# Tűzfal

> A tűzfal oldal fülei: naplók, egyéni szabályok, IP-kezelés, beállítások és az automatikus virtuális javítás.

A **Biztonság → Tűzfal** oldal a rosszindulatú forgalom, a jogosulatlan hozzáférési kísérletek és az ismert webes sebezhetőségek elleni védelmet fogja össze. Testreszabható szabályokkal és forgalomszűréssel éri el, hogy csak a jogos forgalom jusson el a webhelyedre. A tűzfal a Patchstack szolgáltatásával is együttműködik: valós időben figyeli a sebezhetőségeket, a Patchstack Priority pontszámmal rangsorolja őket, és virtuális javítással automatikusan blokkolja az ismert támadásokat.

Az oldal tetején két állapotjelző látszik: **Real-Time Updates** és **Virtual Patching** (**Active** vagy **Inactive**). Ha a virtuális javítás inaktív, lásd a [Sérülékenységek](https://hub.hellowp.io/hu/plugins/ithemes-security-pro/tuzfal-sebezhetosegek-serulekenysegek/) fejezet végét.

Az oldalnak öt füle van:

| Fül | Mire való |
| --- | --- |
| **Logs** | A blokkolt fenyegetések naplója és statisztikája. |
| **Rules** | Egyéni tűzfalszabályok létrehozása. |
| **IP Management** | A kitiltott, a zárolt és az engedélyezett IP-címek kezelése. |
| **Configure** | A tűzfal beállításai ugyanabban a nézetben, mint a **Beállítások → Features** oldalon. |
| **Automated** | A Patchstack-integráció: virtuális javítás és sebezhetőség-figyelés. |

## Logs: a napló

![A tűzfal Logs füle: blokkolt fenyegetések és a tűzfalnapló](./kepek/tuzfal-sebezhetosegek-tuzfal-naplok.webp)

*A tűzfal Logs füle: blokkolt fenyegetések és a tűzfalnapló* (https://minta-bolt.hu/wp-admin/admin.php?page=itsec-firewall&path=%2Flogs)

A **Logs** fülön a blokkolt fenyegetések száma látszik a kiválasztott időszakra, és a leggyakrabban blokkolt IP-címek (**Top Blocked IPs**). Alatta a **Firewall Logs** táblázat sorolja fel az eseményeket: a **Action** (művelet), a **Rule** (szabály), az **Origin** (forrás), a **Date & Time** (időpont) és a **Protected by** (mi védte meg a webhelyet) oszlopban. Az események részleteiből látod a forrás IP-címét, a támadás típusát és az időpontját. A naplók legfeljebb 60 napig érhetők el, utána archiválódnak. A keresőmezővel IP-cím vagy URL alapján szűrhetsz.

Ha még nem blokkolt semmit a tűzfal, üres állapotot látsz és a **Configure Firewall** gombot, amely a beállításokra visz. A naplót érdemes rendszeresen átnézni: ebből látod, mennyire hatásosak a szabályaid, és nem blokkolnak-e jogos látogatókat.

## Rules: egyéni szabályok

![A tűzfal Rules füle](./kepek/tuzfal-sebezhetosegek-tuzfal-szabalyok.webp)

*A tűzfal Rules füle* (https://minta-bolt.hu/wp-admin/admin.php?page=itsec-firewall&path=%2Frules)

A **Rules** fülön a **Create Rule** gombbal saját szabályt hozhatsz létre a forgalmi mintáid szerint. A lista a **Title**, a **Source**, a **Status** és az **Action** oszlopot mutatja, cím szerint kereshetsz benne, és szűrhetsz. Ha nincs sebezhető szoftver a webhelyen, a lista üres.

