Pengaturan Firewall UFW dan Fail2Ban untuk Keamanan Server

Oleh Sugeng 4 Sep 2026

Server yang terhubung ke internet selalu menjadi target serangan. Tanpa firewall, siapa pun bisa mencoba mengakses server Anda. UFW dan Fail2Ban adalah dua alat penting yang membentuk pertahanan berlapis untuk server Debian.

Pengertian Firewall

Firewall adalah sistem keamanan jaringan yang mengontrol lalu lintas data masuk dan keluar berdasarkan aturan tertentu. Firewall berfungsi seperti satpam digital yang hanya mengizinkan orang yang berwenang masuk dan memblokal yang mencurigakan.

Jenis Firewall

  • Packet Filtering: Memeriksa setiap paket data berdasarkan alamat IP, port, dan protokol
  • Stateful Inspection: Melacak status koneksi aktif untuk keputusan yang lebih cerdas
  • Application Gateway: Memfilter lalu lintas pada layer aplikasi

Pengertian UFW (Uncomplicated Firewall)

UFW adalah antarmuka sederhana untuk mengelola firewall iptables di Linux. UFW dirancang agar mudah digunakan oleh pemula yang tidak familiar dengan sintaks iptables yang kompleks.

Keunggulan UFW

  • Sangat Mudah: Perintah sederhana seperti ufw allow 22
  • Bawaan Debian: Sudah terinstal di Debian 13
  • Aman Bawaan: Secara default memblokir semua incoming dan mengizinkan semua outgoing
  • Aktif Seketika: Perubahan aturan langsung berlaku tanpa restart

Pengertian Fail2Ban

Fail2Ban adalah alat keamanan yang memantau log server dan otomatis memblokir alamat IP yang mencurigakan. Fail2Ban berfungsi seperti alarm yang otomatis mengevakuasi area saat mendeteksi intruder.

Cara Kerja Fail2Ban

  1. Pantau Log: Fail2Ban membaca file log seperti /var/log/auth.log
  2. Deteksi Pola: Mencari pola gagal login berulang
  3. Blokir IP: Menambahkan aturan firewall untuk memblokir IP yang mencurigakan
  4. Unban Otomatis: Setelah waktu yang ditentukan, blokir dihapus

Fitur Fail2Ban

  • Proteksi Brute-Force: Memblokir IP yang mencoba password berkali-kali
  • Deteksi Port Scan: Mengenali pola pemindaian port
  • Proteksi Web: Memblokir IP yang melakukan brute-force pada form login web
  • Konfigurasi Fleksibel: Bisa disesuaikan untuk SSH, Nginx, Apache, dan lainnya

Alat yang Dibutuhkan

  • Server Debian 13
  • Akses SSH sebagai root atau sudo
  • Tidak perlu software tambahan (UFW sudah bawaan, Fail2Ban perlu diinstal)

Instalasi dan Konfigurasi UFW

1. Instal UFW (Jika Belum Ada)

bash
apt install ufw -y

2. Aktifkan UFW

bash
ufw default deny incoming
ufw default allow outgoing
ufw enable

Penjelasan:

  • deny incoming: Blokir semua koneksi masuk
  • allow outgoing: Izinkan semua koneksi keluar
  • enable: Aktifkan firewall

⚠️ Peringatan: Pastikan port SSH sudah diizinkan sebelum mengaktifkan, atau Anda akan terkunci dari server!

