UFW Adalah: Fungsi, Cara Kerja & Perintah Dasarnya

Sebuah VPS yang baru dinyalakan bukan mesin yang tertutup rapat. Begitu sistem operasinya selesai memuat, beberapa program langsung membuka port (nomor pintu layanan jaringan) dan menunggu koneksi dari luar. Ada layanan SSH di port 22, mungkin web server di port 80 dan 443. Tidak jarang basis data pun ikut mendengarkan di semua antarmuka jaringan. Setiap port yang terbuka adalah pintu yang bisa diketuk siapa pun di internet.

Di sinilah firewall bekerja. Firewall adalah penyaring yang memutuskan paket data mana yang boleh lewat dan mana yang dibuang, berdasarkan alamat asal, port tujuan, dan protokol. Linux sudah membawa mesin penyaring itu di dalam kernelnya sejak lama. Persoalannya ada pada cara mengaturnya — perintah iptables menuntut Anda memahami tabel, chain, dan urutan aturan sebelum bisa menutup satu port saja.

UFW adalah jawaban Ubuntu atas persoalan tersebut. Alih-alih menyusun aturan panjang, Anda cukup mengetik ufw allow 80/tcp. Artikel ini membahas apa sebenarnya UFW, bagaimana ia bekerja, perintah apa saja yang perlu Anda kuasai, dan sampai di mana batas kemampuannya.

UFW Adalah Antarmuka, Bukan Firewall-nya Sendiri

UFW adalah singkatan dari Uncomplicated Firewall, program yang ditulis Jamie Strandboge dengan bahasa Python dan dirilis di bawah lisensi GPL. Ia terpasang bawaan di semua instalasi Ubuntu sejak versi 8.04 LTS (Hardy Heron) yang keluar April 2008, dan di Debian sejak Debian 10.

Namanya menjanjikan kesederhanaan, dan itu memang yang ditawarkan. Namun ada satu hal yang perlu Anda pahami lebih dulu: UFW tidak menyaring satu paket data pun.

Penyaringan sesungguhnya dikerjakan Netfilter, subsistem di dalam kernel Linux yang memeriksa setiap paket yang masuk, keluar, atau melintas. Netfilter sudah aktif di server Anda sejak sistem operasinya terpasang. Yang dilakukan UFW hanyalah menerjemahkan perintah pendek Anda menjadi aturan yang dimengerti Netfilter. Dokumentasi keamanan resmi Ubuntu menyebut UFW sebagai kerangka firewall yang berperan sebagai antarmuka untuk iptables sekaligus nftables.

Manpage UFW menyatakannya sendiri dengan jujur:

"ufw is not intended to provide complete firewall functionality via its command interface, but instead provides an easy way to add or remove simple rules." — manpage ufw(8)

Analoginya begini. UFW bukan satpam yang berjaga di gerbang, melainkan formulir yang Anda isi untuk memberi tahu satpam siapa yang boleh masuk. Satpamnya sudah bekerja sejak kemarin, hanya belum diberi instruksi.

Cara pandang ini sekaligus menjawab pertanyaan yang sering muncul: di mana sebenarnya letak firewall pada sistem Linux? Jawabannya di kernel, bukan di aplikasi. UFW, iptables, nftables, dan firewalld hanyalah cara berbeda untuk berbicara dengan mesin yang sama.

Fungsi UFW: Tiga Arah Lalu Lintas yang Dijaganya

UFW memandang lalu lintas jaringan dalam tiga arah, dan tiap arah punya kebijakan sendiri:

1. Incoming (masuk): paket yang datang dari luar menuju server Anda. Inilah arah paling berisiko dan paling sering diatur.
2. Outgoing (keluar): paket yang dikirim server Anda ke luar, misalnya saat mengunduh pembaruan.
3. Routed (diteruskan): paket yang hanya numpang lewat karena server Anda berperan sebagai perantara, misalnya menuju sebuah container.

