جدار حماية الخادم وHost Access
تستطيع اللوحة إدارة جدار حماية الخادم نفسه نيابةً عنك، فلا تحتاج إلى جلسة SSH لفتح منفذ أو حظر عنوان. وهي تعمل مع ufw (Debian وUbuntu) وfirewalld (عائلة RHEL: AlmaLinux وRocky وCloudLinux). وهي مخصّصة لمسؤول الخادم فقط، وتظهر ضمن النظام ← الأمان ← جدار الحماية. وإن لم يكن على الخادم جدار حماية نشط، تقول البطاقة ذلك ولا تعرض شيئًا لتغييره.
جدار الحماية على الخادم طبقة واحدة. ولدى معظم المزوّدين أيضًا جدار حماية سحابي منفصل تديره لدى المزوّد. يجب أن يُسمح بالمنفذ في الاثنين. راجع ملاحظات مزوّدي VPS.
شبكة الأمان: كل تغيير يتراجع من تلقاء نفسه
الخطأ في جدار الحماية هو الطريقة الكلاسيكية لإقفال الخادم على نفسك. لذلك فكل تغيير تجريه هنا مؤقت:
- تفتح منفذًا أو تحظر عنوانًا أو تحفظ قائمة. يسري التغيير فورًا.
- يظهر مربع: هل تحتفظ بتغييرات جدار الحماية هذه؟ مع عدّاد تنازلي مدته 3 دقائق.
- تأكد أن هذه اللوحة ما زالت تعمل وأنك ما زلت تستطيع الدخول عبر SSH. ثم اضغط احتفظ بالتغييرات. واضغط تراجع الآن للعودة فورًا.
- إن لم تفعل شيئًا، يعود جدار الحماية كما كان عند انتهاء العدّاد.
يُحفظ العدّاد على الخادم لا في متصفحك، ويصمد أمام إعادة تشغيل اللوحة أو الخادم كله. وإن لم يستطع التراجع نفسه أن يكتمل (مثلًا لأن جدار الحماية مشغول)، يواصل الخادم المحاولة بنفسه وتذكر البطاقة أن بعض التغييرات لم يمكن التراجع عنها بعد.
وإن توقف الخادم بينما كانت تغييرات بانتظار التأكيد وتلف سجل ما يجب التراجع عنه، فإن اللوحة لا تخمّن. بل تعرض تحقّق من جدار الحماية، وتطلب منك مراجعة القوائم وإرجاع ما لم تقصد الاحتفاظ به، ولا تجري أي تغيير جديد حتى تضغط تحققت من ذلك.
المنافذ المفتوحة والعناوين المحظورة
تسرد المنافذ المفتوحة ما يسمح جدار الحماية بدخوله. لفتح منفذ، اكتب منفذًا واحدًا مثل 8080 أو
نطاقًا مثل 3000-3010، واختر TCP أو UDP، ثم اضغط الزر. وأمام كل منفذ مدرج زر لإغلاقه.
تسرد العناوين المحظورة العناوين التي تُردّ. اكتب عنوان IP، أو شبكة مثل
203.0.113.0/24، ثم اضغط حظر. وتعرض البطاقة عنوانك أنت لترى ما هو.
ما ترفض اللوحة فعله
لا يمكن إيقاف هذه القواعد. وُجدت كي لا يستطيع خطأ مطبعي إسقاط الخادم.
| عندما تحاول | ترفض اللوحة لأن |
|---|---|
| إغلاق SSH أو المنفذ 80 أو المنفذ 443 | تُبقي هذه الخادم قابلًا للوصول. يُقرأ SSH من إعدادات خادم SSH نفسه، فيُحمى منفذ SSH غير القياسي أيضًا. |
| فتح منفذ خاص: 6379 (Redis) أو 11211 (Memcached) أو 27017 (MongoDB) أو 9080 (الواجهة الخلفية للوحة نفسها) أو 8891 (موقِّع DKIM) أو 8100-8999 (الواجهات الخلفية للويب لكل حساب) | تُنصت بلا كلمة مرور أو تقع خلف خادم الويب الأمامي. وفتحها سيتيح للزوّار تجاوز حمايته. |
| حظر عنوانك أنت | ستقطع الوصول عن نفسك. وإن لم تستطع اللوحة رؤية عنوانك، فلا تحظر شيئًا. |
| حظر عنوان ينتمي إلى هذا الخادم | سيحظر الخادم نفسه. |
| حظر شبكة واسعة جدًا | يُرفض كل ما هو أوسع من /8 في IPv4 أو /16 في IPv6. |
Host Access: من يمكنه الاتصال
ضمن من يمكنه الاتصال (Host Access) تستطيع أن تحدّد أن العناوين الواردة في قائمة فقط يحق لها الوصول إلى إحدى أربع خدمات. وكل من عداها يُردّ بواسطة جدار الحماية.
