Belajar UFW - Application Profiles

#Pendahuluan

Episode 4 menyebutkan bahwa ufw allow ssh memakai application profile. Episode 7 membuka konsep itu seutuhnya: application profiles — cara UFW memberi nama pada port dan protokol, sehingga aturan firewall ditulis dalam bahasa layanan, bukan bahasa angka.

Mengapa ini penting? Karena aturan bernama lebih mudah dibaca, diaudit, dan dipelihara. ufw allow 'OpenSSH' lebih informatif daripada ufw allow 22/tcp di ruleset yang panjang. Lebih dari itu, profil juga bisa dipakai untuk update massal — saat port sebuah aplikasi berubah, kalian cukup mengubah satu file profil, bukan mencari semua aturan.

#Apa itu Application Profile

Sebuah application profile adalah file INI kecil yang memetakan nama layanan ke daftar port+protokol. Ketika kalian menulis ufw allow 'NamaProfil', UFW membaca file ini, lalu membuat aturan untuk setiap baris port di dalamnya.

Coba lihat profil yang sudah tersedia:

Daftar application profiles

sudo ufw app list

Contoh output

Available applications:
  OpenSSH
  CUPS
  Postfix
  ...

Output bervariasi tergantung paket yang terinstall. Profil-profil ini didefinisikan di /etc/ufw/applications.d/ dan paket aplikasi lain:

Lokasi file profil

ls /etc/ufw/applications.d/

#Melihat Isi Sebuah Profil

Perintah app info menampilkan detail port sebuah profil:

Detail profil OpenSSH

sudo ufw app info OpenSSH

Output

Profile: OpenSSH
Title: OpenSSH
Description: Secure shell server, an rshd replacement
Port: 22/tcp

Di sinilah kita melihat isi yang sebenarnya: profil OpenSSH berisi port 22/tcp. File mentahnya ada di sistem:

/etc/ufw/applications.d/openssh-server

[OpenSSH]
title=OpenSSH
description=Secure shell server, an rshd replacement
ports=22/tcp

Tiga kunci standar sebuah profil:

Kunci	Fungsi
`[Nama]`	Identifier unik profil
`title`	Judul yang tampil di `app list`
`description`	Deskripsi layanan
`ports`	Daftar `port/protocol`, dipisah koma untuk banyak entri

Note

Nama profil case-sensitive: ufw allow openssh akan gagal, ufw allow OpenSSH berhasil. Selalu gunakan nama persis dari output ufw app list.

#Mengaktifkan Profil

Mengaktifkan profil = membuat aturan untuk semua port di dalamnya:

Allow via profil OpenSSH

sudo ufw allow 'OpenSSH'

Output

Rule added
Rule added (v6)

Perhatikan output ganda: dua aturan dibuat (IPv4 dan IPv6) karena profil otomatis dual-stack. Untuk proteksi tambahan, profil juga bisa dikombinasikan dengan pembatasan sumber:

Profil + IP sumber

sudo ufw allow from 203.0.113.0/24 to any app OpenSSH

#Menghapus dan Memeriksa Aturan Profil

Menghapus aturan yang dibuat dari profil:

Hapus aturan profil

sudo ufw delete allow 'OpenSSH'

Periksa aturan yang tersisa di status — aturan akan tampil dengan nama profil di kolom To:

Status dengan profil

sudo ufw status
 
To                         Action      From
--                         ------      ----
OpenSSH                    ALLOW       192.168.1.0/24

#Membuat Profil Kustom

Sekarang bagian paling berguna: profil untuk aplikasi internal kalian. Contoh: aplikasi web internal yang mendengarkan di port 8443 (HTTPS) dan port 9443 (metrik). Buat file profil:

/etc/ufw/applications.d/app-internal

[AppInternal]
title=Internal Web App
description=Aplikasi web internal dengan metrik Prometheus
ports=8443/tcp,9443/tcp

Format ports memakai koma untuk memisahkan beberapa entri. Setelah file disimpan, UFW perlu memuat ulang daftar profil:

Muat ulang daftar profil

sudo ufw app update AppInternal

Verifikasi profil baru

sudo ufw app info AppInternal

Output

Profile: AppInternal
Title: Internal Web App
Description: Aplikasi web internal dengan metrik Prometheus
Port: 8443/tcp, 9443/tcp

Aktifkan profil baru tersebut:

Allow profil kustom

sudo ufw allow 'AppInternal'

#Update Massal Profil

Inilah keunggulan profil yang sesungguhnya. Misalkan aplikasi pindah dari 8443 ke 8444 — cukup ubah satu file:

/etc/ufw/applications.d/app-internal (diedit)

[AppInternal]
title=Internal Web App
description=Aplikasi web internal dengan metrik Prometheus
ports=8444/tcp,9443/tcp

Lalu update profil dan reload:

Terapkan perubahan profil

sudo ufw app update AppInternal
sudo ufw reload

Seluruh aturan yang mereferensikan AppInternal langsung menyesuaikan — tanpa menyentuh aturan satu per satu. Inilah nilai pemeliharaan jangka panjang yang dihargai oleh tim ops.

Tip

Kelola profil kustom sebagai kode: simpan file profil di repository (misalnya folder ufw/ dalam repo Ansible, episode 20) dan deploy bersama konfigurasi lain. Dengan begitu perubahan port aplikasi terdokumentasi dan tercatat di history git.

#Common Pitfalls

Nama profil harus case-sensitive dan unik: dua file dengan profil bernama sama akan bentrok; salah satunya diabaikan.
Lupa ufw app update: setelah membuat/mengedit file, jalankan ufw app update <Nama> agar UFW membaca perubahan — jika tidak, ufw allow 'NamaProfil' akan gagal dengan "profile not found".
Format ports salah: pisahkan entri dengan koma, bukan spasi: ports=8443/tcp,9443/tcp (spasi di antara dua entri akan diinterpretasikan sebagai nama protokol yang aneh).
Mengubah file profil tidak mengubah aturan yang sudah aktif: jalankan ufw reload untuk menerapkan perubahan.

#Penutup

Pada episode 7 ini, kalian telah menguasai application profiles.

Inti yang harus dibawa pulang:

Profil adalah file INI yang memetakan nama layanan ke port+protokol di /etc/ufw/applications.d/.
ufw app list melihat daftar, ufw app info <Nama> melihat isi, ufw allow '<Nama>' mengaktifkannya.
Nama profil case-sensitive; selalu gunakan persis dari output app list.
Profil kustom mendukung title, description, dan ports yang dipisah koma.
Ubah profil lalu ufw app update + ufw reload untuk update massal aturan.

Di episode 8 selanjutnya, kita belajar membereskan ruleset: Deleting, Reset & Status Rule — menghapus aturan by port atau by nomor, reset penuh, dan menyusun ulang ruleset yang bersih dan logis. Sampai jumpa di episode 8!