🛡️ Trooper.AI Firewall personalizzabile di livello rete

Flusso del traffico

La Sua macchina operante con infrastruttura NAT e strato di sicurezza di rete funziona dietro il nostro sistema, il che significa che tutto il traffico passa attraverso il firewall di rete Trooper.AI prima di raggiungere la macchina.

Il traffico UDP è bloccato per impostazione predefinita, ma può essere abilitato tramite le impostazioni del firewall se necessario.

Questa architettura consente a Lei di gestire la sicurezza di rete in modo centralizzato, permettendole di concentrarsi esclusivamente sulla creazione ed esecuzione dei Suoi workload AI.

Come utilizzare il firewall integrato di livello rete

L'interfaccia del firewall di Trooper.AI offre un firewall nativo posizionato direttamente davanti al Suo GPU Server. Questo Le consente di controllare il traffico di rete prima che i pacchetti raggiungano il sistema operativo della macchina. Può inoltre limitare il traffico in uscita se lo desidera per motivi di sicurezza o prestazioni.

Questo strato di sicurezza è completamente integrato nell’infrastruttura Trooper.AI e può essere accesso tramite Actions > «Regole del Firewall».

L’interfaccia funziona come segue:

• (1) Tabella Regole – Visualizza tutte le regole del firewall configurate. Le regole possono essere ordinate, modificate o eliminate.
• (2) Regole Predefinite – Definisce il comportamento predefinito per il traffico che non corrisponde a nessuna regola.
• (3) Editor delle regole – Aggiunga nuove regole basate su intervalli di porte, intervalli IP e azione (Consenti / Nega).

Questa progettazione consente di controllare l'esposizione in rete della Sua macchina GPU senza modificare la configurazione del sistema operativo.

Firewall in uscita

Il firewall di livello rete di Trooper.AI applica un controllo granulare sul traffico di rete in uscita proveniente dal Suo GPU Server Blib. Questa funzionalità consente alle organizzazioni di adottare misure rigorose di conformità normativa, ottimizzare l’utilizzo della banda e migliorare la sicurezza operativa.

Nota: Le regole di uscita potrebbero bloccare o limitare il download di pacchetti e modelli (apt, pip, Hugging Face). In caso di problemi di connessione, verifichi prima le regole del suo firewall.

L’interfaccia funziona come segue:

• (1) Rule Table – Visualizza tutte le regole del firewall in uscita configurate. Le regole possono essere ordinate, modificate o eliminate.
• (2) Percorsi predefiniti – Il traffico in uscita è sempre consentito per impostazione predefinita.
• (3) Editor delle regole – Aggiunga nuove regole basate su intervalli di porte, intervalli di IP e azione (Consenti / Nega). Per una regola di tipo Consenti può impostare un limite di velocità fino a un massimo di 50 MBit/s.

L'implementazione del firewall mantiene una separazione completa tra l'ambiente di applicazione delle policy e quello di esecuzione del server:

• Tutto il filtraggio avviene allo strato di infrastruttura di rete prima della trasmissione dei pacchetti
• I processi applicativi non hanno visibilità né capacità di modifica delle configurazioni del firewall
• Protezione contro il possibile compromissione di componenti server-side che tentano di aggirare le restrizioni

Impostazioni predefinite del Firewall

Per rendere la sicurezza in uscita senza sforzo, Trooper.AI offre due preset preconfigurati che raccomandiamo per un uso generale. Potrà avere uno qualsiasi applicato automaticamente durante l'ordine di un nuovo GPU Server Blib — basta selezionarlo nel dialogo d'ordine e sarà pronto non appena la Sua macchina avvia, senza necessità di costruire regole manualmente. Preferisce decidere più tardi? Ordini con «No preset» e ricostruisca uno qualsiasi dei preset da Solo in qualsiasi momento dal cruscotto.

Entrambi i preset configurano solo il traffico outbound (dalla Sua macchina → internet). La gamma di porte pubbliche in entrata e l’SSH rimangono aperte per impostazione predefinita, mentre le regole vengono valutate top to bottom — la prima regola corrispondente prevale.

• 🟢 Balanced — la nostra raccomandazione predefinita per quasi tutti: rimane completamente aperta per il lavoro AI standard, bloccando silenziosamente spam, worm e abusi di botnet noti.
• 🔴 Strict — una allow-list bloccata per macchine di inferenza pura che richiedono esclusivamente l’essenziale.

Applicabile all'ordine o ricostruibile in seguito da Lei: selezioni un preset nel dialogo dell'ordine per applicarlo automaticamente, oppure ricrearlo in qualsiasi momento sotto Gestione → la Sua macchina → 🛡️ Firewall → Uscita utilizzando le tabelle sottostanti.

