Chiudere le porte che non usi e aprire la 22 solo quando serve

Un server su internet riceve migliaia di tentativi di accesso al giorno. Non sono hacker che guardano proprio te: sono programmi automatici che scorrono tutti gli indirizzi di internet provando le porte. Se ne trovano una aperta, provano le password; se trovano un programma vecchio, provano i difetti conosciuti. Ogni porta aperta di cui non hai bisogno è una porta in più per quei programmi, e chiuderla non costa nulla.

La maggior parte delle macchine che Simplio vede ha la porta 22 (quella di amministrazione) aperta a tutto il mondo dal giorno in cui è stata creata, perché così viene impostata di default. È come lasciare la porta del locale contatori aperta sulla strada. Questa guida insegna a guardare quali porte ha aperte la tua macchina, chiudere quelle di troppo e aprire quella di amministrazione solo dal tuo ufficio e solo mentre la usi.

Passo dopo passo

1. Decidi quali porte servono davvero alla tua macchina

   Per un sito web la lista è corta: 80 (HTTP, per reindirizzare a HTTPS) e 443 (HTTPS). Nient'altro. Tutto ciò che non è questo serve ad amministrare, e ad amministrare sei tu, non il mondo.

   Porte che non dovrebbero mai essere aperte a tutta internet:

   • 22 (SSH) e 3389 (desktop remoto di Windows): amministrazione. Solo al tuo IP, e meglio solo quando la usi.
   • 3306 (MySQL/MariaDB) e 5432 (PostgreSQL): il database. Se il sito è sulla stessa macchina, non ha bisogno della porta aperta verso l'esterno per niente. Se c'è un'altra macchina che si collega, aprila solo all'IP di quella macchina.
   • 21 (FTP): carica file senza cifratura. Se devi caricare qualcosa, usa SFTP, che passa dalla 22.
   • 10000 (Webmin), 8080 e 8443 (pannelli e ambienti di prova), 9090, 5000: pannelli di amministrazione che spesso hanno password deboli o versioni vecchie.
   • 25 (posta in uscita): AWS la limita di default e quasi nessun sito ha bisogno di averla aperta verso l'interno.

   Se nel tuo firewall c'è una porta di cui non sai a cosa serve, la risposta giusta è chiuderla e vedere se qualcosa smette di funzionare. Di solito, niente.

2. Controlla il firewall di una macchina Lightsail

   Entra in Lightsail, clicca sul nome della macchina e apri la scheda Rete. In Firewall IPv4 c'è la lista delle regole, ognuna con applicazione, protocollo, porta e la colonna Limitato a. Se quella colonna dice "Qualsiasi indirizzo IPv4", quella porta è aperta al mondo.

   Ciò che dovrebbe restare:

   • HTTP, TCP, 80, qualsiasi indirizzo.
   • HTTPS, TCP, 443, qualsiasi indirizzo.
   • SSH, TCP, 22, limitato al tuo IP (passo 4), oppure direttamente senza regola quando non la usi.

   Per cancellare una regola, clicca sull'icona del cestino a destra. Per modificarla, la matita. Le modifiche si applicano all'istante, senza riavviare. Se hai attivato IPv6, ripeti nel blocco Firewall IPv6: è una lista a parte e spesso ci si dimentica.

   Fallo su ogni macchina: il firewall di Lightsail è per istanza e non si condivide.

3. Controlla i gruppi di sicurezza di una macchina EC2

   Entra in EC2, Istanze, clicca sulla macchina e apri la scheda Sicurezza. Vedrai i gruppi di sicurezza che ha assegnati (possono essere più di uno; le loro regole si sommano) e sotto le Regole in entrata combinate. Guarda la colonna Origine: 0.0.0.0/0 o ::/0 significa aperto al mondo.

