Firewall server dan Host Access
Panel dapat mengelola firewall server itu sendiri untuk Anda, sehingga Anda tidak perlu sesi SSH untuk membuka port atau memblokir alamat. Fitur ini bekerja dengan ufw (Debian dan Ubuntu) dan firewalld (keluarga RHEL: AlmaLinux, Rocky, CloudLinux). Fitur ini hanya untuk administrator server, dan muncul di Sistem → Keamanan → Firewall. Jika server tidak punya firewall yang aktif, kartunya menyatakan hal itu dan tidak menawarkan apa pun untuk diubah.
Firewall di server hanyalah satu lapisan. Sebagian besar penyedia juga punya firewall cloud terpisah yang Anda kelola di sisi penyedia. Sebuah port harus diizinkan di keduanya. Lihat Catatan penyedia VPS.
Jaring pengaman: setiap perubahan membatalkan dirinya sendiri
Kesalahan di firewall adalah cara klasik untuk mengunci diri dari server sendiri. Karena itu setiap perubahan yang Anda buat di sini bersifat sementara:
- Anda membuka sebuah port, memblokir alamat, atau menyimpan daftar. Perubahan langsung berlaku.
- Muncul sebuah kotak: Pertahankan perubahan firewall ini?, dengan hitung mundur 3 menit.
- Pastikan panel ini masih berfungsi dan Anda masih bisa masuk lewat SSH. Lalu tekan Pertahankan perubahan. Tekan Batalkan sekarang untuk kembali seketika.
- Jika Anda tidak melakukan apa pun, firewall kembali seperti semula saat hitung mundur berakhir.
Hitung mundur disimpan di server, bukan di browser Anda, dan bertahan meski panel atau seluruh server di-restart. Jika pembatalan itu sendiri tidak bisa selesai (misalnya firewall sedang sibuk), server terus mencobanya sendiri dan kartu menyatakan bahwa sebagian perubahan belum bisa dibatalkan.
Jika server berhenti saat perubahan sedang menunggu dan catatan tentang apa yang harus dibatalkan rusak, panel tidak menebak. Panel menampilkan Periksa firewall, meminta Anda melihat daftarnya dan mengembalikan apa pun yang tidak ingin Anda pertahankan, dan tidak membuat perubahan baru sampai Anda menekan Sudah saya periksa.
Port terbuka dan alamat yang diblokir
Port terbuka menampilkan apa yang diizinkan masuk oleh firewall. Untuk membuka port, ketik satu port seperti
8080 atau rentang seperti 3000-3010, pilih TCP atau UDP, lalu tekan tombolnya. Port yang terdaftar punya
tombol untuk menutupnya.
Alamat diblokir menampilkan alamat yang ditolak. Ketik alamat IP, atau jaringan seperti
203.0.113.0/24, lalu tekan Blokir. Kartu menampilkan alamat Anda sendiri agar Anda tahu alamat itu.
Yang ditolak oleh panel
Aturan-aturan ini tidak bisa dimatikan. Aturan ini ada agar salah ketik tidak bisa menjatuhkan server.
| Anda mencoba | Panel menolak karena |
|---|---|
| Menutup SSH, port 80, atau port 443 | Ketiganya menjaga server tetap dapat dijangkau. SSH dibaca dari pengaturan server SSH itu sendiri, jadi port SSH yang tidak standar pun terlindungi. |
| Membuka port privat: 6379 (Redis), 11211 (Memcached), 27017 (MongoDB), 9080 (back end panel sendiri), 8891 (penanda tangan DKIM), atau 8100-8999 (back end web per akun) | Port-port itu mendengarkan tanpa kata sandi atau berada di belakang web server depan. Membukanya akan membuat pengunjung melewati perlindungan web server itu. |
| Memblokir alamat Anda sendiri | Anda akan memutus diri sendiri. Jika panel tidak bisa melihat alamat Anda, ia tidak memblokir apa pun. |
| Memblokir alamat milik server ini | Server akan memblokir dirinya sendiri. |
| Memblokir jaringan yang sangat luas | Apa pun yang lebih luas dari /8 untuk IPv4 atau /16 untuk IPv6 ditolak. |
Host Access: siapa yang boleh terhubung
Di bawah Siapa yang boleh terhubung (Host Access) Anda dapat menyatakan bahwa hanya alamat dalam sebuah daftar yang boleh menjangkau salah satu dari empat layanan. Selain itu ditolak oleh firewall.
| Layanan | Port yang tercakup |
|---|---|
| SSH | Port SSH server ini (tidak pernah 80 atau 443, meski SSH memakainya bersama) |
| FTP | 21, 990, dan rentang pasif 30000-30100 |
| Login surel | 110, 143, 465, 587, 993, 995 |
| Database | 3306 |
Situs web dan surel masuk (port 25) tidak pernah dibatasi. Login surel berarti tempat orang membaca dan mengirim surelnya; server surel lain tetap menjangkau Anda di port 25.
Untuk membatasi sebuah layanan, tekan Batasi ke daftar…, tulis satu alamat atau jaringan per baris (paling banyak 15), lalu tekan Simpan daftar. Aturannya:
- Untuk SSH, alamat Anda sendiri harus ada di daftar, atau panel tidak akan menyimpannya. Jika Anda juga masuk dari komputer lain atau lewat VPN, tambahkan alamat itu juga. Tombol Tambahkan alamat saya mengisikan alamat Anda.
- Jaringan yang terlalu luas untuk menjadi pembatas sungguhan ditolak (lebih luas dari /8 untuk IPv4, /16 untuk IPv6).
- Izinkan semua orang… (atau Hapus daftar… untuk database, yang secara bawaan tertutup dari luar) mencabut daftar. Pada firewalld, ini mengembalikan layanan kepada semua orang seperti yang semula diatur installer.
- Seperti perubahan lainnya, sebuah daftar bersifat sementara selama 3 menit sampai Anda menekan Pertahankan perubahan.
Saat daftar tidak bisa disimpan
- "Firewall ini mengizinkan setiap koneksi yang tidak disebut oleh aturan mana pun" — sebuah daftar tidak akan
membatasi apa pun, karena firewall menerima semua yang tidak dilarang. Atur dulu firewall agar menolak koneksi
masuk secara bawaan (pada ufw,
ufw default deny incoming; pada firewalld, atur target zona aktif kedefaultatauREJECT). - "Aturan lain, yang dibuat di luar panel, juga membuka port ini" — misalnya aturan dengan pembatasan laju, pencatatan, atau yang lebih luas yang Anda tambahkan sendiri. Panel tidak akan menyentuhnya dan menampilkan layanan itu sebagai tidak dapat dikelola. Hapus dulu aturan itu sendiri, atau daftar tidak akan membatasi apa pun.
Menjalankan ulang installer
Menjalankan install.sh lagi, atau memperbarui panel, tidak membuka kembali port yang Anda batasi dengan
Host Access. Daftar tetap seperti yang Anda tinggalkan.
Yang tidak dilakukan fitur ini
- Fitur ini tidak menggantikan perlindungan tingkat akun: pemblokiran brute-force, daftar blokir IP di tiap akun, dan web application firewall adalah fitur yang terpisah.
- Fitur ini tidak mengelola firewall yang Anda nonaktifkan, atau aturan di alat selain ufw dan firewalld.
- Tidak ada yang di sini mengubah firewall cloud di penyedia Anda.
Terkait: Mengatasi masalah · Catatan penyedia VPS