Firewall su Linux: la guida completa

Hai sentito dire che ti serve un firewall e non sai nemmeno bene cosa significhi. Va benissimo, si parte da qui. Alla fine di questa guida saprai esattamente se ti serve, come attivarlo sulla tua distro, e come tornare indietro senza panico se sbagli qualcosa.

Prima di tutto: cos’è una porta e perché il router non basta

Ogni volta che un programma sul tuo PC parla con la rete, lo fa attraverso un numero specifico chiamato porta. Il browser usa la porta 443 per i siti sicuri, la condivisione file ne usa altre, un server VPN ne usa un’altra ancora. Il firewall è quello che decide quali di questi numeri possono ricevere traffico da fuori, e quali restano chiusi.

Se ho già un router, non sono già protetto? In parte sì. Il router di casa fa da prima barriera con una tecnologia chiamata NAT, che di base nasconde tutti i dispositivi della tua rete da internet. Ma questa protezione riguarda solo il traffico che arriva da fuori casa. Dentro la tua rete locale, tra il tuo PC e lo smart TV, la console, il telefono di un ospite collegato al Wi-Fi, il router non filtra nulla. Il firewall sul tuo PC protegge proprio quello spazio: cosa può raggiungere il tuo computer, anche da un dispositivo che è già dentro casa tua.

Se non condividi mai file, non hai server in ascolto e ti limiti a navigare, il rischio reale oggi è basso. Ma nel momento in cui apri qualsiasi cosa in rete, dalla condivisione di una cartella a un server VPN, il firewall smette di essere un optional.

Cosa fare se sbagli qualcosa (leggi questo prima di iniziare)

La paura più comune di chi inizia è “e se blocco qualcosa che mi serve?”. Risposta breve: si disattiva in un secondo, senza conseguenze permanenti.

sudo ufw disable

Questo comando su Debian, Ubuntu e Arch spegne completamente il firewall e ti riporta alla situazione di prima. Su Fedora, l’equivalente è:

sudo systemctl stop firewalld

Nessuna di queste due operazioni cancella le regole che hai creato, semplicemente le mette in pausa. Puoi sempre riaccendere tutto con sudo ufw enable o sudo systemctl start firewalld quando hai capito cosa sistemare.

Uno scenario comune: condividere una cartella in casa

Partiamo da un caso reale invece che da un server VPN, perché è quello che intercetta la maggior parte di chi legge. Vuoi condividere una cartella dal tuo PC Linux verso lo smart TV o un altro dispositivo di casa. Il servizio che gestisce questo, Samba, usa alcune porte specifiche, e senza una regola nel firewall che le apre, gli altri dispositivi vedranno la condivisione ma non riusciranno a connettersi.

Su Debian, Ubuntu e derivate, con UFW già installato, basta una riga:

sudo ufw allow samba

UFW riconosce “samba” come nome di applicazione e apre automaticamente le porte giuste, senza che tu debba ricordarle a memoria. Questo è il tipo di comando quotidiano che risolve il 90% delle esigenze di chi non sta facendo niente di avanzato.

👉 Leggi qui: Condividere cartelle Linux in rete locale: guida completa con Samba

Debian, Ubuntu, Mint e derivate: UFW

UFW (Uncomplicated Firewall) è preinstallato sulla maggior parte delle distro Debian-based, ma arriva disattivato. Controlla lo stato attuale:

sudo ufw status

Se risponde “inactive”, va bene così, semplicemente non è mai stato acceso da nessuno.

Regola prima di ogni altra cosa: se ti colleghi a questo PC via SSH da un altro dispositivo, apri quella porta prima di accendere il firewall, altrimenti resti chiuso fuori da solo.

sudo ufw allow OpenSSH
sudo ufw enable

Da questo momento, tutto il traffico in entrata non esplicitamente permesso viene bloccato. Per aprire una porta specifica invece di un’applicazione conosciuta:

sudo ufw allow 51820/udp

Questa è la porta di default di WireGuard: se hai seguito la nostra guida per montare un server VPN su un Mini PC di casa, questa riga è quella che rende il tuo server raggiungibile da fuori. 👉 Leggi qui: WireGuard: crea la tua VPN personale su un Mini PC

Per vedere in ogni momento cosa hai autorizzato:

sudo ufw status verbose

Se preferisci non stare da terminale, GUFW è l’interfaccia grafica ufficiale di UFW. Su Linux Mint la trovi già installata, cercala nel menu digitando “Configurazione del firewall”. Su Ubuntu e Debian va aggiunta a parte con sudo apt install gufw

Fedora, Nobara, Bazzite e derivate Red Hat: firewalld

Qui cambia strumento. Fedora e le distro della sua famiglia non usano UFW, usano firewalld, già attivo dal primo avvio. Il concetto da capire è quello di zona: ogni interfaccia di rete appartiene a una zona che definisce quanto è permissiva. Su Fedora Workstation la zona di default si chiama FedoraWorkstation.

