Jak zpřístupnit skrytou volbu „Směrované“ v GUFW a nastavit směrovaný provoz

NÁVODY > KATEGORIE > Firewall a zabezpečení Linuxu

30.09.2026

V běžném zobrazení firewallu GUFW najdete nastavení příchozího a odchozího provozu. Existuje zde ale ještě třetí možnost – Směrované. Ta se ve výchozím stavu nemusí vůbec zobrazovat.

Nejde o neoficiální doplněk ani skrytou experimentální funkci. GUFW tuto možnost podporuje, ale zobrazí ji až tehdy, když je v systému povolen IP forwarding, tedy schopnost Linuxu předávat síťové pakety mezi různými sítěmi nebo síťovými rozhraními. Dokumentace GUFW přímo popisuje odkomentování tří hodnot v /etc/ufw/sysctl.conf, opětovné načtení firewallu a následné zobrazení nové volby Routed, která je v českém GUFW označena jako Směrované. Debian Manpages.

V tomto návodu si nejdříve vysvětlíme, co směrovaný provoz znamená, potom volbu Směrované v GUFW zpřístupníme a nakonec si její použití ukážeme na prakticky otestovaných profilech Android a Veřejný.

Ilustrační schéma ukazuje princip směrovaného provozu: data z virtuální sítě procházejí přes Linux a firewall GUFW/UFW dál do jiné sítě nebo na internet. Ilustrační obrázek vytvořený pomocí umělé inteligence.

Rychlá navigace:

1. Co znamená směrovaný provoz

Nejdříve je důležité pochopit, co se vlastně směruje a mezi čím.

Běžný domácí počítač obvykle komunikuje se sítí sám za sebe. Když například v Linuxu otevřete webový prohlížeč, požadavek odejde z Linuxu na internet a odpověď se vrátí zpět do stejného počítače. V takovém případě je Linux přímo účastníkem komunikace.

Odchozí provoz

Linux → domácí síť → internet

Komunikaci vytváří samotný Linux a odesílá ji ven.

Příchozí provoz

internet nebo jiné zařízení → Linux

Linux je cílem komunikace.

Směrovaný provoz

U směrovaného provozu je situace jiná:

zařízení nebo virtuální síť → Linux → jiná síť

Síťový paket přijde do Linuxu přes jedno rozhraní, ale není určen samotnému Linuxu. Linux jej musí předat dál přes jiné síťové rozhraní. Právě toto předávání paketů mezi sítěmi se nazývá směrování.

Oficiální dokumentace UFW popisuje směrovaná pravidla jako pravidla pro provoz, který není určen hostitelskému počítači, ale má přes firewall projít dál. Jako příklad uvádí paket přicházející přes jedno síťové rozhraní a odcházející přes druhé. Manpages Ubuntu.

Jednoduchá otázka, podle které lze oba druhy provozu rozlišit, tedy zní:

Je paket určen tomuto počítači, nebo přes něj pouze cestuje dál?

Pokud přes Linux pouze prochází, jde o směrovaný provoz.

2. Směrování nemusí probíhat jen mezi dvěma fyzickými síťovými kartami

Při slově směrování si možná představíte počítač se dvěma ethernetovými kartami, který funguje jako router. To je jedna z možností, ale není jediná. Jedno ze síťových rozhraní může existovat pouze softwarově. Taková virtuální síťová rozhraní používají například virtuální počítače, kontejnery, VPN a také Waydroid.

Právě Waydroid je velmi názorným příkladem. Jeho síťový skript používá virtuální rozhraní waydroid0 a standardně vytváří síť 192.168.240.0/24. Součástí jeho síťové konfigurace jsou také pravidla pro předávání provozu a NAT. GitHub

Velmi zjednodušeně můžeme cestu paketu znázornit:

Android ve Waydroidu

↓

virtuální síť waydroid0

↓

Linux

↓

Wi-Fi nebo Ethernet

↓

domácí router

↓

internet

Android ve Waydroidu tedy nepoužívá přímo fyzickou Wi-Fi nebo ethernetovou kartu počítače. Je připojen do virtuální sítě uvnitř Linuxu.

Když aplikace v Androidu potřebuje komunikovat s internetem, její pakety nejprve dorazí přes waydroid0 do Linuxu. Linux je následně musí předat přes skutečné síťové připojení počítače.