Az űrlap mezői:

| Mező | Mit csinál |
| --- | --- |
| **Rule Name** | A szabály leíró neve. |
| **Field** | A kérés melyik részét vizsgálja: az URI-t, a kérési módszert, a tartalomtípust, egy fejlécet, egy sütit vagy az IP-címet. |
| **Name** | Csak akkor jelenik meg, ha a mező **header** vagy **cookie**: ide a fejléc vagy a süti neve kerül. |
| **Operator** és **Value** | Az összehasonlítás módja (például egyenlő, tartalmaz) és a keresett érték. |
| További feltételek | „És” kapcsolattal további feltételeket fűzhetsz hozzá, így összetettebb szabály is készülhet. |

Ha a feltétel teljesül, a szabály négy műveletet hajthat végre:

- **Block**: a kérést elutasítja.
- **Redirect**: a forgalmat máshová irányítja.
- **Log**: csak naplózza az eseményt, mást nem tesz.
- **Allow**: átengedi a kérést.

A szabály elkészítése után telepítsd (deploy), hogy érvénybe lépjen.

A szabálymotor a **Biztonság → Beállítások → Features → Firewall** részen kapcsolható be és ki (a modul neve **Tűzfalszabály-motor**, lásd [Funkciók](https://hub.hellowp.io/hu/plugins/ithemes-security-pro/funkciok/)).

Az egyéni szabályokat óvatosan állítsd be: egy rossz feltétel jogos látogatókat is kizárhat.

### Minden forgalom Cloudflare-en keresztül

Ha Cloudflare-t használsz, megteheted, hogy a webhely eredeti szerverét csak a Cloudflare (és a tárhely szükséges címei) érje el közvetlenül. Apache szerveren ehhez a `.htaccess` fájl legtetejére, a `# BEGIN iThemes Security` és a `# BEGIN WordPress` sor fölé másold be az alábbi blokkot:

1. Nyisd meg a webhely `.htaccess` fájlját.
2. Illeszd be a blokkot a fájl elejére. A „Tárhely” alatti sorba a szervered saját IP-címeit írd be, különben kizárod magad.
3. Mentsd a fájlt.
4. Időnként vesd össze a címtartományokat a Cloudflare hivatalos IP-listájával, mert a tartományok változhatnak.

```apache
<IfModule mod_authz_core.c>
	<FilesMatch ".*">
		<RequireAny>
			# Tárhely
			Require ip 127.0.0.1

			# Cloudflare IPv4
			Require ip 103.21.244.0/22
			Require ip 103.22.200.0/22
			Require ip 103.31.4.0/22
			Require ip 104.16.0.0/13
			Require ip 104.24.0.0/14
			Require ip 108.162.192.0/18
			Require ip 131.0.72.0/22
			Require ip 141.101.64.0/18
			Require ip 162.158.0.0/15
			Require ip 172.64.0.0/13
			Require ip 173.245.48.0/20
			Require ip 188.114.96.0/20
			Require ip 190.93.240.0/20
			Require ip 197.234.240.0/22
			Require ip 198.41.128.0/17

			# Cloudflare IPv6 (ajánlott)
			Require ip 2400:cb00::/32
			Require ip 2606:4700::/32
			Require ip 2803:f800::/32
			Require ip 2405:b500::/32
			Require ip 2405:8100::/32
			Require ip 2a06:98c0::/29
			Require ip 2c0f:f248::/32
		</RequireAny>
	</FilesMatch>
</IfModule>
```

NGINX-en a `.htaccess` nem érvényes: ott a szerver szintjén használj `allow` és `deny` szabályokat. Gondoskodj róla, hogy a bővítmény a látogatók valódi IP-címét lássa (Apache-on a `mod_remoteip`, vagy a proxybeállítások), lásd a [Globális beállítások](https://hub.hellowp.io/hu/plugins/ithemes-security-pro/globalis-beallitasok/) IP-észlelés részét.