Pada sistem yang baru dipasang, kebijakan bawaannya menolak semua yang masuk, mengizinkan semua yang keluar, dan menonaktifkan penerusan. Kombinasi ini masuk akal untuk sebuah server. Anda tetap bisa memperbarui paket dan menghubungi layanan luar, sementara tidak ada seorang pun dari internet yang bisa masuk tanpa izin eksplisit dari Anda.

Dari tiga arah itu, empat pekerjaan konkret bisa Anda lakukan:

1. Menutup port yang tidak dipakai: layanan yang sejak awal mendengarkan di semua antarmuka tetap tidak dapat dihubungi dari luar.
2. Membatasi akses berdasarkan alamat IP: port basis data hanya dibuka untuk satu alamat IP tertentu, bukan untuk seluruh internet.
3. Mengerem percobaan login berulang: satu perintah cukup untuk menjatuhkan koneksi yang datang terlalu sering dari sumber yang sama.
4. Mencatat lalu lintas yang ditolak: UFW menulis log ke /var/log/ufw.log dengan lima tingkat kerincian.

Cara Kerja UFW: Dari Satu Perintah ke Aturan di Kernel

Mari kita ikuti perjalanan satu perintah sederhana, ufw allow 22/tcp, dari saat Anda menekan Enter sampai paket benar-benar disaring.

Alur UFW: perintah ufw allow ditulis ke user.rules, diterjemahkan ke iptables-nft, lalu disaring Netfilter di kernel.

Tahap ketiga layak diperhatikan. UFW masih memanggil perintah iptables yang klasik. Namun pada Ubuntu modern perintah itu sebenarnya iptables-nft, sebuah pembungkus yang menuliskan aturan ke nftables — penerus iptables di kernel. Backend nftables sudah menjadi bawaan sejak Ubuntu 20.10. Jadi meskipun sintaks yang Anda lihat terasa berasal dari era iptables, aturan yang mendarat di kernel sudah berbentuk nftables.

Aturan yang tersimpan tidak dievaluasi sembarangan. UFW membaca tiga berkas secara berurutan: before.rules lebih dulu, user.rules berikutnya, dan after.rules paling akhir. Berkas user.rules inilah yang berisi aturan hasil perintah Anda.

Urutan evaluasi UFW: paket diperiksa before.rules, lalu user.rules, lalu after.rules, lalu kebijakan bawaan.

Konsekuensinya penting dan sering membuat orang bingung: aturan pertama yang cocok yang menang, sisanya tidak diperiksa lagi. Misalnya Anda menaruh aturan yang mengizinkan seluruh port 22 lebih dulu. Aturan berikutnya yang memblokir satu alamat IP untuk port yang sama tidak akan pernah dijalankan. Untuk kasus seperti ini, UFW menyediakan ufw insert supaya aturan baru bisa diselipkan pada urutan tertentu.

Perintah Dasar UFW dan Port yang Umum Dibuka

Bagian ini adalah rujukan yang bisa Anda tengok kembali saat lupa. Seluruh sintaksnya mengikuti manpage ufw(8).

Menyalakan, Mematikan, dan Memeriksa Status

Sebelum menyalakan apa pun, pastikan Anda tidak akan mengunci diri sendiri:

Kalau Anda sedang terhubung lewat SSH, jalankan sudo ufw allow OpenSSH sebelum sudo ufw enable. Kebijakan bawaan UFW menolak semua koneksi masuk, termasuk sesi SSH yang sedang Anda pakai. Tanpa aturan itu, koneksi Anda terputus saat itu juga.

Perintah untuk mengelola keadaan firewall:

sudo ufw enable          # menyalakan, sekaligus mengaktifkannya saat boot
sudo ufw disable         # mematikan dan membatalkan aktivasi saat boot
sudo ufw reload          # memuat ulang aturan tanpa mematikan firewall
sudo ufw reset           # mengembalikan ke pengaturan awal pemasangan

Ada tiga bentuk perintah status, masing-masing dengan kegunaan berbeda:

sudo ufw status              # daftar aturan ringkas
sudo ufw status verbose      # ditambah kebijakan bawaan dan tingkat logging
sudo ufw status numbered     # tiap aturan diberi nomor urut

Bentuk numbered paling sering Anda butuhkan, karena nomornya dipakai untuk menghapus aturan.