Paket mířící z Androidu na internet Linuxem pouze prochází, a to je provoz směrovaný.

3. Ne všechna komunikace Waydroidu je směrovaná

Zde je důležité ještě jedno rozlišení. Ne všechna komunikace mezi Waydroidem a Linuxem je směrovaným provozem. Pokud například Android komunikuje se síťovou službou, která běží přímo na Linuxu, je Linux cílem komunikace. Takový provoz je z pohledu firewallu příchozí. Typickým příkladem jsou služby související s DNS a DHCP na virtuální síti Waydroidu.

Jestliže však paket pokračuje dál:

Waydroid → Linux → internet

Linux už není cílem. Paket pouze převezme a předá dál.

Proto jsme při praktickém nastavení Waydroidu potřebovali řešit jak příchozí pravidla pro porty 53 a 67, tak směrovaný provoz. Nejde o dvě různá řešení stejné věci. Každé řeší jinou část síťové komunikace.

Oficiální návod Waydroidu pro UFW/GUFW rovněž uvádí vedle portů 53 a 67 samostatné povolení předávání provozu. Waydro Docs

4. IP forwarding a volba „Směrované“ nejsou totéž

Tohle rozlišení je zásadní.

IP forwarding

IP forwarding dává samotnému Linuxu schopnost: přijmout paket z jedné sítě a předat jej do jiné sítě. Bez IP forwardingu Linux jako router fungovat nemůže.

Směrované v UFW/GUFW

Firewall potom rozhoduje: smí tento paket přes Linux projít, nebo jej má firewall zablokovat?

Zjednodušeně:

IP forwarding = Linux umí pakety předávat dál
Směrované v GUFW = firewall rozhoduje, zda jejich průchod dovolí

Oficiální dokumentace UFW výslovně uvádí, že pro směrování nestačí samotná pravidla nebo politika firewallu – musí být nastaven také IP forwarding. Manpages Ubuntu.

Proto může být IP forwarding zapnutý, ale profil GUFW může mít:

Směrované: Zakázat

a firewall bude běžný směrovaný provoz nadále blokovat.

5. Proč může fungovat ping, i když aplikace přístup k internetu nemají

Toto může být při hledání problému velmi zavádějící.

Při testování Waydroidu jsme z kontejneru použili:

ping 8.8.8.8

Ping fungoval. Přesto instalace aplikací z Google Play nefungovala, dokud nebyl v profilu Android povolen směrovaný provoz. Jak je to možné? Příkaz ping nepoužívá běžné TCP nebo UDP spojení aplikací. Používá protokol ICMP.

UFW navíc ve své výchozí sadě pravidel výslovně povoluje některé druhy ICMP provozu také při průchodu řetězcem FORWARD, mimo jiné IPv4 echo-request, který používá ping. Proto může určitá ICMP komunikace projít, i když výchozí politika směrovaného provozu zůstává zakázaná.

Může tedy nastat situace:

Waydroid

│

│ ping – ICMP

▼

Linux / UFW

│

▼

Internet

✓ ping funguje

ale zároveň:

Waydroid

│

│ jiná komunikace aplikace

▼

Linux / UFW

│

směrovaný provoz je blokován

Úspěšný ping tedy pouze potvrzuje, že konkrétní ICMP komunikace dokázala dojít k cíli a zpět.

Nepotvrzuje, že firewall dovoluje veškerý směrovaný provoz ani že budou správně fungovat internetové služby jednotlivých aplikací.

Ping je užitečná diagnostika síťové cesty, ale není univerzálním testem funkčnosti přístupu aplikací k internetu.

6. Praktické nastavení GUFW

Oficiální dokumentace Waydroidu doporučuje pro UFW/GUFW:

sudo ufw allow 53
sudo ufw allow 67
sudo ufw default allow FORWARD

Poslední příkaz mění výchozí politiku pro směrovaný provoz.

Dokumentace samotného UFW používá pro současnou syntaxi výchozí politiky označení routed:

sudo ufw default allow routed

UFW tedy rozlišuje tři výchozí směry provozu: incoming, outgoing a routed. Právě routed označuje provoz, který není určen samotnému počítači, ale prochází přes něj dál.

