सर्वर फ़ायरवॉल और Host Access

पैनल सर्वर के अपने फ़ायरवॉल को आपके लिए सँभाल सकता है, ताकि किसी पोर्ट को खोलने या किसी पते को ब्लॉक करने के लिए आपको SSH सत्र की ज़रूरत न पड़े। यह ufw (Debian और Ubuntu) और firewalld (RHEL परिवार: AlmaLinux, Rocky, CloudLinux) के साथ काम करता है। यह केवल सर्वर एडमिनिस्ट्रेटर के लिए है, और System → Security → फ़ायरवॉल में दिखता है। अगर सर्वर पर कोई सक्रिय फ़ायरवॉल नहीं है, तो कार्ड यही बताता है और बदलने के लिए कुछ नहीं देता।

सर्वर का फ़ायरवॉल केवल एक परत है। अधिकांश प्रदाताओं के पास एक अलग cloud firewall भी होता है जिसे आप प्रदाता के यहाँ सँभालते हैं। पोर्ट दोनों में अनुमत होना चाहिए। देखें VPS प्रदाता नोट्स।

सुरक्षा जाल: हर बदलाव अपने आप वापस हो जाता है

फ़ायरवॉल में गलती अपने ही सर्वर से बाहर लॉक हो जाने का सबसे आम तरीका है। इसलिए यहाँ आप जो भी बदलाव करते हैं वह अस्थायी होता है:

1. आप कोई पोर्ट खोलते हैं, कोई पता ब्लॉक करते हैं या कोई सूची सहेजते हैं। बदलाव तुरंत लागू हो जाता है।
2. एक बॉक्स दिखता है: क्या ये फ़ायरवॉल बदलाव रखें?, 3 मिनट की उलटी गिनती के साथ।
3. जाँचें कि यह पैनल अभी भी चलता है और आप अभी भी SSH से लॉगिन कर सकते हैं। फिर बदलाव रखें (Keep changes) दबाएँ। तुरंत वापस जाने के लिए अभी वापस करें (Undo now) दबाएँ।
4. अगर आप कुछ नहीं करते, तो उलटी गिनती खत्म होते ही फ़ायरवॉल पहले जैसा हो जाता है।

उलटी गिनती सर्वर पर रखी जाती है, आपके ब्राउज़र में नहीं, और पैनल या पूरे सर्वर के रीस्टार्ट के बाद भी बनी रहती है। अगर वापसी खुद पूरी नहीं हो पाती (उदाहरण के लिए फ़ायरवॉल व्यस्त है), तो सर्वर अपने आप कोशिश करता रहता है और कार्ड बताता है कि कुछ बदलाव अभी वापस नहीं हो पाए।

अगर बदलाव प्रतीक्षा में हों और सर्वर रुक जाए, और वापसी का रिकॉर्ड खराब हो जाए, तो पैनल अंदाज़ा नहीं लगाता। वह फ़ायरवॉल जाँचें (Check the firewall) दिखाता है, आपसे सूचियाँ देखने और जो बदलाव आप रखना नहीं चाहते थे उन्हें वापस करने को कहता है, और जब तक आप मैंने जाँच लिया (I have checked) न दबाएँ तब तक कोई नया बदलाव नहीं करता।

खुले पोर्ट और ब्लॉक किए गए पते

खुले पोर्ट वे हैं जिन्हें फ़ायरवॉल भीतर आने देता है। पोर्ट खोलने के लिए 8080 जैसा एक पोर्ट या 3000-3010 जैसी रेंज लिखें, TCP या UDP चुनें, और बटन दबाएँ। सूची में दिए हर पोर्ट के साथ उसे बंद करने का बटन होता है।

ब्लॉक किए गए पते वे हैं जिन्हें लौटा दिया जाता है। कोई IP पता, या 203.0.113.0/24 जैसा नेटवर्क लिखें और ब्लॉक करें दबाएँ। कार्ड आपका अपना पता दिखाता है ताकि आप देख सकें कि वह क्या है।

पैनल क्या करने से मना करता है

इन नियमों को बंद नहीं किया जा सकता। ये इसलिए हैं कि टाइपिंग की एक गलती से सर्वर न गिर जाए।

आप यह करने की कोशिश करते हैं	पैनल मना क्यों करता है
SSH, पोर्ट 80 या पोर्ट 443 बंद करना	ये सर्वर को पहुँच योग्य रखते हैं। SSH का पोर्ट SSH सर्वर की अपनी सेटिंग से पढ़ा जाता है, इसलिए गैर-मानक SSH पोर्ट भी सुरक्षित रहता है।
कोई निजी पोर्ट खोलना: 6379 (Redis), 11211 (Memcached), 27017 (MongoDB), 9080 (पैनल का अपना बैक एंड), 8891 (DKIM साइनर) या 8100-8999 (प्रति-अकाउंट वेब बैक एंड)	ये बिना पासवर्ड के सुनते हैं या सामने वाले वेब सर्वर के पीछे होते हैं। इन्हें खोलने से आगंतुक उसकी सुरक्षा को बायपास कर पाते।
अपना खुद का पता ब्लॉक करना	आप खुद को काट लेते। अगर पैनल आपका पता नहीं देख पाता, तो वह कुछ भी ब्लॉक नहीं करता।
इसी सर्वर का कोई पता ब्लॉक करना	सर्वर खुद को ही ब्लॉक कर लेता।
बहुत चौड़ा नेटवर्क ब्लॉक करना	IPv4 के लिए /8 से चौड़ा या IPv6 के लिए /16 से चौड़ा कुछ भी अस्वीकार कर दिया जाता है।