Laporan Lengkap dengan ufw show

Di luar status, UFW punya keluarga perintah show untuk pemeriksaan yang lebih dalam:

sudo ufw show listening    # port yang sedang mendengarkan + program pemiliknya
sudo ufw show added        # aturan persis seperti saat Anda mengetikkannya
sudo ufw show raw          # seluruh aturan firewall apa adanya

Menurut manpage, ufw show listening menampilkan port yang sedang dalam keadaan mendengarkan untuk TCP dan terbuka untuk UDP. Keluarannya lengkap dengan alamat antarmuka, program yang memakai port itu, serta aturan mana saja yang memengaruhi koneksi ke sana. Inilah cara tercepat menjawab pertanyaan "port apa saja yang sebenarnya terbuka di server ini", tanpa perlu memanggil netstat secara terpisah.

Sementara ufw show added berguna untuk mencadangkan konfigurasi. Keluarannya berupa daftar perintah persis seperti saat Anda menuliskannya, sehingga bisa disalin ke server lain. Manpage mengingatkan bahwa laporan ini tidak menunjukkan keadaan firewall yang sedang berjalan — untuk itu tetap pakai ufw status.

Tiga perintah ini sering dicari tetapi tidak ada di UFW: ufw list rules, ufw show rules, dan ufw restart. Untuk melihat aturan, pakai ufw status atau ufw show added. Untuk memuat ulang, pakai ufw reload. Kata list sendiri hanya sah dalam bentuk ufw app list.

Membuka dan Menutup Port

Bentuk paling sederhana hanya menyebut nomor port dan protokolnya:

sudo ufw allow 80/tcp
sudo ufw deny 23/tcp

Beberapa port bisa ditulis dalam satu aturan, termasuk rentang. Batasnya 15 port per aturan:

sudo ufw allow 80,443,8080:8090/tcp

UFW juga mengenali application profile (profil aplikasi), yaitu berkas kecil yang sudah mencatat port milik sebuah layanan:

sudo ufw app list             # melihat profil yang tersedia
sudo ufw allow 'Nginx Full'   # membuka port 80 dan 443 sekaligus

Yang paling berguna untuk keamanan justru aturan berbasis alamat IP. Alih-alih membuka port basis data ke seluruh internet, buka hanya untuk alamat yang Anda percaya:

sudo ufw allow from 203.0.113.5 to any port 3306 proto tcp

Kebalikannya juga berlaku. Untuk memblokir satu alamat IP dari seluruh port sekaligus, sebut alamatnya saja tanpa port:

sudo ufw deny from 198.51.100.7

Perlu diketahui bedanya deny dan reject. Keduanya sama-sama menolak. Bedanya, deny membuang paket tanpa kabar sehingga pengirim hanya melihat koneksi yang menggantung, sementara reject mengirim balasan bahwa koneksi ditolak. Untuk server yang menghadap internet, deny umumnya lebih disukai karena tidak memberi umpan balik apa pun kepada pemindai otomatis.

Port yang Paling Sering Dibuka

Tabel berikut merangkum port yang biasanya perlu Anda putuskan nasibnya. Daftar yang lebih lengkap dibahas terpisah di artikel port.

Menghapus dan Mengubah Aturan

Cara pertama menyebut ulang aturannya secara persis:

sudo ufw delete allow 80/tcp

Cara kedua lebih aman dari salah ketik, yaitu lewat nomor urut:

sudo ufw status numbered
sudo ufw delete 3

Perhatikan bahwa nomor urut berubah setiap kali sebuah aturan dihapus. Kalau perlu menghapus beberapa aturan sekaligus, hapus dari nomor terbesar ke terkecil supaya nomor yang belum tersentuh tidak bergeser. UFW juga menerima catatan pada tiap aturan:

sudo ufw allow 8080/tcp comment 'panel monitoring internal'

Rate Limiting: Rem Otomatis untuk Serangan Brute Force

Fitur UFW yang paling sering terlewat justru yang paling pendek perintahnya. Ganti allow dengan limit:

sudo ufw limit ssh

Perilakunya persis seperti yang tertulis di manpage. Koneksi tetap diizinkan seperti biasa, tetapi akan ditolak apabila sebuah alamat IP mencoba membuka enam koneksi atau lebih dalam tiga puluh detik. Ini cukup untuk melumpuhkan sebagian besar percobaan brute force otomatis terhadap SSH, tanpa memasang perangkat lunak tambahan.