V tomto návodu ale nebudeme při běžném používání směrovaný provoz opakovaně povolovat a zakazovat těmito příkazy. Místo toho použijeme dva profily GUFW – Android a Veřejný – mezi kterými budeme podle potřeby přepínat.

V našem praktickém testu jsme místo trvalého používání jedné povolené politiky vytvořili dva přepínatelné profily GUFW:

Android

Stav: Zapnuto

Příchozí: Zahodit

Odchozí: Povolit

Směrované: Povolit

port 53: Povolit

port 67: Povolit

Veřejný

Stav: Zapnuto

Příchozí: Zahodit

Odchozí: Povolit

Směrované: Zakázat

bez vlastních pravidel 53 a 67

Po skončení práce s Waydroidem se jednoduše vrátíme na profil Veřejný.

Výchozí profily Kancelář a Veřejný před přidáním vlastních pravidel.

7. Proč jsme pravidla nevytvořili přímo příkazy UFW

Příkazy z terminálu jsou funkční. Při našem praktickém testu jsme ale narazili na vlastnost, která nebyla pro přepínání profilů příliš vhodná.

Pravidla:

sudo ufw allow 53
sudo ufw allow 67

se neuložila jako pravidla jednoho konkrétního profilu GUFW.

Po přepnutí z profilu Kancelář na Veřejný zůstala stále zobrazena. GUFW je navíc označilo jako pravidla vytvořená pomocí UFW, která z grafického rozhraní nelze upravit.

Proto jsme pro tento způsob použití vytvořili samostatný profil Android přímo v GUFW.

8. Kontrola současného stavu

Nejdříve zkontrolujte současné nastavení UFW:

bash


						sudo ufw status verbose

Potom zjistěte stav hodnot pro forwarding:

bash


						grep -n 'forward' /etc/ufw/sysctl.conf

Ve výchozím stavu můžete například vidět:

#net/ipv4/ip_forward=1
#net/ipv6/conf/default/forwarding=1
#net/ipv6/conf/all/forwarding=1

Znak # na začátku znamená, že jsou tyto řádky zakomentované a UFW je z tohoto souboru nepoužívá.

9. Zpřístupnění volby „Směrované“ v GUFW

Dokumentace GUFW pro směrování uvádí právě tyto tři hodnoty: Debian Manpages

net/ipv4/ip_forward=1
net/ipv6/conf/default/forwarding=1
net/ipv6/conf/all/forwarding=1

Změnu můžeme provést automaticky nebo ručně.

Varianta A – automatická úprava

Následující příkaz nejprve vytvoří záložní kopii:

/etc/ufw/sysctl.conf.bak

potom odstraní znak # pouze ze tří požadovaných řádků a znovu načte UFW:

sudo cp /etc/ufw/sysctl.conf /etc/ufw/sysctl.conf.bak && sudo sed -i '/^#net\/ipv4\/ip_forward=1/s/^#//; /^#net\/ipv6\/conf\/default\/forwarding=1/s/^#//; /^#net\/ipv6\/conf\/all\/forwarding=1/s/^#//' /etc/ufw/sysctl.conf && sudo ufw reload

bash


						sudo cp /etc/ufw/sysctl.conf /etc/ufw/sysctl.conf.bak && sudo sed -i '/^#net\/ipv4\/ip_forward=1/s/^#//; /^#net\/ipv6\/conf\/default\/forwarding=1/s/^#//; /^#net\/ipv6\/conf\/all\/forwarding=1/s/^#//' /etc/ufw/sysctl.conf && sudo ufw reload

Pozor: Pokud již soubor /etc/ufw/sysctl.conf.bak existuje a chcete jeho obsah zachovat, nejprve jej přejmenujte nebo zazálohujte jinam.

Nyní změnu ověřte:

bash


						grep -n 'forward' /etc/ufw/sysctl.conf

Po správné úpravě již mají být tři řádky bez znaku #:

net/ipv4/ip_forward=1
net/ipv6/conf/default/forwarding=1
net/ipv6/conf/all/forwarding=1

Varianta B – ruční úprava

Pokud chcete změnu provést ručně, otevřete konfigurační soubor v nano.

bash


						sudo nano /etc/ufw/sysctl.conf

Najděte:

#net/ipv4/ip_forward=1
#net/ipv6/conf/default/forwarding=1
#net/ipv6/conf/all/forwarding=1

a pouze odstraňte úvodní znak #:

net/ipv4/ip_forward=1
net/ipv6/conf/default/forwarding=1
net/ipv6/conf/all/forwarding=1

Soubor uložte:

Ctrl+O
Enter
Ctrl+X

Potom spusťte:

bash


						sudo ufw reload

GUFW zavřete a znovu spusťte.