Protezione sempre attiva (tutti i preset, inclusa l’opzione «Nessun preset»): mitigazione multi-livello DDoS, limiti di connessioni/alluvioni per IP, isolamento degli utenti e protezione dell’egresso per reti private (RFC1918) vengono applicati automaticamente e non possono essere disattivati.

🟢 Equilibrato (Consigliato)

Tutto rimane aperto per il lavoro AI standard — apt, pip/uv, Hugging Face, Docker, database, le Sue API personalizzate — mentre un insieme di blocchi basati sulle migliori pratiche del settore impedisce abusi da spam, worm e botnet. Outbound UDP è disattivato per impostazione predefinita tranne per DNS e sincronizzazione dell'ora.

Effetto netto: tutto il TCP in uscita rimane aperto tranne le porte di abuso elencate; il UDP in uscita è limitato a DNS (53) e NTP (123). QUIC/HTTP-3 passa automaticamente al TCP 443, quindi i download non risentono di modifiche. ICMP (ping / scoperta del path-MTU) rimane consentito.

🔴 Severo (Avanzato)

Solo l’essenziale esce — ideale per macchine dedicate all’inference/AI. Tutto ciò che non è nell’elenco di permessi viene bloccato (default-deny).

Effetto netto: apt, pip/uv, git (HTTPS & SSH), Hugging Face e i pull di Docker funzionano tutti; tutto ciò che utilizza una porta non standard viene bloccato. ICMP rimane consentito. Ideale quando le sue applicazioni utilizzano solo porte standard.

🔒 Blocco IP SSH (opzionale)

Se abilitato al momento dell'ordine, vengono aggiunte due regole inbound in modo che solo il Suo indirizzo IP possa raggiungere SSH, mentre le porte pubbliche della Sua applicazione rimangono aperte per tutti:

Se il Suo indirizzo IP cambia, aggiorni semplicemente la sorgente in Gestione → Firewall → Ingressi.

Come verificare o ricostruire

• Verifica: apra Gestione → la Sua macchina → 🛡️ Firewall → Uscita. Il badge di conteggio sulla scheda indica quante regole sono attive; le confronti con la tabella sopra.
• Ricostruisca su una macchina esistente: nella scheda Outbound, aggiunga una regola per riga nello stesso ordine (in alto = priorità più elevata), quindi clicchi su Apply Now.
• Lo farà più tardi: può partire da Nessuna impostazione predefinita e aggiungere queste regole quando desidera — le modifiche avranno effetto dopo Applica Ora.

Le regole vengono abbinate dall'alto verso il basso, vince la prima corrispondenza. Mantenere le due regole Consenti per DNS/NTP sopra qualsiasi regola Nega generica, altrimenti la risoluzione dei nomi e la sincronizzazione dell'ora potrebbero interrompersi.

Risoluzione dei problemi

Verifichi questi passaggi se non riesce a raggiungere i suoi servizi sulla GPU server dopo aver apportato modifiche al Firewall o allo Stack di Rete. Se ancora non riesce ad accedere alla sua macchina, controlli prima le impostazioni del firewall e poi ci contatti: Support Contacts

IMPORTANTE: Disabilitazione di qualsiasi Firewall locale (Se Abilitato Accidentalmente)

Se un firewall locale come UFW è stato abilitato sul server e sta causando problemi di connettività, può essere disabilitato con:

sudo ufw disable

Risultato:

Firewall stopped and disabled on system startup

Poi disabiliti il servizio:

sudo systemctl disable ufw

Risultato:

Synchronizing state of ufw.service with SysV service script with /lib/systemd/systemd-sysv-install.
Executing: /lib/systemd/systemd-sysv-install disable ufw
Removed /etc/systemd/system/multi-user.target.wants/ufw.service.

Lei dovrebbe rimuovere completamente qualsiasi Firewall locale sulla Sua macchina GPU. Questo Le renderà la vita più semplice!

Risoluzione dei problemi: perché le regole del suo firewall non funzionano come previsto?

Le regole del firewall vengono valutate dall'alto verso il basso.

La prima regola che corrisponde al traffico viene applicata, e non vengono controllate ulteriori regole.

Esempio di ordine errato:

1  Deny  0.0.0.0/0      Port 14141
2  Allow 78.168.0.0/16  Port 14141

In questo caso, la regola 1 blocca tutto il traffico SSH prima che venga raggiunta la regola 2.

Ordine corretto:

1  Allow 78.168.0.0/16  Port 14141
2  Deny  0.0.0.0/0      Port 14141

Metti sempre regole di permesso più specifiche sopra le regole di negazione generiche.

Risoluzione dei problemi: perché la mia regola del firewall non corrisponde al mio indirizzo IP?

Le regole del firewall utilizzano intervalli CIDR per definire gli indirizzi IP consentiti o bloccati.