| الخدمة | المنافذ التي تغطيها |
|---|---|
| SSH | منفذ (أو منافذ) SSH في هذا الخادم (لا 80 ولا 443 أبدًا، حتى لو شاركهما SSH) |
| FTP | 21 و990 ونطاق المنافذ السلبية 30000-30100 |
| تسجيل الدخول إلى البريد | 110 و143 و465 و587 و993 و995 |
| قاعدة البيانات | 3306 |
لا تُقيَّد المواقع ولا البريد الوارد (المنفذ 25) أبدًا. تسجيل الدخول إلى البريد يعني الأماكن التي يقرأ منها الناس بريدهم ويرسلونه؛ أما خوادم البريد الأخرى فتظل تصل إليك على المنفذ 25.
لتقييد خدمة، اضغط التقييد بقائمة…، واكتب عنوانًا أو شبكة واحدة في كل سطر (بحد أقصى 15)، ثم اضغط حفظ القائمة. القواعد:
- في SSH يجب أن يكون عنوانك أنت في القائمة، وإلا لن تحفظها اللوحة. وإن كنت تدخل أيضًا من حاسوب آخر أو عبر VPN، فأضف ذلك العنوان كذلك. يملأ الزر أضف عنواني عنوانك تلقائيًا.
- تُرفض الشبكة الواسعة إلى حد لا تصلح معه قيدًا حقيقيًا (أوسع من /8 في IPv4 و/16 في IPv6).
- السماح للجميع… (أو إزالة القائمة… لقاعدة البيانات، المغلقة عن الخارج افتراضيًا) ترفع القائمة. وعلى firewalld تُعيد الخدمة إلى الجميع بالطريقة التي أعدّها بها المُثبِّت أول مرة.
- مثل أي تغيير آخر، تكون القائمة مؤقتة لمدة 3 دقائق إلى أن تضغط احتفظ بالتغييرات.
حين لا تُحفظ القائمة
- «يسمح هذا الجدار الناري بمرور كل اتصال لا تذكره أي قاعدة» — لن تقيّد القائمة شيئًا، لأن جدار
الحماية يقبل كل ما ليس ممنوعًا. اضبط جدار الحماية أولًا على رفض الاتصالات الواردة افتراضيًا (على
ufw:
ufw default deny incoming؛ وعلى firewalld: اضبط هدف المنطقة النشطة علىdefaultأوREJECT). - «هناك قاعدة أخرى أُنشئت خارج اللوحة تفتح هذه المنافذ أيضًا» — مثل قاعدة محدودة المعدّل أو مسجِّلة أو أوسع أضفتها يدويًا. لن تمسّها اللوحة، وتعرض الخدمة على أنها غير قابلة للإدارة. أزل تلك القاعدة بنفسك أولًا، وإلا فلن تقيّد القائمة شيئًا.
إعادة تشغيل المُثبِّت
تشغيل install.sh مجددًا، أو تحديث اللوحة، لا يعيد فتح منفذ قيّدتَه بـ Host Access.
وتبقى القوائم كما تركتها.
ما لا يفعله هذا
- لا يحلّ محل الحمايات على مستوى الحساب: حجب هجمات التخمين، وقوائم حجب IP في كل حساب، وجدار حماية تطبيقات الويب ميزات منفصلة.
- لا يدير جدار حماية عطّلتَه، ولا قواعد في أدوات غير ufw وfirewalld.
- لا شيء هنا يغيّر جدار الحماية السحابي لدى مزوّدك.
ذو صلة: استكشاف الأخطاء · ملاحظات مزوّدي VPS