Nově se v jeho hlavním okně zobrazí položka:

Směrované

Přesně tento postup – povolení forwarding hodnot, načtení firewallu a následné zobrazení volby Routed – uvádí také dokumentace GUFW. Debian Manpages.

10. Vytvoření profilu „Android“

Nejdříve zkontrolujte profil Veřejný.

Pro náš test zůstává nastaven:

Stav: Zapnuto
Příchozí: Zahodit
Odchozí: Povolit
Směrované: Zakázat

Potom v hlavní nabídce GUFW otevřete:

Upravit → Předvolby
V části Profily klikněte na tlačítko plus "+". Nový profil se objeví na konci seznamu jako "Profil1". (Tlačítkem „–“ naopak profily mažete.)

Vpravo se posuvníkem posuňte dolů a uvidíte nový profil „Profil1“.
Klikněte do názvu Profil1, přepište jej na Android, potvrďte Enter a okno zavřete tlačítkem "Zavřít".

11. Nastavení profilu Veřejný a Android

Profil Veřejný ponechte: Příchozí: Zahodit / Odchozí: Povolit / Směrované: Zakázat

Nyní vyberte profil Android.

Zpočátku může mít rovněž: Směrované: Zakázat

Změňte: Směrované: Povolit

12. Přidání pravidel pro porty 53 a 67

Tato část vychází z praktického použití s Waydroidem. Jeho oficiální dokumentace při použití UFW/GUFW uvádí povolení portů 53 a 67. Waydro Docs.

Ujistěte se, že je stále aktivní profil Android.

V kartě Pravidla klikněte na plus "+" a na kartě „Jednoduché“ vytvořte první pravidlo:

Název: Android 53
Pravidlo: Povolit
Směr: Příchozí
Protokol: Obojí
Port: 53

Stejným způsobem přidejte druhé pravidlo pro port 67:

Název: Android 67
Pravidlo: Povolit
Směr: Příchozí
Protokol: Obojí
Port: 67

Po přidání druhého pravidla klikněte na tlačítko „Zavřít“.

Tento profil používejte pouze tehdy, když jeho nastavení potřebujete. Po skončení práce s Waydroidem jej přepneme zpět na profil Veřejný, který tato pravidla nemá a směrovaný provoz má zakázaný.

13. Uložení změn profilu

V tomto praktickém testu se po dokončení politiky a pravidel osvědčilo jednou přepnout Stav:

Zapnuto → Vypnuto → Zapnuto

Tím se nastavení profilu uložilo.

Firewall je v tomto krátkém okamžiku vypnutý, proto jej ihned znovu zapněte.

14. Export profilu Android

Hotový profil je vhodné uložit také jako zálohu.

Vyberte:

Soubor → Exportovat tento profil

Profil uložte například pod názvem: Android

V případě potřeby jej lze později načíst přes:

Soubor → Importovat profil

15. Ověření pomocí příkazové řádky UFW

Nakonec si ověříme, že přepínání profilů skutečně mění nastavení firewallu.

Vyberte profil Android a spusťte:

bash


						sudo ufw status verbose

Ve výchozích politikách hledejte směrovaný provoz nastavený na:

allow

Současně musí být vidět pravidla pro porty 53 a 67.

Nyní přepněte na Veřejný a příkaz spusťte znovu:

bash


						sudo ufw status verbose

Směrovaný provoz má být nyní nastaven na:

deny

a vlastní pravidla profilu Android pro porty 53 a 67 již nemají být aktivní.

UFW dokumentuje incoming, outgoing a routed jako tři samostatné výchozí politiky, takže právě sudo ufw status verbose je vhodný způsob, jak změnu základní směrované politiky zkontrolovat. Manpages Ubuntu.

16. Jak profily používat v praxi

Při používání Waydroidu:

GUFW → profil Android

Po skončení:

GUFW → profil Veřejný

Pokud přepínání profilů funguje správně, není při běžném používání potřeba opakovaně spouštět:

sudo ufw default allow routed

nebo:

sudo ufw default deny routed

ani pokaždé ručně přidávat a mazat pravidla portů 53 a 67. GUFW to při změně správně uloženého profilu provede za vás.