Controlla la zona attiva:

sudo firewall-cmd --get-default-zone

Per aprire un servizio conosciuto:

sudo firewall-cmd --permanent --add-service=samba
sudo firewall-cmd --reload

Attenzione al flag --permanent: senza quello, la regola sparisce al primo riavvio. È l’errore più comune di chi arriva da UFW e si aspetta lo stesso comportamento di default.

Per una porta specifica, stesso discorso di WireGuard:

sudo firewall-cmd --permanent --add-port=51820/udp
sudo firewall-cmd --reload

Per l’interfaccia grafica, firewall-config mostra tutte le zone e le regole senza dover ricordare la sintassi.

Arch, CachyOS, EndeavourOS: nessuno di serie, scegli tu

Su Arch puro non c’è alcun firewall preinstallato, il sistema arriva completamente aperto. Su CachyOS invece UFW è già incluso di default, con un modulo dedicato dentro le impostazioni di KDE Plasma: se usi CachyOS, come faccio io ogni giorno, probabilmente ce l’hai già senza saperlo. Verifica con sudo ufw status prima di installare qualsiasi cosa.

Se parti da Arch vanilla, installa UFW:

sudo pacman -S ufw
sudo systemctl enable --now ufw
sudo ufw default deny incoming
sudo ufw default allow outgoing
sudo ufw allow ssh
sudo ufw enable

Da qui in poi i comandi sono identici a quelli visti per Debian. Se preferisci firewalld per coerenza con altri sistemi che gestisci già, è disponibile allo stesso modo con sudo pacman -S firewalld.

Non tenere mai entrambi attivi insieme: gestiscono lo stesso motore nftables sotto il cofano, e se restano accesi in parallelo le regole entrano in conflitto in modo imprevedibile. Scegline uno solo.

Come verificare cosa hai davvero aperto

Da un altro dispositivo sulla stessa rete, uno scan con nmap ti mostra cosa risponde dal tuo PC:

nmap -Pn 192.168.1.X

In locale, ss ti mostra cosa sta ascoltando sul sistema prima ancora di guardare il firewall:

sudo ss -tulpn

Il caso avanzato: backup remoti e VPN insieme

Se usi rsync via SSH per copiare i tuoi file su un server remoto, come nella nostra guida a manutenzione e backup, la porta SSH di quel server deve restare aperta solo per chi ti serve davvero. 👉 Leggi qui: Manutenzione Linux: pulizia, backup e snapshot

sudo ufw limit ssh

Questo comando permette le connessioni normali ma blocca automaticamente un indirizzo che prova troppi accessi in poco tempo, la difesa più semplice contro il brute force via SSH di cui parlavamo anche nell’articolo sull’antivirus. 👉 Leggi qui: Antivirus su Linux: serve davvero?

Stesso discorso per chi usa il filtraggio DNS del parental control: quello copre i contenuti raggiungibili dai tuoi figli, il firewall copre un livello diverso, cioè cosa può raggiungere il tuo PC dall’esterno. Sono protezioni complementari, non alternative. 👉 Leggi qui: Parental Control su Linux: guida pratica

Domande frequenti

Mi serve davvero un firewall se ho già il router?
Il router protegge dall’esterno, il firewall sul PC protegge anche dentro la tua rete locale. Se non condividi nulla in rete il rischio è basso, ma appena apri un servizio qualsiasi, ti serve.

Il firewall rallenta la connessione?
No, in modo percepibile. UFW, firewalld e nftables lavorano a livello di kernel con un impatto sulle prestazioni praticamente nullo per un uso desktop normale.

Posso avere sia UFW che firewalld installati?
Puoi averli installati entrambi ma solo uno attivo per volta. Tenerli entrambi accesi crea conflitti nelle regole.

Come faccio a sapere quale porta apre un programma specifico?
Con sudo ss -tulpn vedi tutti i programmi in ascolto e la porta che usano, anche prima di configurare qualsiasi regola.

Se disattivo il firewall perdo le regole che ho creato?
No. ufw disable o systemctl stop firewalld mettono in pausa il firewall senza cancellare nulla. Le regole restano lì pronte per quando lo riattivi.

IncastroPC partecipa al Programma Affiliazione Amazon EU. Prezzi e disponibilità soggetti a variazione.