ISPmanager 6 включає вбудований менеджер файрволу на основі iptables. Ви можете відкривати/закривати порти, блокувати IP і керувати правилами через графічний інтерфейс.
Керування файрволом
Інструменти → Файрвол → увімкніть файрвол перемикачем. За замовчуванням файрвол вимкнений на щойно встановленій панелі, і це варто змінити в першу чергу після встановлення.
Відкрити порт
Файрвол → Додати правило → Вхідні.
| Поле | Приклад |
|---|---|
| Протокол | TCP |
| Порт | 8080 |
| Джерело | Порожньо = всі / IP = лише цей IP |
| Дія | Дозволити |
Заблокувати IP-адресу
Файрвол → Додати правило → Вхідні → Джерело: IP → Дія: Заборонити.
Порядок обробки правил
Iptables перевіряє правила згори вниз і зупиняється на першому збігу. Якщо вище стоїть загальне правило «дозволити все з 0.0.0.0/0», вужче правило блокування нижче нього ніколи не спрацює — порядок у списку вирішує результат, а не просто факт наявності правила в інтерфейсі панелі.
Fail2ban — захист від брутфорсу
ISPmanager 6 включає Fail2ban. Налаштування:
Інструменти → Fail2ban → увімкнути → налаштувати пороги.
# Стандартні правила Fail2ban в ISPmanager:
# SSH: 5 спроб / 10 хвилин → бан на 24 години
# FTP: 5 спроб / 10 хвилин → бан на 1 годину
# HTTP Auth: 5 спроб / 10 хвилин → бан на 1 годинуПерегляд заблокованих IP
# Через SSH
fail2ban-client status
fail2ban-client status sshd
# Розблокувати IP
fail2ban-client set sshd unbanip 1.2.3.4Стандартні порти для відкриття
| Порт | Сервіс |
|---|---|
| 22 | SSH |
| 21 | FTP |
| 25, 587, 465 | SMTP |
| 80, 443 | HTTP/HTTPS |
| 110, 995 | POP3/POP3S |
| 143, 993 | IMAP/IMAPS |
| 1500 | ISPmanager |
Розбір типових помилок файрволу
| Симптом | Що означає |
|---|---|
| Після увімкнення файрволу відвалився SSH | Правило для порту 22 не було додано до увімкнення, або стоїть після блокуючого правила за всіма портами |
| Сайт недоступний, хоча порт 80/443 «відкритий» в ISPmanager | Порт відкрито у файрволі панелі, але заблоковано окремим файрволом провайдера/хмари (Security Group) на рівні вище сервера |
fail2ban-client status sshd повертає порожній список банів, хоча атака триває | Fail2ban не підключено до потрібного лог-файлу — перевірте шлях до логу SSH у конфігурації jail |
| IP розбанено командою, але через хвилину забанено знову | Атака триває і знову набирає поріг спроб — розбан не зупиняє джерело атаки |
Файрвол панелі та файрвол хмарного провайдера: порівняння
| Критерій | Файрвол ISPmanager (iptables) | Security Group хмари/хостера |
|---|---|---|
| Рівень захисту | На самому сервері (ядро Linux) | На рівні мережі, до пакета до сервера |
| Захист при зламі панелі | Не рятує — правила змінюються зсередини | Рятує — керується ззовні, окремо від сервера |
| Гнучкість правил | Висока, аж до окремих портів і IP | Зазвичай простіша, великими блоками |
| Потрібно налаштовувати окремо | Так, в ISPmanager | Так, у панелі провайдера |
Коли вбудованого файрволу не вистачає
- Потрібен захист від DDoS на мережевому рівні — iptables на самому сервері не зупинить об'ємну атаку, трафік потрібно фільтрувати до сервера (на рівні провайдера або через Cloudflare)
- Потрібна єдина політика на десятки серверів — керувати правилами вручну в кожній окремій панелі неефективно, потрібен централізований інструмент (наприклад, Ansible або хмарні Security Groups)
- Потрібен захист від атак на рівні застосунку (SQL-ін'єкції, XSS у HTTP-запитах) — iptables працює на рівні пакетів і портів, а не розбирає вміст HTTP-запиту, для цього потрібен WAF
- Потрібен детальний аудит і алерти щодо мережевих подій у реальному часі — стандартний інтерфейс ISPmanager показує перелік правил і поточні бани, але не будує історію атак і не надсилає сповіщень при аномаліях
Перевірка результату
Після налаштування правил переконайтеся, що потрібні порти дійсно доступні зовні, а не лише «виглядають відкритими» в інтерфейсі панелі.
# З іншого сервера або домашнього комп'ютера перевірте порт зовні
nc -zv your_server_ip 80
nc -zv your_server_ip 22
# Локально на сервері перевірте активні правила iptables
sudo iptables -L -n --line-numbersЯкщо nc показує «Connection refused» для порту, який ви начебто відкрили — найімовірніше сервіс на цьому порту взагалі не слухає, а не заблокований файрволом; це різні проблеми з різною діагностикою. Якщо ж з'єднання просто зависає без відповіді — це типова ознака блокування пакетів на файрволі, а не відсутності сервісу. Дивіться також двофакторну автентифікацію в ISPmanager 6 та розбір логів і діагностику.