если сервис не нужен пользователям из интернета, он не должен быть доступен извне.

Главный принцип

Запрещено всё, что явно не разрешено.

Для веб-сервера обычно нужно оставить доступными только:

• 22/tcp — SSH для администратора;
• 80/tcp — HTTP;
• 443/tcp — HTTPS.

Примеры опасных ситуаций

2. Порты и сетевые службы

Порт — это номер, по которому клиент подключается к конкретной службе на сервере. Если порт закрыт firewall, подключение снаружи не пройдёт.

Основные порты

Проверка слушающих портов

sudo ss -tulpn

Проверка конкретного порта

sudo ss -tulpn | grep ':80'
sudo ss -tulpn | grep ':443'
sudo ss -tulpn | grep ':22'

3. Firewall UFW

UFW — это удобный инструмент для управления firewall. Он позволяет быстро разрешать и запрещать подключения к портам.

Проверка состояния

sudo ufw status

Более подробный вывод:

sudo ufw status verbose

Безопасное включение firewall

Перед включением firewall обязательно нужно разрешить SSH, иначе можно потерять удалённый доступ к серверу.

sudo ufw allow 22/tcp
sudo ufw allow 80/tcp
sudo ufw allow 443/tcp
sudo ufw enable
sudo ufw status

Запрет входящих подключений по умолчанию

sudo ufw default deny incoming

Разрешение исходящих подключений по умолчанию

sudo ufw default allow outgoing

Удаление правила

sudo ufw delete allow 80/tcp

Просмотр правил с номерами

sudo ufw status numbered

Удаление правила по номеру

sudo ufw delete 3

4. Безопасность SSH-доступа

SSH — основной способ удалённого управления сервером. Именно поэтому его часто атакуют автоматические боты.

Базовые меры защиты SSH

Разрешить SSH только с конкретного IP

sudo ufw allow from 203.0.113.10 to any port 22 proto tcp

Вместо 203.0.113.10 нужно указать реальный IP администратора.

Запретить обычное правило SSH для всех

sudo ufw delete allow 22/tcp

Проверка SSH-логов

sudo journalctl -u ssh -n 50
sudo journalctl -u ssh -f

5. Ограничение доступа к отдельным разделам сайта

Firewall работает на уровне портов и IP-адресов. Но иногда нужно ограничить доступ только к отдельной части сайта, например к служебной странице или внутренней панели.

Ограничение доступа по IP

location /admin/ {
    allow 203.0.113.10;
    deny all;
}

Такой блок разрешает доступ к /admin/ только с одного IP-адреса.

Запрет доступа к скрытым файлам

location ~ /\. {
    deny all;
}

Это правило запрещает доступ к скрытым файлам, например к .env, .git и другим служебным данным.

Запрет доступа к директории с приватными файлами

location /private/ {
    deny all;
}

6. Базовые security headers

Security headers — это HTTP-заголовки, которые помогают браузеру безопаснее обрабатывать сайт. Они не заменяют firewall, но добавляют базовый уровень защиты.

Пример базовых заголовков

add_header X-Frame-Options "SAMEORIGIN" always;
add_header X-Content-Type-Options "nosniff" always;
add_header Referrer-Policy "strict-origin-when-cross-origin" always;
add_header X-XSS-Protection "1; mode=block" always;

7. Логи безопасности

Логи помогают понять, кто подключался к серверу, какие запросы отправлялись и были ли ошибки доступа.

Логи входа по SSH

sudo journalctl -u ssh -n 100

Логи firewall UFW

sudo ufw logging on
sudo tail -f /var/log/ufw.log

Логи веб-запросов

sudo tail -f /var/log/nginx/access.log

Логи ошибок веб-сервера

sudo tail -f /var/log/nginx/error.log

Что искать в логах

• много повторяющихся запросов с одного IP;
• попытки открыть /.env, /.git, /wp-admin;
• много ошибок 403, 404, 499, 500;
• частые попытки входа по SSH;
• подключения к портам, которые не должны быть доступны.

8. Диагностика проблем с доступом

Проблемы с доступом нужно проверять по цепочке: служба, порт, firewall, логи, внешнее подключение.

Сайт не открывается снаружи

Проверка внешнего доступа с другого устройства

curl -I http://example.com
curl -I https://example.com

Проверка, кто слушает порт

sudo ss -tulpn | grep ':80'
sudo ss -tulpn | grep ':443'

Порт открыт в UFW, но сайт всё равно не доступен

Возможные причины:

• у хостинг-провайдера есть отдельный внешний firewall;
• служба не слушает нужный порт;
• домен указывает не на тот IP;
• сервер слушает только локальный адрес 127.0.0.1;
• провайдер блокирует порт.

9. Практическая работа

sudo ufw status verbose

sudo ufw allow 22/tcp
sudo ufw allow 80/tcp
sudo ufw allow 443/tcp

sudo ss -tulpn

sudo journalctl -u ssh -n 50

sudo tail -n 100 /var/log/nginx/access.log

10. Мини-проверка

11. Итоговый чек-лист безопасности

Минимальный порядок проверки безопасности веб-сервера:

1. Проверить firewall:
   sudo ufw status verbose

2. Разрешить только нужные порты:
   sudo ufw allow 22/tcp
   sudo ufw allow 80/tcp
   sudo ufw allow 443/tcp

3. Проверить слушающие порты:
   sudo ss -tulpn

4. Проверить SSH-логи:
   sudo journalctl -u ssh -n 50

5. Проверить веб-логи:
   sudo tail -n 100 /var/log/nginx/access.log
   sudo tail -n 100 /var/log/nginx/error.log

6. Закрыть доступ к служебным файлам:
   .env
   .git
   private-директории

7. Не открывать наружу:
   базы данных
   Redis
   внутренние панели
   тестовые сервисы