3. Izinkan Port yang Dibutuhkan

bash
# SSH (ubah port jika sudah diubah dari 22)
ufw allow 22/tcp comment "SSH"

# HTTP
ufw allow 80/tcp comment "HTTP"

# HTTPS
ufw allow 443/tcp comment "HTTPS"

# Port kustom (contoh: aplikasi web)
ufw allow 3000/tcp comment "Aplikasi Web"

# Ping (opsional)
ufw allow proto icmp comment "Allow Ping"

4. Lihat Status dan Aturan

bash
ufw status verbose

Hasil akan menampilkan semua aturan aktif:

kode
Status: active

To                         Action      From
--                         ------      ----
22/tcp (SSH)               ALLOW IN    Anywhere
80/tcp (HTTP)              ALLOW IN    Anywhere
443/tcp (HTTPS)            ALLOW IN    Anywhere

5. Kelola Aturan

bash
# Hapus aturan berdasarkan nomor
ufw status numbered
ufw delete 3

# Hapus aturan berdasarkan spesifikasi
ufw delete allow 3000/tcp

# Reset semua aturan (hati-hati!)
ufw reset

6. Atur Rating Batas

bash
# Batasi koneksi SSH untuk proteksi brute-force
ufw limit 22/tcp

Perintah ini akan memblokir IP yang mencoba lebih dari 6 koneksi SSH dalam 30 detik.

Instalasi dan Konfigurasi Fail2Ban

1. Instal Fail2Ban

bash
apt install fail2ban -y

2. Konfigurasi Dasar

Buat file konfigurasi lokal (jangan edit file default):

bash
cp /etc/fail2ban/jail.conf /etc/fail2ban/jail.local
nano /etc/fail2ban/jail.local

Edit bagian-bagian penting:

ini
[DEFAULT]
# Waktu blokir (detik)
bantime = 3600

# Waktu percobaan (detik)
findtime = 600

# Jumlah maksimal gagal sebelum blokir
maxretry = 5

# Email notifikasi (opsional)
destemail = [email protected]
sender = [email protected]
action = %(action_mwl)s

3. Aktifkan Jail SSH

bash
# Edit jail.local
nano /etc/fail2ban/jail.local

Tambahkan atau aktifkan bagian SSH:

ini
[sshd]
enabled = true
port = ssh
filter = sshd
logpath = /var/log/auth.log
maxretry = 3
bantime = 3600

4. Aktifkan Jail untuk Nginx

bash
nano /etc/fail2ban/jail.local

Tambahkan:

ini
[nginx-http-auth]
enabled = true
port = http,https
filter = nginx-http-auth
logpath = /var/log/nginx/error.log
maxretry = 3

[nginx-botsearch]
enabled = true
port = http,https
filter = nginx-botsearch
logpath = /var/log/nginx/access.log
maxretry = 2
bantime = 3600

5. Restart Fail2Ban

bash
systemctl restart fail2ban
systemctl enable fail2ban

6. Verifikasi Status

bash
# Lihat semua jail aktif
fail2ban-client status

# Detail jail SSH
fail2ban-client status sshd

# Lihat IP yang diblokir
fail2ban-client status sshd

7. Kelola IP Manual

bash
# Blokir IP manual
fail2ban-client set sshd banip 192.168.1.100

# Hapus blokir IP
fail2ban-client set sshd unbanip 192.168.1.100

Konfigurasi Lanjutan

1. Proteksi Against DDoS

Tambahkan di /etc/fail2ban/jail.local:

ini
[nginx-limit-req]
enabled = true
port = http,https
filter = nginx-limit-req
logpath = /var/log/nginx/error.log
maxretry = 10
findtime = 60
bantime = 600

2. Notifikasi Email

Instal sendmail untuk mengirim notifikasi:

bash
apt install sendmail -y

Konfigurasi email di /etc/fail2ban/jail.local:

ini
[DEFAULT]
action = %(action_mwl)s
destemail = [email protected]
sender = [email protected]
mta = sendmail

3. Proteksi untuk Aplikasi Kustom

Buat filter kustom:

bash
nano /etc/fail2ban/filter.d/aplikasi-saya.conf

Isi dengan pola log yang ingin dipantau:

ini
[Definition]
failregex = ^.*Authentication failed for user.*from <HOST>.*$
ignoreregex =

Tambahkan ke jail.local:

ini
[aplikasi-saya]
enabled = true
port = 8080
filter = aplikasi-saya
logpath = /var/log/aplikasi-saya.log
maxretry = 5
bantime = 1800

