Главная/Фаервол
Настройка фаервола на VPS
Настройка фаервола на VPS идёт от одного принципа: всё входящее запрещено, кроме перечисленного. Открытых портов на обычном сервере с сайтом ровно три, и каждый следующий добавляется под конкретную службу, а не на всякий случай.
Ответ за 30 секунд
Политика входящих запрещено по умолчанию, дальше разрешается вход, 80 и 443. Перед применением правил поставьте задание на откат через десять минут: это дешёвая страховка от закрытого порта входа.
Правила сетевого доступа настраиваются на стороне площадки, отдельно от правил внутри машины.
Проверьте свой набор портов3порта на обычном сервере
denyполитика по умолчанию
10 минутокно отката правил
01 · 1 мин
Какие порты оставить открытыми#
Начинать надо не с правил, а со списка служб, которые действительно смотрят в интернет. На типовом сервере с сайтом он короткий.
| Порт | Кому нужен | Ограничение |
|---|---|---|
| 22, вход в систему | Вам | Лучше по списку своих адресов |
| 80 и 443 | Посетителям сайта | Открыты всем, иначе сайта нет |
| 3306, 5432, база | Только локальным процессам | Наружу не открывается |
| Порт панели | Вам | По списку адресов |
| 3389, рабочий стол | Вам | По списку адресов или через туннель |
Частая ошибка в этом месте: служба слушает все адреса, а доступ к ней закрывают фаерволом. Надёжнее наоборот, заставить службу слушать только локальный адрес: тогда правило фаервола становится вторым рубежом, а не единственным. Как это выглядит у базы, разобрано в базе данных на VPS.
Исходящие соединения на обычном сервере не ограничивают: обновления, запросы к внешним сервисам и отправка писем идут именно оттуда.
02 · 1 мин
ufw, nftables и правила на стороне площадки#
Внутри системы инструмент выбирается по тому, сколько правил вам нужно.
- ufw. Обёртка над системными правилами с человеческим синтаксисом. Три команды, и базовый набор готов. Подходит почти всем, у кого один сервер и один сайт.
- nftables. Текущий штатный механизм Linux. Нужен, когда правил много, есть списки адресов и ограничение частоты запросов.
- iptables. Старый интерфейс к тому же механизму. Встречается в инструкциях и работает, но новые системы переводятся на nftables.
- Правила провайдера. Отдельный уровень на стороне площадки, снаружи машины. Главное их преимущество: ошибка в них не отрезает вас от сервера насовсем, потому что меняются они из панели.
Если установлена панель управления, она часто правит правила сама. Два инструмента, которые по очереди перезаписывают одни и те же правила, это источник необъяснимых отказов: см. панели управления. Выбирайте один и придерживайтесь его.
Инструмент · 1 мин
Проверьте свой набор портов#
Ответьте на три вопроса, и получится список портов под вашу задачу.
Какие порты вам нужно оставить открытыми
Открытых портов должно быть ровно столько, сколько служб смотрит в интернет. Три вопроса
После применения правил проверьте их снаружи, а не изнутри машины: изнутри всё выглядит открытым. Способы проверки собраны в тестах и в мониторинге.
04 · 1 мин
Четыре ошибки, после которых закрывается вход#
- Политика запрета применена раньше разрешения входа. Соединение обрывается в ту же секунду. Поэтому правило для входа добавляют первым, а политику меняют последней.
- Docker обходит правила. Контейнер с публикацией порта вписывает свои правила ниже ваших, и порт оказывается открыт, хотя в фаерволе он закрыт. Публикуйте порты на локальный адрес: Docker на VPS.
- Запрещён весь ICMP. Сервер перестаёт отвечать на ping, а заодно ломается определение размера пакета, и часть соединений начинает зависать на больших ответах.
- Блокировка по странам как основная защита. Список адресов устаревает за месяцы, а перебор идёт с арендованных машин в любой стране. Это дополнение к ограничению частоты, а не замена.
Смена порта входа это не защита
Перенос службы входа на нестандартный порт убирает шум в журналах, но находится первым же сканированием. Работают другие вещи: вход по ключу и ограничение частоты попыток, см. безопасность сервера.
Если вход всё-таки закрылся, ситуация не аварийная: правила правятся через консоль в панели. Порядок действий описан в потерянном доступе.
05 · 1 мин
Вопросы о фаерволе#
Нужен ли фаервол, если на сервере только сайт?
Да. Без него наружу смотрят все службы, которые когда-либо были установлены, включая базу и служебные порты панели.
Что выбрать: ufw или nftables?
Для одного сервера с сайтом хватает ufw. nftables берут, когда нужны списки адресов, ограничение частоты и десятки правил.
Почему порт открыт, хотя в правилах он закрыт?
Типичная причина это контейнер с публикацией порта: его правила применяются раньше ваших. Проверяется публикация портов в описании контейнера.
Стоит ли закрывать порты от сканирования по странам?
Как дополнение можно, как основная мера нет: списки адресов устаревают, а перебор идёт с машин по всему миру.
Почему этому можно верить
Как мы проверяли
Источники цифр на этой странице: VPS и VDS серверы Таймвеб Клауд, timeweb.cloud/services/vds-vps, проверено 14 октября 2026.
Проверьте сервер на деле
При почасовой оплате сутки теста стоят десятки рублей, а не месячный тариф.
- Оплата по часам, а не только за месяц
- NVMe-диски во всех конфигурациях
- Дата-центры в России и за рубежом
- Создание сервера за пару минут