Прежде чем менять firewall, выпишите, какие соединения нужны: административный доступ, веб-сайт, API, база данных или почта. У каждого открытого порта должны быть владелец и понятная причина. Список правил на старом сервере не всегда соответствует текущей архитектуре. Начните со схемы.

Что проверить до включения UFW

Ubuntu Server использует UFW как простой интерфейс к правилам firewall. В официальном руководстве Ubuntu, проверенном 8 октября 2026 года, UFW описан как host-based firewall с управлением IPv4 и IPv6. Изначально он выключен.

Узнайте порт SSH и разрешенный адрес администратора. Пример с 22/tcp в документации не доказывает, что именно этот порт использует ваш VPS. Проверьте, работает ли out-of-band консоль восстановления и известны ли вам данные для входа.

До измененияЗапишитеЗачем
SSHПорт, адрес-источник, пользователяЧтобы сохранить административный доступ
СайтHTTP, HTTPS и дополнительные точки входаОставить только реально используемые сервисы
База данныхТребуется ли внешний доступ и от каких узловНе открывать SQL всем адресам без нужды
Служебные задачиИсточники проверок и направления копийНе оборвать мониторинг или резервирование
ВосстановлениеРабочая out-of-band консоль и ответственныйВернуть доступ при ошибочном правиле

Выясните, кто управляет firewall: сама ОС, панель VPS или оба уровня. Два независимых фильтра могут иметь разные правила.

Проверьте правило до применения

UFW показывает состояние и нумерованный список действующих правил. Для просмотра используют status, а параметр dry-run позволяет посмотреть предполагаемые правила без их применения, если он поддерживается вашей версией.

Не копируйте пример ufw allow 22 вслепую. Сначала подтвердите порт SSH. Если доступ разрешен только с известного адреса, узкое правило уменьшит число источников, но ошибка в маске сети может закрыть соединение. Проверьте синтаксис и адресную схему в документации своей системы.

Для веб-сервера сверьте HTTP и HTTPS. Для API, VPN или другого приложения уточните протокол и диапазон портов в его документации. Открытие TCP не открывает UDP автоматически.

Применяйте с запасным входом

Не включайте фильтр по единственной SSH-сессии, если нет проверенного способа восстановить VPS. Держите текущий канал. Примените правила и откройте второе соединение. Проверьте SSH и сайт с внешней машины. Только после этого закрывайте старую сессию и удаляйте временные правила.

Если доступ потерян, не продолжайте перебирать команды удаленно. Вернитесь через консоль провайдера или согласованный канал и проверьте фактическое состояние firewall. Не применяйте новый набор правил поверх неизвестной конфигурации.

Ведите список открытых портов

Для каждого правила сохраняйте приложение, TCP или UDP, порт, адрес-источник, дату и владельца. Удаляйте запись только после проверки, что сервис больше не нужен. Снимок состояния храните перед изменением.

В разделе VPS/VDS сравнивайте не только ресурсы, но и наличие консоли, сетевых настроек и помощи администратора. Root-доступ не означает, что провайдер обслуживает firewall. Документы Ubuntu и OpenSSH сверены 8 октября 2026 года; правила на чужом сервере не применялись.