Satu hal perlu Anda ketahui sejak awal: angka enam dan tiga puluh detik itu tidak dapat diubah lewat antarmuka ufw. Tidak ada opsi untuk memperketatnya menjadi tiga koneksi per menit, misalnya. Kalau Anda membutuhkan ambang berbeda, atau ingin pemblokiran bertahan lebih lama daripada sekadar jeda, pekerjaan itu sudah pindah ke fail2ban.

Kelebihan UFW

1. Sintaksnya bisa dibaca tanpa membuka manual: perintah ufw allow 443/tcp menjelaskan dirinya sendiri. Aturan iptables yang setara menuntut penyebutan tabel, chain, dan target secara eksplisit.
2. Sudah terpasang, jadi tidak menambah permukaan serangan: pada Ubuntu dan Debian, UFW ikut dalam sistem dasar. Tidak perlu repositori pihak ketiga.
3. Profil aplikasi menghilangkan urusan menghafal port: ufw allow 'Nginx Full' lebih sukar salah dibanding mengingat bahwa Nginx memakai 80 dan 443.
4. Aturan bertahan setelah reboot: ufw enable sekaligus mendaftarkan firewall supaya aktif saat boot. Aturan iptables mentah justru hilang kalau tidak disimpan khusus.
5. Pencatatan log berjenjang cukup satu perintah: ufw logging medium menaikkan kerincian catatan tanpa menyentuh berkas konfigurasi. Tersedia lima tingkat, dari off sampai full.

Kelemahan dan Hal yang Perlu Anda Pertimbangkan

1. Docker menembus UFW. Ini yang paling sering mengejutkan. UFW mengatur lalu lintas menuju host lewat chain INPUT, sedangkan Docker menulis aturannya sendiri lewat tabel nat dan chain FORWARD. Dokumentasi Docker menyatakan bahwa lalu lintas dari dan ke container yang portnya dipublikasikan dialihkan sebelum sempat melewati pengaturan UFW. Artinya ufw deny 5432 tidak akan menghentikan siapa pun menghubungi container PostgreSQL yang Anda jalankan dengan -p 5432:5432. Satu hal perlu diluruskan: Docker Engine 28.0 yang rilis Februari 2025 memang memperketat kebijakan bawaannya, tetapi yang diperbaiki di sana adalah port yang tidak dipublikasikan. Port yang Anda buka sendiri dengan -p tetap melewati UFW. Ada dua jalan keluar. Kalau layanannya hanya diakses dari dalam host, ikat port ke 127.0.0.1 saja. Kalau tidak, tambahkan aturan pada chain DOCKER-USER yang memang Docker sediakan untuk keperluan ini.

2. Pengembangan upstream nyaris berhenti. Rilis upstream terakhir adalah versi 0.36.2 pada 18 Mei 2023, lebih dari tiga tahun lalu. Yang terus berjalan adalah perawatan di sisi distribusi: Ubuntu 24.04 LTS membawa paket 0.36.2-6, sementara Ubuntu 26.04 LTS membawa 0.36.2-9build1. UFW tetap aman dipakai karena perbaikan penting masuk lewat paket distribusi, tetapi jangan menunggu fitur baru.

3. Cakupannya memang sengaja dibatasi. NAT, penerusan port, dan aturan berbasis chain buatan sendiri berada di luar jangkauan perintah ufw. Untuk itu Anda harus menyunting before.rules secara langsung, yang berarti kembali berhadapan dengan sintaks iptables — persis hal yang tadinya ingin dihindari.

