کانفیگ CSF در Ubuntu پیش از هر تغییر به شناخت نسخه و منبع به‌روزرسانی نیاز دارد. توسعه‌دهندهٔ اصلی ConfigServer در ۳۱ اوت ۲۰۲۵ فعالیت خود را پایان داد. نصب قدیمی را صرفاً به دلیل اجرا شدن، دارای پشتیبانی امنیتی فرض نکنید.
پیش از کانفیگ CSF در Ubuntu، شاخه را مشخص کنید
طبق مستندات cPanel، WebPros نسخهٔ خود را برای cPanel و WHM پشتیبانی‌شده با اصلاحات امنیتی و پایداری نگهداری می‌کند. این مسیر را نباید به هر سرور Ubuntu مستقل تعمیم داد.
برای محیط‌های دیگر، راهنمای Webmin تفاوت پروژه‌های مستقل را توضیح می‌دهد. منبع، نسخه، سابقهٔ انتشار و مسیر مهاجرت باید روشن باشند. لینک دانلود قدیمی و اسکریپت ناشناس جای منبع نگهداری‌شده را نمی‌گیرند.
اول مسیر مدیریت را حفظ کنید
پورت واقعی SSH، IP مدیریت و کنسول بازیابی را مشخص کنید. نشست فعلی را باز نگه دارید و پس از هر تغییر ورود تازه را امتحان کنید. توصیهٔ قبلی به خالی کردن همهٔ پورت‌ها و افزودن مجدد آن‌ها می‌تواند دسترسی را قطع کند و نباید اجرا شود.
اگر UFW، firewalld یا ابزار دیگری قواعد فعال را مدیریت می‌کند، CSF را بی‌برنامه در کنار آن فعال نکنید. برای Ubuntu مستقل، UFW ممکن است نیاز سادهٔ مدیریت فایروال را پوشش دهد؛ جابه‌جایی مدیر فایروال باید با حفظ قواعد لازم و مسیر بازیابی انجام شود.
فهرست سرویس‌های واقعی را تهیه کنید
sudo ss -lntup
sudo csf -v
sudo csf -hخروجی اول سرویس‌های در حال گوش دادن را نشان می‌دهد؛ به معنی مجاز بودن همهٔ آن‌ها برای اینترنت نیست. دو فرمان بعدی فقط وقتی CSF موجود است، نسخه و راهنمای همان نصب را مشخص می‌کنند. قواعد را از روی نیاز سرویس بنویسید، نه یک فهرست ثابت برای تمام سرورها.
پورت‌های ورودی و خروجی را جدا ببینید
TCP_IN و UDP_IN ورودی و TCP_OUT و UDP_OUT خروجی را کنترل می‌کنند. وب‌سرور عمومی معمولاً به ۸۰ و ۴۴۳ نیاز دارد؛ دیتابیس محلی نباید صرفاً چون MySQL نصب است روی ۳۳۰۶ عمومی شود. پاسخ به درخواست DNS با میزبانی عمومی سرویس DNS متفاوت است.
SSH ممکن است روی پورتی غیر از ۲۲ باشد. FTP غیرفعال نیز به بازهٔ دادهٔ متناسب با تنظیم سرویس نیاز دارد و فقط ۲۰ و ۲۱ کافی نیست. در خدمات ایمیل، پورت ۴۶۵ برای submission روی TLS به کار می‌رود؛ برچسب کلی «سیسکو» در متن قدیمی برای این کاربرد درست نبود.
قواعد IPv6 را مطابق گزینه‌های موجود در نسخهٔ نصب‌شده تنظیم کنید. نام گزینه‌ها را از توضیحات همان csf.conf بخوانید؛ غلط تایپی مانند UPD به جای UDP را وارد فایل نکنید.
تفاوت csf.allow، csf.deny و csf.ignore
راهنمای نگهداری‌شدهٔ CSF فایل csf.conf را محل تنظیمات اصلی، csf.allow را برای قواعد اجازه و csf.deny را برای منع معرفی می‌کند. csf.ignore به نادیده گرفتن توسط LFD مربوط است؛ آن را عبور از تمام لایه‌های فایروال تعبیر نکنید.
استثناهای مدیریت باید محدود و قابل توضیح باشند. اجازه دادن به یک بازهٔ بزرگ برای رفع مسدودی یک IP، سطح دسترسی را بیش از نیاز زیاد می‌کند. همچنین قواعد، فهرست‌های موقت و تنظیمات LFD را با هم بررسی کنید؛ نتیجه را فقط از وجود یک خط در یک فایل استنباط نکنید.
اعمال و آزمون تغییرات
یک تغییر مشخص در فایل /etc/csf/csf.conf یا رابط مدیریت انجام دهید. در محیط cPanel از بخش Firewall Configuration استفاده کنید و راهنمای همان شاخه را دنبال کنید. تغییر فایل‌ها ممکن است به اعمال مجدد CSF و LFD نیاز داشته باشد؛ csf -r را به‌طور خودکار کافی برای هر نوع تغییر ندانید.
حالت TESTING برای کار دائمی طراحی نشده است. فقط بعد از تطبیق پورت‌ها، ورود تازه و آزمون سرویس‌ها از حالت آزمایش خارج شوید. مقدارهای CONNLIMIT یا PORTFLOOD را نیز بدون شناخت کاربران پشت NAT و بار واقعی کپی نکنید.
بعد از تغییر چه چیزی ثبت شود؟
نام نسخه و منبع نگهداری، قواعد تغییرکرده، نتیجهٔ اتصال مدیریتی و سرویس‌های عمومی را ثبت کنید. هشدارهای LFD و خطای به‌روزرسانی را دنبال کنید. هدف، دسترسی لازم و قابل نگهداری است؛ زیاد بودن تعداد قواعد یا مسدودی‌ها به‌تنهایی معیار امنیت نیست.
مطالعهٔ مرتبط
بازبینی فنی: ۱۴ آبان ۱۴۰۵. تاریخ انتشار اولیه و نشانی قبلی حفظ شده‌اند.
