10.1 UFW：城壁の基本ポリシー定義
「全てを拒絶し、必要なものだけを許可する」というホワイトリスト思想の徹底。これが防衛の第一規律である。
# 基本ポリシー：外からの通信は全て遮断、内からの通信は許可
sudo ufw default deny incoming
sudo ufw default allow outgoing
10.2 公開サービスのポート解放
サーバーがその職務（Web, Mail, DNS, FTP）を果たすために必要な通信路のみを精査して解放する。特に FTP のパッシブポート範囲の指定を忘れてはならない。
# インフラ・Web
sudo ufw allow ssh
sudo ufw allow dns
sudo ufw allow http
sudo ufw allow https
# メール配送 (Postfix/Dovecot)
sudo ufw allow smtp
sudo ufw allow submission
sudo ufw allow smtps
sudo ufw allow imaps
sudo ufw allow pop3s
# FTP (Passive Range)
sudo ufw allow ftp
sudo ufw allow 40110:40210/tcp
10.3 【核心】管理コンソール(8080)の物理隔離
ISPConfigの心臓部は、全世界に晒してはならない。OSのファイアウォールレベルで、プライベートIP網（192.168.0.0/16）からの接続のみを最優先で許可し、それ以外を沈黙させる規律を執行する。
# 既存の全許可ルールよりも先に評価されるよう、insert 1 を使用
sudo ufw insert 1 allow from 192.168.0.0/16 to any port 8080 comment 'ISPConfig Local Only'
これにより、外部からの不正なログインパネルへの接触を根源から断つことに成功した。
10.4 【Noble追加規律】自動スキャナへの妨害
Ubuntu 24.04 稼働直後から、/var/www/apps/ や /server-status を狙った執拗なスキャンが記録されている。これらの「余計な隙」を Apache レベルでも塞ぎ、攻撃者の意欲を削ぐ。
# /etc/apache2/mods-enabled/status.conf の精錬
# Require local 以外の記述を排除し、外部からの閲覧を拒絶せよ。
10.5 防衛の執行と状態確認
全ての規律を書き終えた後、城門を閉じる儀式を行う。SSHが許可されていることを再度確認してから執行せよ。
【警告：死の締め出し防止】 enable を叩く前に、必ず ssh (22/tcp) が許可リストに含まれていることを指差し確認せよ。確認せずに執行すると通信が遮断され、物理コンソール以外での復旧が不能になる。
sudo ufw show added | grep 22
sudo ufw enable
sudo ufw status numbered