Un VPS nou vine cu toate porturile deschise către internet. În primele minute după pornire, scanerele automate deja îl au în listă. Firewall-ul este primul lucru pe care îl configurezi, înainte de aplicație și înainte de a pune orice date pe el.
Regula de bază este simplă: firewall-ul respinge tot ce vine din exterior, iar tu adaugi excepții pentru fiecare serviciu pe care vrei să îl ofere serverul. Fiecare excepție răspunde la trei întrebări: ce serviciu, pentru cine și până când. Portul 443 este pentru toată lumea. Portul 22 este pentru echipa ta, deci limitezi sursa. Un port de monitorizare este pentru serverul de metrici, deci îl deschizi doar către adresa lui. Ce nu ai notat nu are ce căuta deschis.
Cea mai frecventă greșeală pe VPS-urile firmelor mici este MariaDB sau PostgreSQL care ascultă pe 0.0.0.0 fiindcă un dezvoltator voia să se conecteze de acasă. Scanerele găsesc portul în ore, apoi urmează încercări de autentificare sau exploatarea unei versiuni vechi. Lasă baza de date pe 127.0.0.1 și conectează-te prin tunel SSH sau VPN. Dacă aplicația și baza rulează pe servere diferite, folosește rețeaua privată a furnizorului și permite doar adresa serverului de aplicație.
Când o firmă din Moldova găzduiește date pentru un client din UE, anexa de securitate a contractului și acordul de prelucrare conform articolului 28 GDPR cer de obicei o descriere a măsurilor de rețea. Un export al regulilor de firewall, cu data ultimei revizuiri, și un scan extern care arată doar porturile 80 și 443 sunt exact dovezile așteptate. La nivel local, Legea nr. 48/2023 cere furnizorilor din sectoarele acoperite o gestionare documentată a riscurilor, iar perimetrul de rețea este primul capitol al unei astfel de documentații.
| Port | Serviciu | Deschis către | Observație |
|---|---|---|---|
| 22/tcp | SSH | adresele echipei sau VPN | ufw limit, fără parole |
| 80/tcp | HTTP | toată lumea | doar redirect către 443 |
| 443/tcp | HTTPS | toată lumea | singurul serviciu real public |
| 3306 / 5432 | MariaDB / PostgreSQL | 127.0.0.1 sau rețea privată | niciodată public |
| 6379 | Redis | 127.0.0.1 | fără parolă implicit, deci obligatoriu local |
ufw default deny incoming
ufw default allow outgoing
ufw limit 22/tcp comment 'SSH echipa'
ufw allow 80/tcp
ufw allow 443/tcp
ufw enable
ufw status verboseufw allow from 10.20.0.0/24 to any port 5432 proto tcp comment 'app -> postgres'
# și în postgresql.conf:
# listen_addresses = 'localhost,10.20.0.5'nmap -Pn -p- --open exemplu.mdFiecare mediu de staging avea portul bazei de date deschis „temporar”. Un scan extern cerut de un client a găsit șase instanțe PostgreSQL accesibile. Toate au trecut pe localhost, cu acces prin tunel SSH și un singur bastion.
Panoul de administrare era accesibil pe portul 8443 din tot internetul, protejat doar de parolă. Acum portul se deschide doar pentru rețeaua VPN a firmei, iar auditorul băncii partenere a bifat cerința fără discuții.
Da: Docker scrie propriile reguli iptables pentru porturile publicate, înaintea celor din ufw. Publică porturile doar pe 127.0.0.1 (de exemplu -p 127.0.0.1:5432:5432) și pune un proxy în față, sau configurează lanțul DOCKER-USER pentru a filtra traficul înainte să ajungă la containere.
Pentru un VPS cu câteva servicii, ufw este suficient și greu de configurat greșit. nftables direct merită când ai reguli complexe, mai multe interfețe sau vrei un fișier de reguli versionat în git. Ambele fac același lucru în kernel.
Acest ghid adună într-un singur loc măsurile care contează pentru un server de producție al unei firme din Moldova: de la cheia SSH până la copia de backup pe care nimeni nu o poate șterge. Fiecare capitol trimite la o pagină de întrebare cu pași, comenzi și exemple. Este scris pentru echipe care livrează clienților din UE, raportează la instituții locale sau vând online și nu își permit o zi de indisponibilitate.