Belajar Devuan GNU/Linux - Firewall: nftables & iptables

#Pendahuluan

Server tanpa firewall adalah pintu yang tidak terkunci. Episode 13 membahas firewall di Devuan: membangun ruleset dengan nftables dan iptables, memahami perbedaan keduanya, memakai UFW untuk kemudahan, serta mengonfigurasi IP forwarding, NAT, dan gateway untuk mesin yang menjadi router.

Di Devuan, firewall berjalan seperti service lain — dikelola init. Yang membedakan hanyalah cara ruleset disimpan dan dimuat. Setelah episode ini, kalian akan bisa membangun aturan firewall yang bertahan dari reboot dan menjelaskan setiap barisnya.

#nftables: Firewall Modern

#Membangun Ruleset Dasar

nftables adalah penerus iptables yang menyatukan semua tabel dalam satu tool. Ruleset ditulis dalam sintaks yang lebih bersih. Contoh ruleset dasar untuk server:

sudo nft add table inet filter
sudo nft add chain inet filter input '{ type filter hook input priority 0; policy drop; }'
sudo nft add rule inet filter input ct state established,related accept
sudo nft add rule inet filter input iif lo accept
sudo nft add rule inet filter input tcp dport 22 accept

Baris pertama membuat tabel inet filter, baris kedua membuat chain input dengan policy drop, dan baris-baris berikutnya menerima koneksi yang sudah aktif, lalu lintas loopback, dan SSH. Tampilkan seluruh ruleset:

sudo nft list ruleset

sudo nft list ruleset menampilkan semua tabel, chain, dan rule yang aktif — gambaran lengkap kebijakan firewall kalian.

#Menyimpan Ruleset Agar Bertahan

Ruleset nftables tidak otomatis bertahan dari reboot. Simpan dan pulihkan:

sudo nft list ruleset | sudo tee /etc/nftables.conf
sudo service nftables restart

File /etc/nftables.conf dibaca service nftables saat boot. Jika kalian mengubah ruleset, perbarui file ini lalu restart service agar konsisten.

#iptables: Warisan yang Masih Dipakai

#Sintaks Tradisional

iptables adalah tool firewall klasik yang masih banyak dipakai dan didukung penuh di Devuan. Perintah yang setara dengan contoh nftables di atas:

sudo iptables -P INPUT DROP
sudo iptables -A INPUT -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT
sudo iptables -A INPUT -i lo -j ACCEPT
sudo iptables -A INPUT -p tcp --dport 22 -j ACCEPT

iptables -P INPUT DROP mengatur policy default chain INPUT menjadi drop. Perintah -A menambahkan rule secara berurutan — urutan ini menentukan perilaku firewall.

#Simpan dan Pulihkan dengan iptables-persistent

Untuk menyimpan ruleset iptables, gunakan paket iptables-persistent:

sudo apt install iptables-persistent
sudo netfilter-persistent save
sudo netfilter-persistent reload

netfilter-persistent save menyimpan ruleset aktif ke /etc/iptables/rules.v4 yang dimuat service saat boot. Pilih satu tool — nftables atau iptables — dan jangan mencampurnya di mesin yang sama.

#UFW: Firewall yang Mudah

#Mengaktifkan UFW

UFW (Uncomplicated Firewall) adalah pembungkus iptables yang menyediakan sintaks sederhana. Ideal untuk pemula atau server yang ingin konfigurasi cepat:

sudo apt install ufw
sudo ufw allow OpenSSH
sudo ufw allow 80/tcp
sudo ufw enable
sudo ufw status verbose

sudo ufw enable mengaktifkan firewall dan menjadikannya aktif saat boot. Perintah ufw status verbose menampilkan aturan aktif. Selalu izinkan SSH sebelum mengaktifkan UFW agar kalian tidak terkunci dari server.

#Routing: Forwarding dan NAT

#Mengaktifkan IP Forwarding

Untuk menjadikan Devuan sebagai gateway, aktifkan forwarding paket antar interface:

sudo sysctl -w net.ipv4.ip_forward=1
echo "net.ipv4.ip_forward=1" | sudo tee -a /etc/sysctl.d/99-forward.conf

sudo sysctl -w net.ipv4.ip_forward=1 mengaktifkan forwarding langsung; baris kedua membuatnya permanen lewat sysctl. Tanpa forwarding, paket antar network tidak akan diteruskan.

#NAT dengan nftables

Untuk mesin yang menjadi gateway internet, tambahkan aturan masquerade:

sudo nft add table ip nat
sudo nft add chain ip nat postrouting '{ type nat hook postrouting priority 100; }'
sudo nft add rule ip nat postrouting oif eth0 masquerade

Aturan di atas menerapkan NAT masquerade untuk semua paket yang keluar lewat eth0 — mengubah IP sumber menjadi IP gateway. Ini pola dasar untuk router rumah atau server edge.

#Penutup

Episode 13 membahas firewall di Devuan: membangun ruleset dengan nftables dan iptables, memahami perbedaan sintaks keduanya, memakai UFW untuk kemudahan, serta mengonfigurasi IP forwarding dan NAT untuk mesin gateway.

Inti yang harus dibawa pulang:

• nftables adalah penerus iptables dengan sintaks lebih bersih.
• Simpan ruleset ke file agar bertahan dari reboot.
• Jangan mencampur nftables dan iptables pada satu mesin.
• UFW adalah pembungkus iptables yang mudah dipakai.
• IP forwarding diaktifkan lewat sysctl.
• Masquerade di chain postrouting menyediakan NAT untuk gateway.

Di episode 14 selanjutnya kita akan membahas security dan hardening — memperketat SSH, mengatur kebijakan sudo, menjalankan audit dengan lynis, mencegah brute-force dengan fail2ban, serta mengotomatiskan pembaruan keamanan dengan unattended-upgrades.