UFW su Ubuntu 24.04 con cPanel o Plesk: la configurazione che non ti chiude fuori

Chi attiva UFW su un server con sopra un pannello di hosting e si dimentica una porta si ritrova fuori. Non da SSH: fuori anche dal pannello, con i clienti che scrivono. Questa guida segue l'ordine che evita l'errore, con le porte esatte di cPanel e Plesk prese dalla documentazione ufficiale, non da un elenco a memoria.

Versioni usate: Ubuntu 24.04 LTS e UFW 0.36.2-6, la versione pacchettizzata di default per questa release secondo il wiki ufficiale di Ubuntu. Il backend è nftables, non più iptables diretto. Su Ubuntu 22.04 LTS la versione è 0.36.1-4: i comandi sono identici, cambia solo il changelog.

Prima regola: mai ufw enable senza aver aperto SSH

Se la porta SSH non è aperta prima di attivare UFW, la sessione corrente resta viva ma la prossima connessione viene rifiutata. Sequenza minima:

sudo ufw allow OpenSSH
sudo ufw status numbered
sudo ufw enable

Se SSH gira su una porta diversa dalla 22 (buona pratica contro gli scanner automatici), la regola va scritta con il numero:

sudo ufw allow 2222/tcp comment 'SSH custom'

ufw status numbered va lanciato sempre prima di ufw enable: mostra l'elenco delle regole con un indice numerico, utile sia per controllare che SSH ci sia davvero sia per cancellare una regola sbagliata con ufw delete NUMERO senza doverla riscrivere a mano.

Porte minime: HTTP e HTTPS

sudo ufw allow 80/tcp
sudo ufw allow 443/tcp

Da qui si aggiunge il pannello.

Porte cPanel & WHM

La documentazione ufficiale di cPanel & WHM elenca le porte che cPanel & WHM uses per i vari servizi. Le principali per l'amministrazione:

Porta	Servizio
2082	cPanel (non SSL)
2083	cPanel SSL
2086	WHM (non SSL)
2087	WHM SSL
2095	Webmail (non SSL)
2096	Webmail SSL
2077 / 2078	WebDAV / WebDAV SSL
2079 / 2080	CalDAV e CardDAV / versione SSL
2089	cPanel Licensing

La documentazione precisa che per il meccanismo di license callback va aperta almeno una fra le porte 2082, 2083, 2086, 2087, 2096, e consiglia di consentire connessioni TCP in uscita dalle porte sorgente 4 e 1020 verso la porta 2089 per i server di licenza.

Comandi UFW corrispondenti (si aprono solo le SSL, se si forza il redirect da Tweak Settings):

sudo ufw allow 2083/tcp comment 'cPanel SSL'
sudo ufw allow 2087/tcp comment 'WHM SSL'
sudo ufw allow 2096/tcp comment 'Webmail SSL'

Porte Plesk

Secondo la documentazione ufficiale Plesk, l'interfaccia amministrativa usa la porta TCP 8443 per HTTPS e la porta TCP 8880 per HTTP. Attenzione a chi pensa di spostarle per nascondere il pannello: la knowledge base Plesk avverte che le porte personalizzate vengono riscritte sulle porte predefinite dagli aggiornamenti di Plesk.

sudo ufw allow 8443/tcp comment 'Plesk admin HTTPS'
sudo ufw allow 8880/tcp comment 'Plesk admin HTTP'

Se si usa anche il servizio FTP o il mail server integrato, nella documentazione Plesk compaiono anche le porte 21 (FTP), 25/465 (SMTP), 110/995 (POP3), 143/993 (IMAP) e 3306 (MySQL/MariaDB): si aprono solo quelle dei servizi realmente attivi.

Aprire una porta a un IP specifico (esempio: database)

Non si apre mai 3306 al mondo. Se un'applicazione esterna deve raggiungere MySQL da un indirizzo noto:

sudo ufw allow from 203.0.113.50 to any port 3306 proto tcp comment 'MySQL da IP ufficio'

Senza from, la regola allow 3306/tcp apre la porta a chiunque: è l'errore più comune quando si copia un comando da un forum senza adattarlo.

Controllo prima di attivare

sudo ufw show added
sudo ufw status numbered

Si controlla che la regola SSH sia presente e al posto giusto. Solo dopo:

sudo ufw enable

Verifica finale da un'altra macchina

Da un computer diverso dal server, non in localhost:

nmap -p 22,80,443,2083,2087,8443,3306 IP_DEL_SERVER

Le porte aperte risultano open, quelle non aperte filtered (bloccate da UFW, pacchetto scartato senza risposta) o closed (nessun servizio in ascolto ma porta raggiungibile). Per un controllo puntuale su una sola porta chiusa:

nc -zv -w 3 IP_DEL_SERVER 3306

Se risponde "Connection refused" o va in timeout sulle porte non aperte, e risponde sulle porte attese, la configurazione è corretta. Se SSH non risponde dall'esterno dopo ufw enable, non si chiude il terminale: si corregge la regola dalla sessione già aperta, che resta attiva fino alla disconnessione.

Koapanel è un prodotto Prime Software.