كيف تضبط firewall على سيرفرك: UFW و iptables

ما هو جدار الحماية؟

جدار الحماية (Firewall) هو الحارس اللي يقرر أي حركة شبكة تدخل لسيرفرك وأي حركة تُمنع. بدون جدار حماية، كل منافذ سيرفرك مفتوحة لأي شخص على الإنترنت. هذا يعني إن كل خدمة تعمل على سيرفرك — من قاعدة البيانات لخادم البريد — متاحة للعالم.

الإحصائية: سيرفر بدون جدار حماية يتعرض لمتوسط 2,000 محاولة اختراق يومياً. بعد تفعيل جدار الحماية: أقل من 50.

UFW: الخيار البسيط

UFW (Uncomplicated Firewall) هو واجهة مبسّطة لـ iptables. مثبّت افتراضياً على Ubuntu ومتاح على معظم توزيعات Linux.

الإعداد الأساسي

# تفعيل UFW
sudo ufw enable

# السياسة الافتراضية: رفض كل الوارد
sudo ufw default deny incoming

# السياسة الافتراضية: سماح كل الصادر
sudo ufw default allow outgoing

فتح المنافذ الأساسية

# SSH (غيّر الرقم لو غيّرت المنفذ)
sudo ufw allow 2222/tcp

# HTTP
sudo ufw allow 80/tcp

# HTTPS
sudo ufw allow 443/tcp

قواعد متقدمة

# سماح من IP محدد فقط
sudo ufw allow from 192.168.1.100 to any port 3306

# سماح لشبكة كاملة
sudo ufw allow from 10.0.0.0/24 to any port 22

# حظر IP محدد
sudo ufw deny from 203.0.113.50

# تحديد عدد الاتصالات (حماية من brute-force)
sudo ufw limit 2222/tcp

إدارة القواعد

# عرض القواعد مع الأرقام
sudo ufw status numbered

# حذف قاعدة بالرقم
sudo ufw delete 3

# إعادة تعيين كل القواعد
sudo ufw reset

# عرض السجلات
sudo ufw logging on

مثال كامل لسيرفر ويب

sudo ufw default deny incoming
sudo ufw default allow outgoing
sudo ufw allow 2222/tcp comment 'SSH'
sudo ufw allow 80/tcp comment 'HTTP'
sudo ufw allow 443/tcp comment 'HTTPS'
sudo ufw limit 2222/tcp comment 'SSH rate limit'
sudo ufw enable

iptables: التحكم الكامل

iptables هو جدار الحماية الأصلي في Linux. أقوى وأعقد من UFW — يعطيك تحكم كامل في كل جزء من حركة الشبكة.

المفاهيم الأساسية

السلاسل (Chains):

• INPUT — حركة واردة للسيرفر
• OUTPUT — حركة صادرة من السيرفر
• FORWARD — حركة تمر عبر السيرفر (routing)

الإجراءات (Targets):

• ACCEPT — سماح
• DROP — رفض صامت (بدون رد)
• REJECT — رفض مع إرسال رسالة خطأ
• LOG — تسجيل في السجلات

الإعداد الأساسي

# مسح كل القواعد الموجودة
sudo iptables -F

# السياسة الافتراضية
sudo iptables -P INPUT DROP
sudo iptables -P FORWARD DROP
sudo iptables -P OUTPUT ACCEPT

# سماح الاتصالات المنشأة
sudo iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT

# سماح localhost
sudo iptables -A INPUT -i lo -j ACCEPT

# SSH
sudo iptables -A INPUT -p tcp --dport 2222 -j ACCEPT

# HTTP + HTTPS
sudo iptables -A INPUT -p tcp --dport 80 -j ACCEPT
sudo iptables -A INPUT -p tcp --dport 443 -j ACCEPT

قواعد متقدمة

# حماية من SYN Flood
sudo iptables -A INPUT -p tcp --syn -m limit --limit 1/s --limit-burst 3 -j ACCEPT

# حظر ping (اختياري)
sudo iptables -A INPUT -p icmp --icmp-type echo-request -j DROP

# حد اتصالات SSH (حماية brute-force)
sudo iptables -A INPUT -p tcp --dport 2222 -m state --state NEW -m recent --set
sudo iptables -A INPUT -p tcp --dport 2222 -m state --state NEW -m recent --update --seconds 60 --hitcount 4 -j DROP

# تسجيل المحاولات المرفوضة
sudo iptables -A INPUT -j LOG --log-prefix "IPTables-Dropped: " --log-level 4

حفظ القواعد

# Ubuntu/Debian
sudo apt install iptables-persistent -y
sudo netfilter-persistent save

# CentOS/AlmaLinux
sudo service iptables save

مقارنة: UFW vs iptables

المعيار	UFW	iptables
سهولة الاستخدام	سهل جداً	متقدم
المرونة	متوسطة	كاملة
مناسب لـ	سيرفر ويب واحد	شبكات معقدة
التعلّم	ساعة	أيام
الأداء	متطابق	متطابق
IPv6	مدعوم	يحتاج ip6tables

التوصية: ابدأ بـ UFW. لو احتجت تحكم أدق — انتقل لـ iptables.

أخطاء شائعة

1. قفل نفسك خارج السيرفر — تأكد من فتح منفذ SSH قبل تفعيل الجدار
2. نسيان حفظ القواعد — قواعد iptables تضيع بعد إعادة التشغيل بدون حفظ
3. فتح منافذ كثيرة — افتح فقط ما تحتاج
4. تجاهل IPv6 — المهاجمون يستخدمون IPv6 لو IPv4 محمي
5. عدم مراجعة القواعد — راجع قواعدك كل شهر

جدار حماية على بنية تحتية قوية

سيرفرات كلاود (cloud.net.sa) تأتي جاهزة لإعداد UFW أو iptables من اللحظة الأولى. مع حماية DDoS كإضافة بـ بأسعار مناسبة، سيرفرك محمي على مستوى الشبكة والنظام معاً. ابدأ بإعداد جدار الحماية — أول خطوة بعد استلام أي سيرفر.

---

ابدأ الآن

تبي بيئة آمنة لتطبيقاتك؟ اختر سيرفر محمي بحماية DDoS وجدار ناري متقدم. راجع اتفاقية مستوى الخدمة وسياسة الخصوصية.