Host Access: कौन कनेक्ट कर सकता है

कौन कनेक्ट कर सकता है (Host Access) के अंतर्गत आप कह सकते हैं कि चार सेवाओं में से किसी एक तक केवल सूची के पते ही पहुँच सकते हैं। बाकी सबको फ़ायरवॉल लौटा देता है।

सेवा	कौन-से पोर्ट शामिल हैं
SSH	इस सर्वर के SSH पोर्ट (80 या 443 कभी नहीं, भले ही SSH उन्हें साझा करे)
FTP	21, 990 और पैसिव रेंज 30000-30100
मेल लॉगिन	110, 143, 465, 587, 993, 995
डेटाबेस	3306

वेबसाइटें और आने वाला ईमेल (पोर्ट 25) कभी सीमित नहीं किए जाते। मेल लॉगिन का मतलब वे जगहें हैं जहाँ लोग अपना मेल पढ़ते और भेजते हैं; दूसरे मेल सर्वर आप तक पोर्ट 25 पर अब भी पहुँचते हैं।

किसी सेवा को सीमित करने के लिए सूची तक सीमित करें… (Limit to a list…) दबाएँ, हर पंक्ति में एक पता या नेटवर्क लिखें (अधिकतम 15), और सूची सहेजें (Save list) दबाएँ। नियम:

• SSH के लिए आपका अपना पता सूची में होना चाहिए, नहीं तो पैनल उसे सहेजेगा नहीं। अगर आप किसी दूसरे कंप्यूटर से या VPN के ज़रिये भी लॉगिन करते हैं, तो वह पता भी जोड़ें। मेरा पता जोड़ें (Add my address) बटन आपका पता भर देता है।
• जो नेटवर्क इतना चौड़ा हो कि असली सीमा न रहे उसे अस्वीकार कर दिया जाता है (IPv4 के लिए /8 से चौड़ा, IPv6 के लिए /16 से चौड़ा)।
• सबको अनुमति दें… (Allow everyone…) (या डेटाबेस के लिए सूची हटाएँ…, जो डिफ़ॉल्ट रूप से बाहर से बंद रहता है) सूची हटा देता है। firewalld पर यह सेवा को हर किसी के लिए वैसे ही लौटा देता है जैसा इंस्टॉलर ने शुरू में सेट किया था।
• हर दूसरे बदलाव की तरह, सूची भी 3 मिनट तक अस्थायी रहती है जब तक आप बदलाव रखें न दबाएँ।

जब सूची सहेजी नहीं जा सकती

• "यह फ़ायरवॉल हर उस कनेक्शन को भीतर आने देता है जिसका कोई नियम उल्लेख नहीं करता" — सूची कुछ भी सीमित नहीं करेगी, क्योंकि फ़ायरवॉल हर उस चीज़ को स्वीकार करता है जो निषिद्ध नहीं है। पहले फ़ायरवॉल को डिफ़ॉल्ट रूप से आने वाले कनेक्शन अस्वीकार करने पर सेट करें (ufw पर ufw default deny incoming; firewalld पर सक्रिय ज़ोन का target default या REJECT करें)।
• "पैनल के बाहर बना एक और नियम भी इन पोर्ट को खोलता है" — उदाहरण के लिए हाथ से जोड़ा गया रेट-लिमिटेड, लॉग किया हुआ या अधिक चौड़ा नियम। पैनल उसे नहीं छूता और सेवा को "प्रबंधित नहीं की जा सकने वाली" दिखाता है। पहले उस नियम को खुद हटाएँ, नहीं तो सूची कुछ भी सीमित नहीं करेगी।

इंस्टॉलर दोबारा चलाना

install.sh को दोबारा चलाने, या पैनल अपडेट करने से Host Access से सीमित किया गया पोर्ट फिर से नहीं खुलता। सूचियाँ वैसी ही रहती हैं जैसी आपने छोड़ी थीं।

यह क्या नहीं करता

• यह अकाउंट-स्तर की सुरक्षा की जगह नहीं लेता: brute-force ब्लॉकिंग, हर अकाउंट की IP ब्लॉक सूचियाँ और वेब एप्लिकेशन फ़ायरवॉल अलग सुविधाएँ हैं।
• यह उस फ़ायरवॉल को नहीं सँभालता जिसे आपने बंद कर दिया है, या ufw और firewalld के अलावा अन्य टूल के नियमों को।
• यहाँ कुछ भी आपके प्रदाता के cloud firewall को नहीं बदलता।

संबंधित: समस्या निवारण · VPS प्रदाता नोट्स