4. UFW tidak melindungi lapisan aplikasi. Penyaringannya berhenti pada alamat, port, dan protokol. Serangan SQL injection atau XSS yang datang lewat port 443 akan lewat begitu saja. Bagi UFW itu hanyalah paket HTTPS biasa menuju port yang memang Anda izinkan. Untuk ancaman semacam itu Anda membutuhkan web application firewall, yang bekerja pada lapisan berbeda.

Poin pertama paling sering disalahpahami, dan akarnya terlihat jelas begitu digambarkan. Yang menentukan bukan aturan mana yang Anda tulis, melainkan jalur mana yang ditempuh paket:

Paket menuju host melewati chain INPUT yang diperiksa UFW, paket menuju container lewat chain FORWARD milik Docker.

Aturan UFW hidup di jalur kiri. Paket yang menuju container mengambil jalur kanan dan tidak pernah menyentuhnya.

UFW Dibandingkan iptables, firewalld, dan CSF

Rekomendasi konkretnya begini. Kalau Anda mengelola satu VPS dengan kurang dari sekitar dua puluh aturan, dan seluruh kebutuhannya hanya membuka atau menutup port, UFW sudah lebih dari cukup. Kalau distribusi Anda berasal dari keluarga Red Hat seperti AlmaLinux atau Rocky Linux, pakai firewalld karena itu yang menjadi bawaannya. Kalau server Anda memakai cPanel, CSF lebih tepat karena menyatukan penyaringan port dengan pemblokiran otomatis berdasarkan kegagalan login. Dan kalau kebutuhan Anda sudah menyentuh NAT atau chain buatan sendiri, turunlah langsung ke nftables.

Masalah UFW yang Sering Muncul dan Cara Mengatasinya

Pesan ufw: command not found

Ada dua sebab dengan gejala identik tetapi penanganan berbeda.

Sebab pertama, paketnya memang belum terpasang. Ini lazim pada instalasi Debian minimal dan pada image container yang sengaja dipangkas seramping mungkin. Pasang dengan sudo apt update && sudo apt install ufw.

Sebab kedua lebih menjebak. Paketnya sudah ada, tetapi binernya terletak di /usr/sbin, direktori yang tidak termasuk dalam $PATH pengguna biasa. Kalau Anda menjalankan ufw status tanpa sudo, shell tidak menemukan berkasnya dan melaporkan perintah tidak dikenal — padahal programnya terpasang dengan baik. Cukup tambahkan sudo di depan setiap perintah UFW. Gejala serumpun adalah pesan bahwa Anda perlu menjadi root untuk menjalankan skrip ini, yang berakar pada sebab sama.

Pesan Status: inactive

Ini bukan error dan bukan pertanda Anda terkunci. Artinya sederhana: UFW terpasang tetapi belum dinyalakan, sehingga tidak ada aturan yang sedang ditegakkan. Ubuntu memang tidak mengaktifkan UFW secara otomatis setelah pemasangan. Setelah memastikan aturan SSH sudah ada, nyalakan dengan sudo ufw enable.

Pesan yang menyatakan firewall belum aktif sehingga pemuatan ulang dilewati berasal dari akar sama, yaitu ufw reload dijalankan sebelum firewall pernah dinyalakan.

Terkunci dari SSH Setelah ufw enable

Kalau ini terjadi, tidak ada perintah jarak jauh yang bisa menyelamatkan Anda — koneksinya sudah putus. Masuklah lewat konsol atau VNC yang disediakan panel penyedia VPS, lalu jalankan sudo ufw allow OpenSSH diikuti sudo ufw reload. Pencegahannya jauh lebih murah: biasakan perintah itu sebagai yang pertama Anda jalankan, bahkan sebelum memutuskan aturan lain.

Pesan Problem running ip6tables

Pesan ini muncul saat UFW gagal menerapkan aturan IPv6, biasanya karena kernel atau container yang Anda pakai tidak menyediakan dukungan IPv6. Kalau server Anda memang tidak memakai IPv6, buka /etc/default/ufw dan ubah baris IPV6=yes menjadi IPV6=no. Lalu jalankan sudo ufw disable && sudo ufw enable. Perlu diingat, mematikan IPv6 di UFW berarti aturan Anda tidak lagi berlaku untuk lalu lintas IPv6 — pastikan layanan Anda memang tidak mendengarkan di sana.