Assicuri che l'intervallo includa effettivamente il Suo indirizzo IP.

Esempi:

Se il range CIDR è errato, la regola del firewall non corrisponderà mai alla Sua connessione.

Risoluzione dei problemi: perché il mio port è ancora bloccato?

Verifichi che la porta corretta sia abilitata nel firewall. Può trovare le porte corrette nel pannello di gestione del Suo Blib. Se viene abilitata una porta sbagliata nel firewall, il traffico non raggiungerà mai la Sua macchina GPU.

Risoluzione dei problemi: Comprendere il controllo del traffico in uscita o perché una connessione in uscita continua a funzionare?

Il traffico in uscita nel firewall di Trooper.AI si riferisce esclusivamente a connessioni di rete attivamente avviate dalla Sua GPU Server Blib. Questa distinzione chiarisce che:

• «Outbound» = Connessioni in cui il Suo {{server}} agisce da {{client}} (che avvia la comunicazione).
• «Return traffic» = Risposte a connessioni in entrata già stabilite (dove i sistemi esterni agiscono da client).
• Lei può limitare il traffico SSH in uscita mantenendo l'accesso SSH in entrata per connessioni remote.
• Le restrizioni del traffico in uscita si applicano uniformemente a tutti i protocolli—compreso HTTP. Anche se Lei configura DENY per tutte le porte in uscita, i servizi basati su HTTP come WebProxy, Jupyter e OpenWebUI continueranno a funzionare perché le loro connessioni originano dall’esterno, il che significa che dipendono dal traffico in entrata.

Nota importante: Una connessione in entrata esplicitamente autorizzata può generare traffico di ritorno legittimo per mantenere la continuità della sessione — ciò rimane inalterato dalle regole di uscita a meno che non sia espressamente limitato.

Tutte le politiche di uscita si applicano esclusivamente alle connessioni originate internamente dalla Sua istanza di GPU Server.

Risoluzione dei problemi: perché APT/PIP o altri compiti di sistema non funzionano più?

🚨 Assicurarsi che le regole del firewall in uscita consentano l'accesso alla rete necessario per i gestori di pacchetti (pip, apt-get) e gli aggiornatori di sistema per recuperare in modo sicuro patch critici e aggiornamenti del sistema operativo. Verificare che i repository standard e i server di aggiornamento siano inclusi in una lista bianca per garantire una risoluzione delle dipendenze e operazioni di manutenzione fluide.

Risoluzione dei problemi: perché la Sua interfaccia web risulta bloccata?

Il firewall di Trooper.AI controlla tutti i porti in entrata e in uscita, inclusi quelli utilizzati dalle interfacce web.

Se il port utilizzato da servizi come:

• OpenWebUI
• Jupyter Notebook
• cruscotti interni
• strumenti AI personalizzati

è bloccato nel firewall, la interfaccia web sarà anch'essa irraggiungibile.

Una configurazione sicura comune è quella di limitare l’accesso alla gamma di indirizzi IP aziendale.

Esempio:

Allow 203.0.113.0/24  Port 14511
Deny  0.0.0.0/0       Port 14511

Questo consente solo agli utenti della Sua organizzazione di accedere all’interfaccia web sicura.

Risoluzione dei problemi: perché l’accesso via SSH non è possibile?

Se l’accesso SSH fallisce, verifichi quanto segue:

1. Non installi un UFW (Firewall) locale che blocchi la Sua porta interna SSH port 22
2. Il Suo indirizzo IP deve essere all'interno dell'intervallo CIDR consentito
3. La regola di allow con porta SSH pubblica (ad esempio 14511 – non 22, quella è la porta interna) deve comparire sopra qualsiasi regola di deny

Inoltre, verifichi l'impostazione SSH Allow in fondo alla tabella di configurazione del firewall.

Se SSH è disabilitato in fondo alle impostazioni del firewall, il server accetterà connessioni SSH solo dagli indirizzi IP consentiti dalle regole sopra.

Risoluzione dei problemi: perché il traffico continua a essere bloccato anche dopo aver aggiunto una regola?

Il traffico che non corrisponde a nessuna regola seguirà le Default Routes definite nelle impostazioni del firewall.

Se una regola non corrisponde esattamente (intervallo IP errato, porta errata o ordine sbagliato), il traffico potrebbe passare al regola di negazione predefinita.

Verifichi sempre:

• ordine delle regole – la prima corrispondenza vince (dall'alto verso il basso)
• Intervallo CIDR - vedere esempi
• numero di porta - visibile nella dashboard di gestione
• comportamento predefinito della route

Verifica finale: Provi a cliccare su ALLOW ALL e verifichi se funziona. Se sì, è una regola sopra che non corrisponde correttamente.