17. Je povolení IP forwardingu bezpečné?

Samotné:

net/ipv4/ip_forward=1

neznamená, že jste automaticky dovolili libovolnému provozu volně procházet počítačem.

IP forwarding pouze zapne schopnost Linuxu pakety směrovat.

O tom, co firewall skutečně propustí, dále rozhodují pravidla a politika UFW/GUFW. Oficiální dokumentace UFW také odděluje nastavení IP forwardingu od směrovacích pravidel a směrovací politiky. Manpages Ubuntu.

Proto můžeme mít:

IP forwarding: zapnutý

ale současně:

Směrované: Zakázat

v běžném profilu Veřejný.

Přesto není důvod povolovat forwarding na počítači, který jej vůbec nepotřebuje. Nastavení má smysl tehdy, když používáte funkci, která skutečně potřebuje předávat provoz mezi sítěmi – například Waydroid, některé kontejnery, virtuální systémy nebo routerové použití Linuxu.

18. Co jsme tímto nastavením získali

Po této úpravě už GUFW nezobrazuje pouze:

Příchozí
Odchozí

ale také:

Směrované

Máte tedy pod kontrolou tři rozdílné druhy síťového provozu:

Druh provozu | Co se děje

Příchozí | Paket míří do samotného Linuxu
Odchozí | Paket vytváří samotný Linux a odesílá jej ven
Směrovaný | Paket přes Linux pouze prochází z jedné sítě do jiné

Nejdůležitější otázka při jejich rozlišování zůstává:

Je Linux cílem komunikace, nebo pouze prostředníkem?

Pokud je pouze prostředníkem, řešíme směrovaný provoz.

A právě možnost Směrované v GUFW nám dovoluje tento provoz jednoduše povolit nebo zakázat stejně jako příchozí a odchozí komunikaci.

19. Doporučené zdroje

Ubuntu – manuál UFW - Popis výchozí politiky routed, příkazů ufw route, IP forwardingu a výchozích ICMP pravidel.

Ubuntu Manpage – ufw: https://manpages.ubuntu.com/manpages/resolute/man8/ufw.8.html

Ubuntu – UFW Framework - Podrobnější příklady IP forwardingu, směrování a NAT.

Ubuntu Manpage – ufw-framework: https://manpages.ubuntu.com/manpages/noble/man8/ufw-framework.8.html

GUFW – manuál - Přímo popisuje zpřístupnění volby Routed pomocí hodnot v /etc/ufw/sysctl.conf.

Debian Manpages – GUFW: https://manpages.debian.org/unstable/gufw/gufw.8.en.html

Waydroid – Networking Issues - Oficiální postup pro nastavení UFW/GUFW, portů 53 a 67 a politiky FORWARD.

Waydroid – Networking Issues: https://docs.waydro.id/debugging/networking-issues

Waydroid – síťový skript waydroid-net.sh - Zdrojový kód ukazující virtuální síť waydroid0, adresaci a směrování/NAT Waydroidu.

Waydroid – waydroid-net.sh: https://github.com/waydroid/waydroid/blob/main/data/scripts/waydroid-net.sh

20. Související články na Linux pro domácnost

PODPOŘTE OTEVŘENÉ NÁVODY A DALŠÍ ROZVOJ WEBU LINUX PRO DOMÁCNOST:

Věřím v otevřené znalosti a v to, že kvalitní návody mají být dostupné bez reklam, rušivých prvků a zbytečného trackingu. Každý článek na webu Linux pro domácnost vzniká na základě rešerše, praktického testování na reálném nebo virtuálním počítači, ověřování v různých linuxových distribucích a pečlivého zpracování krok za krokem. Často jde o práci na několik hodin, někdy i několik dnů.

Pokud Vám některý návod pomohl, ušetřil čas nebo usnadnil řešení problému, budu rád za dobrovolnou finanční podporu. A pokud se Vám myšlenka tohoto webu líbí a chcete jeho tvorbu podporovat pravidelně, podívejte se prosím na stránku:

„SPONZOŘI webu LINUX pro DOMÁCNOST“.