Aturan Sudah Dibuat tetapi Port Tetap Tertutup atau Tetap Terbuka

Periksa tiga kemungkinan berikut secara berurutan.

Pertama, urutan aturan. Ingat bahwa aturan pertama yang cocok yang menang. Jalankan sudo ufw status numbered dan pastikan aturan yang lebih spesifik berada di atas aturan yang lebih umum.

Kedua, Docker. Kalau port yang bermasalah dipakai sebuah container, kemungkinan besar UFW memang tidak pernah dilibatkan sejak awal.

Ketiga, firewall di sisi penyedia. Banyak layanan VPS menyediakan penyaring paket di lapisan jaringan yang bekerja terpisah dari UFW dan dikelola lewat panel. Port bisa saja sudah Anda buka di UFW tetapi masih tertutup di lapisan itu, atau sebaliknya.

Pertanyaan yang Sering Diajukan

Apakah UFW punya tampilan grafis? Ada, namanya Gufw. Ia dibuat terpisah dan perlu dipasang sendiri. Gufw ditujukan untuk komputer desktop; pada server yang diakses lewat SSH, perintah ufw tetap lebih praktis.

Apakah UFW bisa dipakai di luar Ubuntu? Bisa. UFW menjadi bawaan Debian sejak Debian 10 dan tersedia di repositori banyak distribusi lain, termasuk Kali Linux, Fedora, dan Arch Linux. Pada distribusi keluarga Red Hat, firewalld biasanya lebih sesuai karena sudah menyatu dengan perkakas sistem lainnya.

Apakah ada UFW untuk Windows? Tidak ada. UFW bekerja dengan Netfilter, bagian dari kernel Linux yang tidak punya padanan langsung di Windows. Windows sudah membawa Windows Defender Firewall yang dapat diatur lewat antarmuka grafis maupun PowerShell.

Bisakah UFW memblokir pengunjung berdasarkan negara? Tidak secara langsung. UFW hanya mengenal alamat dan rentang alamat IP, bukan lokasi geografis. Pemblokiran per negara membutuhkan daftar rentang IP tiap negara yang diperbarui berkala, dan itu dikerjakan modul iptables tambahan atau layanan di lapisan jaringan seperti CDN.

Apakah UFW mengenal konsep zone seperti firewalld? Tidak, dan itu disengaja. Firewalld mengelompokkan aturan berdasarkan zone kepercayaan jaringan, sementara UFW hanya mengenal daftar aturan berurutan. Kalau Anda membutuhkan pengelompokan semacam itu, firewalld adalah perkakas yang tepat.

Perlukah memakai UFW kalau penyedia VPS sudah menyediakan firewall? Sebaiknya keduanya dipakai. Firewall penyedia bekerja di lapisan jaringan sebelum paket sampai ke server, sedangkan UFW bekerja di dalam server itu sendiri. Kalau Anda sedang mempertimbangkan layanan VPS, ketersediaan akses konsol adalah hal yang perlu dicek sejak awal — di situlah Anda bergantung ketika salah mengatur firewall.

Kesimpulan

UFW adalah antarmuka untuk mengatur firewall yang sudah ada di kernel Linux, bukan firewall yang berdiri sendiri. Kekuatannya terletak pada kecepatan menutup port yang tidak perlu dan membatasi akses ke alamat IP tertentu. Ditambah satu fitur pengereman koneksi yang hanya butuh mengganti allow menjadi limit.

Batasnya pun sama jelasnya. Begitu Docker, NAT, atau ancaman lapisan aplikasi masuk hitungan, UFW bukan lagi jawabannya. Untuk satu VPS dengan aturan sederhana, UFW sudah memadai. Untuk server cPanel, CSF lebih sesuai. Dan untuk kebutuhan yang menyentuh penerusan paket, lebih baik turun langsung ke nftables.

Semoga artikel ini membantu.