   Per cambiare qualcosa, clicca sul nome del gruppo, scheda Regole in entrata, pulsante Modifica regole in entrata. Cancella quelle di troppo con Elimina e clicca su Salva regole. Le regole in uscita lasciale come sono: di default permettono tutto verso l'esterno ed è normale così.

   Due cose che succedono spesso in EC2:

   • Un gruppo chiamato launch-wizard-3 o simile, creato al volo lanciando la macchina, con la 22 aperta a tutti. È quello da correggere.
   • Uno stesso gruppo assegnato al sito web e al database. Così il database ha la 80 aperta e il sito la 3306. Fai un gruppo per funzione: web con 80 e 443, bbdd con 3306 solo dal gruppo web (in Origine puoi scrivere l'identificativo di un altro gruppo invece di un IP).

   Guarda anche Gruppi di sicurezza nel menu a sinistra: spesso ci sono gruppi vecchi senza nessuna macchina assegnata. Cancellali per non confonderti.

4. Apri la 22 solo al tuo IP, e solo mentre la usi

   Scopri il tuo IP pubblico cercando "qual è il mio IP" nel browser dalla rete in cui lavorerai. In Lightsail, scheda Rete, nella regola SSH clicca sulla matita, spunta Limita a indirizzo IP e scrivi il tuo. In EC2, modificando la regola della 22, in Origine scegli Il mio IP e AWS lo compila da sola.

   Se lavori da più posti (ufficio e casa), aggiungi una regola per posto, non una aperta a tutti. E se la tua connessione cambia IP spesso (è abituale con la fibra domestica e sempre con i dati mobili), metti in conto di doverla aggiornare ogni tanto: è un minuto.

   L'abitudine davvero buona: cancella la regola della 22 quando hai finito. Entri nella macchina poche volte al mese; il resto del tempo quella porta può non esistere. Quando ti serve, la aggiungi con il tuo IP, lavori e la togli. Senza porta 22 non ci sono attacchi alle password via SSH, e non c'è nessun programma in più da sorvegliare.

5. Verifica dall'esterno che non resti nulla di aperto

   Fidati, ma verifica. Da un terminale del tuo computer (su Windows, PowerShell), esegui contro l'IP della tua macchina:

   Test-NetConnection 83.45.120.7 -Port 3306

   Su Mac o Linux, nc -zv 83.45.120.7 3306. Se risponde che si è collegato, la porta è aperta verso l'esterno e bisogna rivedere il passo precedente. Fai la prova con 22, 3306, 3389, 10000 e 8080. Ci sono anche pagine che lo controllano per te (cerca "verificare porte aperte"); cerca di farlo da una rete diversa da quella che ha la 22 permessa, per esempio con il cellulare.

   Anche se una porta è aperta nel firewall, il programma all'interno può non rispondere (MySQL di solito ascolta solo in locale). Non contarci: chiudila nel firewall comunque.

6. Alternative per non avere mai la 22 aperta

   Se entri nella macchina di frequente, ci sono modi di farlo senza nessuna porta aperta:

   • Terminale nel browser di Lightsail: pulsante Connetti tramite SSH nella pagina della macchina. Lightsail si collega per conto suo anche se hai cancellato la regola della 22 dal firewall; lo fa attraverso una via interna di AWS. Per interventi puntuali è sufficiente.
   • Session Manager in EC2: nella macchina, pulsante Connetti, scheda Session Manager. Richiede che la macchina abbia l'agente SSM (è incluso nelle immagini Amazon Linux e Ubuntu di AWS) e un ruolo con la policy AmazonSSMManagedInstanceCore. In cambio, zero porte aperte, e ogni sessione resta registrata in CloudTrail con chi è entrato.
   • EC2 Instance Connect: la scheda Client EC2 Instance Connect nello stesso pulsante Connetti. Ha ancora bisogno della 22 aperta, ma solo all'intervallo di IP di AWS che pubblica per la tua regione, non a tutta internet.

   Con una qualsiasi di queste, la 22 aperta al mondo non ha più scuse.

Cosa può andare storto