## IP Management: IP-címek kezelése

![Az IP Management fül: kitiltott, zárolt és engedélyezett IP-címek](./kepek/tuzfal-sebezhetosegek-tuzfal-ip-kezeles.webp)

*Az IP Management fül: kitiltott, zárolt és engedélyezett IP-címek* (https://minta-bolt.hu/wp-admin/admin.php?page=itsec-firewall&path=%2Fip-management%2Fban-users)

Az **IP Management** fülön három részben követheted és kezelheted azokat az IP-címeket, amelyek kapcsolatba kerültek a webhellyel:

- **Banned IPs**: a szabálysértés vagy gyanús viselkedés miatt véglegesen kitiltott címek. Itt új tiltást is felvehetsz (**Tiltás hozzáadása**, **Tömeges hozzáadás**), a meglévőket pedig törölheted.
- **Active Lockouts**: az ideiglenesen zárolt címek, például sikertelen bejelentkezések vagy tűzfalszabály miatt.
- **Authorized IPs**: a kizárás és a tiltás alól mentesített, megbízható címek.

A zárolások és a tiltások különbségéről, és a zárolás feloldásáról lásd a [Zárolások feloldása](https://hub.hellowp.io/hu/plugins/ithemes-security-pro/tuzfal-sebezhetosegek-zarolasok-feloldasa/) fejezetet.

## Configure: beállítások

![A Configure fül a tűzfal beállításaival](./kepek/tuzfal-sebezhetosegek-tuzfal-beallitas.webp)

*A Configure fül a tűzfal beállításaival* (https://minta-bolt.hu/wp-admin/admin.php?page=itsec-firewall&path=%2Fconfigure%2Fglobal)

A **Configure** fül ugyanazokat a beállításokat nyitja meg, amelyek a **Biztonság → Beállítások → Features → Firewall** részen is elérhetők, egy másik nézetben: **Global Settings**, **Felhasználók kitiltása**, **Tűzfalszabály-motor**, **Helyi brute force**, **Hálózati brute force**, **Varázslinkek** és **CAPTCHA**. Itt kapcsolhatod be a szabálymotort, itt állíthatod a zárolás időzítését is. A beállítások leírása a [Funkciók](https://hub.hellowp.io/hu/plugins/ithemes-security-pro/funkciok/) és a [Globális beállítások](https://hub.hellowp.io/hu/plugins/ithemes-security-pro/globalis-beallitasok/) fejezetben van.

## Automated: automatikus védelem

![Az Automated fül: a Patchstack-integráció állapota](./kepek/tuzfal-sebezhetosegek-tuzfal-automatikus.webp)

*Az Automated fül: a Patchstack-integráció állapota* (https://minta-bolt.hu/wp-admin/admin.php?page=itsec-firewall&path=%2Fautomated)

Az **Automated** fül a Patchstack-integrációt mutatja: mennyi sebezhetőséget lehetett volna automatikusan javítani az elmúlt 90 napban, és hány bővítményt vagy sablont frissített automatikusan a **Real-time Updates**. A virtuális javítás azt jelenti, hogy az ismert sebezhetőségeket a rendszer valós időben, kézi beavatkozás nélkül védi ki, akkor is, ha a bővítmény gyártója még nem adott ki frissítést. Az integráció a Patchstack Priority pontszámot használja, hogy a sebezhetőségek valós kockázatát mutassa (lásd [Sérülékenységek](https://hub.hellowp.io/hu/plugins/ithemes-security-pro/tuzfal-sebezhetosegek-serulekenysegek/)).

Ha a két állapotjelző **Inactive**, a webhelyen nincs érvényes Patchstack-licenc. Az aktiválásról lásd a [Sérülékenységek](https://hub.hellowp.io/hu/plugins/ithemes-security-pro/tuzfal-sebezhetosegek-serulekenysegek/) fejezetet.

## Tudnivalók

- A tűzfal a rosszindulatú forgalom blokkolására szolgál. Nem végez kártevővizsgálatot és nem érzékeli a már megtörtént behatolást, ezért érdemes mellé külön kártevőkereső bővítményt használni.
- Az egyéni szabályokat gondosan állítsd be, hogy ne blokkolj jogos forgalmat.
- Rendszeresen nézd át a tűzfalnaplókat, és igazítsd a szabályokat úgy, hogy a védelem ne zavarja a látogatókat.