Tips Keamanan Tambahan

1. Ubah Port SSH

Jangan biarkan SSH di port 22 standar:

bash
nano /etc/ssh/sshd_config
# Ubah: Port 22 → Port 2222
systemctl restart sshd
ufw allow 2222/tcp
ufw delete allow 22/tcp

2. Gunakan SSH Key, Bukan Password

bash
# Dari client, buat key
ssh-keygen -t ed25519 -C "[email protected]"

# Copy key ke server
ssh-copy-id -p 2222 user@server-ip

# Nonaktifkan password authentication
nano /etc/ssh/sshd_config
PasswordAuthentication no
systemctl restart sshd

3. Monitoring Aktivitas

bash
# Lihat log Fail2Ban
journalctl -u fail2ban -f

# Lihat log UFW
grep -i ufw /var/log/syslog

# Cek IP yang diblokir
fail2ban-client status sshd

Troubleshooting

1. UFW Tidak Aktif Setelah Restart

Solusi:

bash
ufw enable
systemctl enable ufw

2. Fail2Ban Tidak Memblokir IP

Penyebab: Jail belum diaktifkan atau logpath salah. Solusi:

bash
# Cek status jail
fail2ban-client status sshd

# Cek logpath
cat /etc/fail2ban/jail.local | grep logpath

# Cek apakah log ada
ls -la /var/log/auth.log

3. Terkunci dari Server

Penyebab: UFW memblokir port SSH. Solusi: Akses server via konsol (VPS provider panel) dan nonaktifkan UFW sementara:

bash
ufw disable
# Atur ulang aturan, pastikan SSH diizinkan
ufw allow 22/tcp
ufw enable

4. Fail2Ban Men-block IP yang Salah

Penyebab: Log yang salah dipantau atau regex salah. Solusi:

bash
# Cek filter yang digunakan
fail2ban-client status sshd

# Test regex
fail2ban-regex /var/log/auth.log /etc/fail2ban/filter.d/sshd.conf

5. Banyak IP yang Terblokir Secara Tidak Saja

Penyebab: maxretry terlalu rendah atau findtime terlalu pendek. Solusi:

bash
# Increase maxretry
nano /etc/fail2ban/jail.local
maxretry = 5
findtime = 600
bantime = 3600
systemctl restart fail2ban

Kesimpulan

UFW dan Fail2Ban membentuk dua lapis pertahanan yang esensial untuk server Debian. UFW berfungsi sebagai firewall utama yang mengontrol port mana yang terbuka, sementara Fail2Ban berfungsi sebagai penjaga dinamis yang otomatis memblokir IP yang mencurigakan.

Kombinasi keduanya memberikan perlindungan yang kuat tanpa memerlukan keahlian keamanan jaringan yang mendalam. Dengan konfigurasi yang tepat, server Anda akan jauh lebih aman dari serangan brute-force, port scanning, dan akses tidak sah.

Kunci utama:

  • Selalu ubah port SSH default dan gunakan SSH key
  • Periksa status firewall dan fail2ban secara rutin
  • Backup konfigurasi sebelum melakukan perubahan
  • Uji aturan firewall di lingkungan non-produksi terlebih dahulu
  • Jangan terlalu agresif memblokir — lebih baik over-permit daripada under-permit
Catatan penting: Firewall bukan satu-satunya pertahanan. Kombinasikan dengan SSH key authentication, software update rutin, dan monitoring server untuk keamanan menyeluruh. Selalu cadangkan konfigurasi firewall sebelum perubahan signifikan agar bisa di-restore jika terjadi kesalahan.
Ingat: Keamanan server adalah proses berkelanjutan, bukan tugas satu kali. Jadikan firewall dan Fail2Ban sebagai fondasi, bukan solusi akhir. Tambahkan monitoring, update berkala, dan audit keamanan secara teratur untuk perlindungan yang optimal.
Dipublikasikan untuk membantu para administrator server menjaga keamanan server Debian mereka.

Artikel Terkait