پورت‌ها و فایروال

فقط پورت‌هایی را باز کنید که استفاده می‌کنید.

پورت‌ها

پورت	پروتکل	برای چه
22	TCP	SSH. باز نگهش دارید.
پورت پنل	TCP	پنل. موقع نصب تصادفی انتخاب می‌شود؛ w-ui settings آن را نشان می‌دهد.
80	TCP	چالش ACME، موقع صدور گواهی و در هر تمدید.
پورت سابسکریپشن	TCP	فقط وقتی سرویس سابسکریپشن شنونده‌ی جداگانه دارد.
برای هر اینترفیس	UDP	پورت هر اینترفیس WireGuard یا AmneziaWG.
443 یا پورت انتخابی	TCP یا UDP	OpenVPN، برای هر اینترفیس.
443 یا پورت انتخابی	TCP و UDP	OpenConnect: TLS روی TCP، و DTLS روی UDP با همان شماره.
500، 4500	UDP	IKEv2، و IPsec زیر L2TP.
1701	UDP	L2TP، داخل IPsec.
پروتکل ESP (شماره‌ی 50)		IPsec برای کلاینتی که پشت NAT نیست. پشت NAT، داخل UDP 4500 می‌رود.
1723	TCP	اتصال کنترلی PPTP.
پروتکل GRE (شماره‌ی 47)		داده‌های PPTP. بدون آن، کلاینت PPTP وصل می‌شود ولی هیچ ترافیکی رد نمی‌شود.
پورت جداگانه	مطابق پروتکل	تونل L2TP، PPTP یا IKEv2 که پورت جداگانه گرفته. پورت استاندارد هم همچنان لازم است؛ اینترفیس‌ها را ببینید.

ufw

وقتی ufw یا firewalld روشن است، پنل خودش پورت‌های تونل‌ها را باز می‌کند، از جمله GRE و ESP: سرویس wui-firewall.service آنچه را تونل تازه لازم دارد باز می‌کند و آنچه را برای تونلی که دیگر نیست باز کرده بود می‌بندد، و هیچ‌وقت قانونی را که خودتان گذاشته‌اید نمی‌بندد. نصب‌کننده هم، در فایروالی که از قبل روشن است، پورت پنل، پورت سابسکریپشن، و پورت 80 را وقتی گواهی از طریق آن تمدید می‌شود باز می‌کند. باز نگه داشتن SSH با خودتان است. برای تنظیم دستی فایروال، یا برای nftables، خط‌های مربوط به پروتکل‌هایی را که اجرا می‌کنید باز کنید:

ufw allow 22/tcp
ufw allow 41234/tcp          # پورت پنل
ufw allow 80/tcp             # تمدید گواهی
ufw allow 51820/udp          # هر اینترفیس WireGuard
ufw allow 443/tcp            # OpenVPN روی TCP، یا OpenConnect
ufw allow 443/udp            # DTLS در OpenConnect
ufw allow 500,4500/udp       # IKEv2 و L2TP/IPsec
ufw allow 1701/udp           # L2TP
ufw allow proto esp from any # IPsec بدون NAT
ufw allow 1723/tcp           # PPTP
ufw allow proto gre from any # داده‌های PPTP
ufw --force enable

گزینه‌ی 23. Firewall در منوی w-ui همین کار را از منو انجام می‌دهد و می‌تواند پورت تونل‌ها را از اینترفیس‌های روشن بخواند.

WARNING

پیش از فعال کردن سیاست default-deny، اجازه‌ی SSH را بدهید، و از یک نشست دوم آزمایش کنید تا دسترسی خودتان را قطع نکنید.

nftables

table inet filter {
  chain input {
    type filter hook input priority 0; policy drop;
    ct state established,related accept
    iif lo accept
    tcp dport { 22, 80, 443, 1723, 41234 } accept
    udp dport { 443, 500, 1701, 4500, 51820 } accept
    meta l4proto { esp, gre } accept
    icmp type echo-request accept
  }
}

پنل جدول‌های خودش (inet wui و inet wui_policy) را کنار جدول شما نگه می‌دارد و هیچ‌وقت به filter دست نمی‌زند.

فایروال ابری

هتزنر، دیجیتال‌اوشن، AWS و بقیه پیش از رسیدن بسته به سرور فیلتر می‌کنند. همان پورت‌ها را آنجا هم باز کنید، و اگر ارائه‌دهنده GRE و ESP را در فهرستش دارد، آنها را هم. نصب‌کننده نمی‌تواند این کار را برایتان انجام دهد و همین را هم می‌گوید.